虚拟局域网VLAN技术教案G

第3章、虚拟局域网VLAN3.2VLAN划分和配置3.3VLAN组员信息交换

3.1VLAN概述

3.4VLAN间路由通信1/33第3章：重点与难点重点了解和掌握：1、VLAN概念和VLAN完成主要功效2、大型VLAN中VLAN信息标识IEEE802.1Q标准3、划分和配置VLAN惯用方法4、VLAN间通信处理主要了解：1、以太交换VLAN技术关键问题2、VLAN隔离广播域特点3、VLAN标准化进程。4、基于服务VLAN发展2/333.1VLAN概述

3.1.1VLAN发展背景以太网交换机速度比路由器快多，且价格廉价。但当某主机在网上发送广播时，或发送了一个交换机不认识MAC地址帧时，交换机上全部节点都将收到这一广播信息。整个交换环境组成一个大广播域。业界人士用一个新名词FlatNetwork来形容这种环境：多个交换机互连(堆叠)形成了一个大局域网，但不能有效划分子网；第二层快速、有效交换，但广播风暴会使网络效率大打折扣。二层交换弱点：对广播风暴(大型高端口密度交换机），不能有效处理异种网络互连、安全性控制等问题。怎样区分碰撞域、共享域和广播域？3/333.1.2VLAN基本概念什么是VLAN（虚拟局域网），VLAN是以太网上一组PC/服务器集合，它们可能不在同一个物理网段中，也能够不受地理位置限制，但能够象在LAN中一样进行通信与信息交互。VLAN实际没有统一严格定义。VLAN技术早期提出：一个隔离数据广播方法，将以太交换广播局限一定范围内；但当前VLAN发展使其成为靠近交换网络VPN技术，在以太交换网向城域网、广域网发展主要技术。什么是交换网络VPN?主要功效和作用?4/33一个VLAN组划分例子：局域网VLAN区域网VLAN5/33实际工作VLAN主要功效需求，除处理数据广播引发性能下降外，能够实现用户分组、应用分组、安全性分组、移动分组、管理分组等灵活处理，提升网络使用和管理效率。3.1.3VLAN功效结构化布线和VLAN技术结合，能够形成统一预布线、信息点、网络规划，和用户组和应用灵活再组合，实现统一网络环境下独立用户群使用。1、实现虚拟工作组织在网络下不受地理位置环境响应，对同一组织（部门、工作协作体）建立虚拟工作组织，就象在一个传统LAN中工作，实现流量8/2控制，当地资源访问、有效工作管理。6/332、控制数据广播数据广播是正常出现现象（功效），取决于网络资源使用、应用类型等，广播数据要经过骨干链路抵达各个交换端口；当以太交换网大型化及广泛使用，广播数据将大大浪费网络资源、降低网络性能或造成网络瓦解。传统控制数据广播方法使用路由器或防火墙。经过VLAN分割广播域、适量处理VLAN间通信是当前控制广播数据有效方法。（试详细比较各种控制广播域方法）3、增强网络安全性对共享型以太交换网，控制数据广播域规模和用户数，可减小安全风险，取到防火墙隔离不一样LAN作用；实际VLAN通常还能够依据用户、资源主要性设置，使受限应用、资源得到保护,如数据库服务器和Web服务器VLAN和访问控制。7/331、能将所连接PC/服务器进行逻辑分段高性能交换机。4、已经有LAN系统兼容和互操作。3.1.4VLAN技术需要处理问题2、在主干网和多交换机间传输VLAN信息协议。3、VLAN间通信L3路由方案。5、集中管理、控制和配置功效网管方案。8/333.1.5建立VLAN交换方式3、信元交换：ATM仿真LAN中使用方式，利用ATM信元作为交换基础。VLAN中使用交换技术，通常包含端口交换、帧交换和信元交换三种。2、帧交换：VLAN中端口采取帧转发方法，即VLAN交换和以太网交换机交换方式一样，只是交换域变小了，也是当前最主流VLAN交换方式，按端口定义VLAN和帧交换方式结合含有更大灵活性。1、端口交换VLAN：早期在交换机上把依据端口划分为几个相互独立VLAN，每个VLAN中端口是共享媒体段（如以太网段）。这种方式特点：小规模灵活，但端口共享媒体使VLAN带宽受限制。9/33VLAN划分方法：是怎样把一批局域网站点（PC/服务器）划归属一个VLAN中。当前划分方法主要有：3.2VLAN划分和配置1、交换端口号2、MAC地址3、第三层协议4、使用IP组播5、基于策略3.2.1VLAN划分10/33将交换机端口号进行分组划分VLAN，如交换设备上端口（1、2、5、7）为VLAN1，（3、4、6、8）为VLAN2，是当前网络中最惯用划分方法。