邢台职业技术学院 在交换机上构建安全隔离的部门间网络

1、3.1任务描述，第3章在交换机上建立了安全隔离的部门间网络，某学院的计算机系、电机工程系、会计部、学生室建立了自己的局域网。 其中，信息大楼主要是计算机系的办公楼，机电大楼是机电工程系的办公楼，实验中心是学生室，有计算机系和会计部的办公楼，财务是学校办公楼。 随着学校信息化建设的推进，人员交流越来越频繁，各岗位有可能出现其他部门的人员。 为了互联网的安全，计算机系、机电工程系、会计部、学生室分别位于不同的子网，可以在部门内相互访问。3.2相关知识，第3章在交换机上建立安全隔离的部门间网络，3.2.1 VLAN概要，3.2.2静态VLAN配置，3.2.3vlan配置，3.2.4 VLAN中继，3

2、.2.5vlan帧识别，3.2 3.2.7vlan的中继配置、1 .虚拟lan的概念3.2.1 Vlan的概要、虚拟lan (虚拟lan，简称VLAN )是逻辑广播域，可以跨越多个物理LAN网段。 VLAN基于LAN交换机，通过交换机软件实现基于功能、部门、应用程序等要素，将设备和用户构成虚拟工作组或逻辑网络段的技术。 其最大特征是构成逻辑网络时不需要考虑用户和装置在网络上的物理位置。 虚拟局域网可以在交换机或交换机之间实现。 VLAN通常根据业务功能、部门或项目团队在逻辑上划分交换网络，而不管用户在网络上的物理位置如何。 同一组中的所有工作站和服务器都位于同一VLAN中，无论物理连接和位置如

3、何。 3.2.1 VLAN的概要，VLAN是逻辑上独立的IP子网。 多个IP网络和子网络可通过VLAN存在于同一交换网络中。 IEEE802.1Q标准定义了虚拟LAN由与物理位置无关的逻辑组组成，并对某些LAN网段有共同的需求。 每个虚拟LAN的帧都有一个明确的标识符，用于指示发送该帧的工作站属于哪个VLAN。 以太网交换机可以方便地实施虚拟lan。 虚拟局域网实际上是局域网向用户提供的服务，而不是新的局域网。 1 .虚拟LAN的概念、3.2.1 VLAN的概要、3.2.1 VLAN的概要、图3.1中使用4个交换机的网络拓扑。 九台计算机分布在三层，构成了三个LAN1:(A1、B1、C1)、L

4、AN2:(A2、B2、C2)、LAN3:(A3、B3、C3)。 但是，这九个用户分为三个工作组，即三个虚拟局域网VLAN。 即VLAN1:(A1，A2，A3)，VLAN2:(B1，B2，B3)，VLAN3:(C1，C2，C3)。 1、虚拟LAN的概念、2. VLAN的优点、3.2.1 VLAN的概要、(1)有利于网络性能的优化，(2)提高网络安全性，(3)容易管理和控制网络，(4)基于第2层的通信优先级服务，3.v 3.2.1 VLAN的概要，(1)静态VLAN是静态的，因为网络管理员手动将交换机端口分配给VLAN。 也就是说，在在交换器上将该端口分配给特定的VLAN时，VLAN基于物理交换器

5、端口，终端用户设备根据该连接的物理端口被分配给相应的v 、3. VLAN成员资格模型、3.2.1 VLAN概要、(1)静态VLAN网络管理员手动将交换机端口分配给VLAN时，将为每个端口获取端口VLAN ID并将其与VLAN编号相关联。 可以将同一交换机上的端口分割为多个VLAN。 如果两台计算机连接到同一交换机，但它们连接到属于不同VLAN的端口，则数据流不会在它们之间传输。 要执行此功能，请使用第3层设备来路由包，或使用外部第2层设备在两个VLAN之间桥接包。3. VLAN成员资格模型、3.2.1 VLAN的概述、(1)基于静态VLAN端口的VLAN基于以太网交换机的端口划分广播域。 即，

6、分配给同一VLAN的端口共享广播域(一个站点发送所有站点想接收的广播信息，并且同一VLAN内的所有站点都能听到)，分配给不同VLAN的端口是广播域虚拟局域网可以用一台交换机或多台交换机实现。 终端设备连接到端口时，将自动获取VLAN连接。 3. VLAN成员身份模型、3.2.1 VLAN的概要、(2)动态VLAN动态VLAN是指，在交换机上，基于网络用户的MAC地址、逻辑地址(IP地址等)或分组协议等信息来VLAN端口也就是说，无论以什么样的机制实现，分配给同一VLAN的所有主机都共享一个广播域，分配给不同VLAN的主机不共享广播域。 也就是说，只有位于同一VLAN的主机能够直接通信，与此相对