1、基于交换端口号（静态端口分配）基于交换端口号VLAN配置，实际就是将特定计算机端口和固定VLAN对应，普通端口只能划分在一个VLAN中，当前端口号划分VLAN能够跨越多个交换机，此时主干端口实际和多个VLAN中交互（或主干端口可自动传递不一样VLAN信息）。基于端口号静态划分VLAN（实际端口可和MAC地址绑定），管理较为严格和比较安全，但用户移动将需要重新配置。11/33VLAN1VLAN2VLAN2VLAN1VLAN1、VLAN2静态端口划分VLAN示意怎样穿越？怎样识别是同一VLAN？12/33按照用户终端网卡MAC地址，指定一批MAC地址划分在一个VLAN组，一个基于用户划分方式。2、基于MAC地址（动态端口分配）特点：一个MAC地址可划分在多个VLAN中，可满足一个用户能够同时划分在多个VLAN中，主要是共享服务器和属于多工作组用户。在大型网络,预先依据MAC地址配置全部VLAN中，手工初始配置和变更维护很困难，必须借助智能网络管理软件；13/33当某个站点接入交换机时，交换机经过智能网络管理软件对其MAC地址在VLAN管理数据库中检索，确定MAC地址VLAN所属，并依据MAC地址动态完成端口和VLAN配置，所以含有移动性，但VLAN管理软件必须准确建立和维护VLAN管理数据库，建立整网VLAN集中配置。VLAN1VLAN2VLAN2VLAN1VLAN1、VLAN2LANVLAN配置服务器基于MAC地址动态端口配置VLAN管理数据库设置在哪里？14/33一个端口或一个MAC能够依据需要划分到多个VLAN中去，如骨干上连端口、共享服务器端口等，安全性和交换性能下降。应慎重处理。VLAN1VLAN2VLAN2VLAN1VLAN1VLAN2为了维护VLAN安全完整性，共享服务器通常设置在关键交换机VLAN共享端口上。15/33交换机主要考虑使用协议类型（多协议情况下，如TCP/IP，IPX、APPLETALK等）或网络层地址（如IP地址、IP子网地址）进行VLAN划分。此时，VLAN子网地址实际要和MAC地址联络交换。特点：可移动性，但依据报文第3层地址（如IP地址）进行检验速度慢，可篡改。用IP组播地址区分VLAN。特点：动态性，能够实现WANVLAN。实际也是基于IP层VLAN方式。3、按第三层协议或参数4、IP组播VLAN5、基于策略VLAN依据一个策略和以上各种划分策略组合划分VLAN。16/335.3VLAN组员信息传递处理在多交换机状态下（尤其是城域、广域范围）建立VLAN问题，需要在互连交换机间交换VLAN组员信息，或是说一个以太广播帧经过网络某交换机时，交换机怎样识别该帧属于VLAN1或VLAN2。VLAN2VLAN2EFVLAN1VLAN1？？？17/33在多交换机条件下，早期也有厂家私有协议，如Cisco，Inter-SwitchLink,ISL协议在单交换机机VLAN条件下，基本是原有交换机机制隐式传递方式（不需要尤其协议，厂家自己定义）。当前是使用IEEE802.1Q标准（1996.3经过），IEEE802.1Q标准是帧标识VLAN方式，扩展以太网帧结构方法，即在以太网帧结构中帧头位置套上一个显式VLAN标识Tag（4字节VLAN地址编码），在多交换机间（尤其是骨干链路上）传递，以表明这个帧是属于哪个VLAN。多交换机间以太帧在上联或骨干端口/链路上怎样传递呢？即怎样识别并转送到某个VLAN？18/33VPID：VLANProtocolIdentifier，表明已按照802.1Q标准(码值8100H)。VCI：VLANControlInformationUser-Priority：用户优先级（在以太网这么无优先级网段中使用）TR-encap：=1表示帧数据是原始TokenRing帧数据VID：VLANIdentifier，最大4096个VLAN以太网VLANIEEE802.1Q格式前导码帧头定界符32BitVPID16bVCI16b3b8bDASAETagTYPE数据……FCSUser-PriorityTR-encapVID1b12b19/33IEEE802.1Q是MAC二层VLAN标准，它在原来DA目标地址/SA源地址之后，插入4字节VLAN标识，在帧存放交换时候进行区分和只向VLAN组内用户广播发送。IEEE802.1Q标准中对推进VLAN发展起到了关键作用。但4KVLAN组地址标识，在大型城域网、广域网显得不够。另一个影响VLAN规模指标是关键或骨干交换机VLANMAC地址容量，它决定了VLAN规模（VLAN容纳主机数）。什么是10M或100M以太网交换电路？有什么用？怎样形成10M或100M以太网交换电路？对VLAN标识地址空间有什么影响。20/335.4VLAN间通信隔离VLAN间通信，如同两个孤立LAN普通需要使用路由伎俩在三层完成通信，在大型网络中，VLAN内数据交换和VLAN间数据传输路由，二者技术集成是新发展方向。VLAN间通信路由模式1、边界路由将路由功效包含在主干网络边界每一个LAN交换机中（通常边缘汇聚交换机），VLAN间IP报文由交换机内在（内嵌）路由模块处理，而无需传输到外部路由器上处理。特点：边缘汇聚交换机必须布署路由功效交换机，数据延时小，但相对统一路由器网络管理来说，管理复杂。21/33汇聚SSS汇聚SServersS关键S汇聚SSSSS边界路由边界路由边界路由边界路由能否设置在关键或接入交换器中？22/332、”独臂“路由器”独臂“路由结构是在一个多交换机网络中主干上设置一台独立路由器，当VLAN域内通信时直接使用交换机制；当需要在VLAN间进行IP通信时候，经过”独臂“路由器路由转发。特点：集中路由适用以VLAN间通信较少场所（普通企业），但结构和管理简单，路由器单点故障造成瘫痪。也能够设置多个路由器进行冗余和负载分担。3、ATM上多协议路由（MPOA）MPOA本身含有路由功效，当经过ATM连接ELAN或VLAN时ATM接口含有路由转发能力。23/33汇聚SSS汇聚SServersS关键S汇聚SSSSS独臂路由器VLAN1VLAN224/335、第L3交换技术。4、路由服务器和路由客户机这是一个分布路由结构，结构外观上非常相同”独臂“路由器，但LAN交换机中也要有必要路由功效。当需要在VLAN间进行路由时候，报文被缓存在主干边界LAN交换机上，此时交换机与路由服务器交相互关深入转发连接信息，确定转发路径。这种模式网络传输数据报大量降低，但LAN交换机中也要有必要路由功效，结构和管理复杂25/33汇聚SSS汇聚SServersS关键S汇聚SSSSS路由服务器VLAN1VLAN2路由功效路由功效26/335、第L3交换技术。4、路由服务器和路由客户机这是一个分布路由结构，结构外观上非常相同”独臂“路由器，但LAN交换机中也要有必要路由功效。当需要在VLAN间进行路由时候，报文被缓存在主干边界LAN交换机上，此时交换机与路由服务器交相互关深入转发连接信息，确定转发路径。这种模式网络传输数据报大量降低，但LAN交换机中也要有必要路由功效，结构和管理复杂27/335.5以太网接入控制和IEEE802.1X早期以太网终端可不受限制地接入LAN/MAN，但公共大厦办公网络中不希望其它组织或个人接入，尤其是运行以太网（如校园网、小区网等）需要提供一个廉价、经过认证许可接入方法。802.1x协议基于Client/Server访问控制和认证协议，可限制未授权用户/设备经过接入端口访问LAN/WLAN。在认证经过之前，802.1x只允许EAPoL（ExtensibleAuthenticationProtocoloverLAN）数据经过端口；认证经过以后，正常数据能够顺利地经过以太网端口。IEEE802.1X全称是“基于端口网络接入控制”。年标准化，之后为了配合无线网络接入进行修订改版，于年完成。28/33网络访问技术关键部分是PAE（端口访问实体），PAE包含3部分：对接入用户/设备进行认证端口,被认证用户/设备,认证服务器。以太网每个物理端口被分为受控和不受控两个逻辑端口，其中，不受控端口一直处于双向联通状态(传输认证信息);而受控端口联通或断开是由该端口授权状态决定,PAE依据认证过程结果，控制"受控端口"授权/未授权状态。29/33802.1x工作过程1.当开启802.1X客户端，发出请求认证报文给交换机，然后按交换机要求，输入用户名和口令（申请和等记）。2.交换机将客户端送上来EAPoL数据帧经过封包处理后送给认证服务器。4.认证服务器（Raduis认证、AAA认证服务器）随机生成一个加密字，传给客户端。5.客户端用该加密字对口令进行加密处理，经过交换机返回认证服务器。6.认证服务器比