7、，位于不同VLAN的主机之间不能直接通信。 在建立1.VLAN ID范围、3.2.2静态VLAN配置和VLAN之前，需要考虑是否使用VLAN中继协议(VLAN中继协议，VTP )来配置网络的全局VLAN。 在本项目中不使用VTP干线协议。 首先，如果VLAN不存在，则必须在交换机上创建VLAN。 将交换机端口分配给VLAN。 VLAN总是使用VLAN ID号引用。 VLAN ID在数值上分为通常范围和扩展范围。 1.VLAN ID范围(1)普通范围的VLAN、3.2.2静态VLAN配置、普通范围的VLAN，具有用于中小企业网络和企业网络的特征。 VLAN ID的范围是1005。 1002到10

8、05的ID被保留用于令牌环VLAN和FDDI VLAN。 ID 1和id10021005会自动创建，无法删除。 配置存储在名为vlan.dat的VLAN数据库文件中，VLAN.dat文件存储在交换机的闪存中。 用于管理交换机之间的VLAN配置的VLAN中继协议(VTP )只能识别一般范围的VLAN，存储在VLAN数据库文件中。 为了与1.VLAN ID范围(2)扩展VLAN、3.2.2静态VLAN配置和IEEE 802.1Q标准兼容，Cisco Catalyst IOS还支持扩展VLAN编号。 服务提供商可以扩展您的基础架构，以适应更多的客户. 一些跨国公司规模很大，需要扩展的VLAN ID身

9、份。 VLAN ID的范围为10064094。 支持的VLAN功能比正常的VLAN少。 保存在执行配置文件中。 VTP无法识别扩展的VLAN。 2 .静态VLAN配置、3.2.2静态VLAN配置、(1)VLAN的ID和名称配置配置VLAN最常见的方法是手动为每个交换机指定端口LAN映射。 在全局配置模式下使用VLAN命令。 交换机(config ) # vlan vlan-id其中VLAN-id是构成要添加的VLAN的id，安装扩展软件版本时为14096，安装标准软件版本时为11005。 每个VLAN都有唯一的4位ID (范围： 00011005 )。 switch (config-vlan

10、) # name VLAN-name定义VLAN的名称，可以使用132个ASCII字符，但必须确保它在管理域中是唯一的。 2 .静态VLAN的配置、3.2.2静态VLAN的配置、(2)端口分配在创建新的VLAN之后，可以手动分配端口号或多个端口号。 端口可以属于唯一的VLAN。 为VLAN分配端口号的这种方法称为静态访问端口。 在接口配置模式下分配VLAN端口的命令是交换机(配置) #接口类型模式/编号交换机(配置- if ) #交换机端口交换机(配置- if ) #交换机chp switchportaccessvlanvlan-id默认情况下，所有端口都属于VLAN 1。 在3.VLAN配置

11、验证、3.2.2静态VLAN配置和VLAN配置后，可以使用Cisco IOS show命令验证VLAN配置。添加交换机# showvlanbrief|id VLAN-id|summary switch # showinterfacesinterface-id|VLAN-id，4.vlan 在接口配置模式下使用switchport access命令来执行此功能。 无需将端口从VLAN移动来进行此转换。 在接口配置模式下，可以使用no switch端口访问VLAN命令将端口重新分配给默认VLAN(VLAN 1)。 1 .端到端VLAN、3.2.3部署VLAN、端到端VLAN也被称为校园级VLAN，

12、它跨网络交换结构为终端设备提供了最大的移动性和灵活性。 任何地方都可以分配到VLAN。 即使用户在校园内移动，VLAN成员身份也不会改变。 这意味着必须使VLAN可用于每个交换机模块的访问层。 端到端VLAN需要根据需要对用户进行分组。 在同一个VLAN中，所有用户的通信模式几乎相同，必须遵守8020规则。 换句话说，约80个用户业务在本地工作组中，而到校园网络的远程资源只有20个。 在VLAN中只有20个通信通过网络核心，而在端到端VLAN中，VLAN中的所有通信都可能通过网络核心。 2 .固有PS，3.2.3部署PS，目前大多数企业基本符合2080规则。 换句话说，业务在本地，80个业务通

13、过核心层流向远程资源。 最终用户需要经常访问VLAN外部的资源，用户必须经常通过网络核心。 在这种网络中，VLAN必须基于地理位置进行设计，而不考虑离开VLAN的通信量。 固有VLAN的规模可以扩大到布线间的开关单体和建筑物整体。 通过以这种方式调度VLAN，可以在校园网上使用第3层功能智能地处理VLAN之间的通信负载。 此方案提供最高级别的可用性(使用到多个目的地的路径)、最高级别的可扩展性(将VLAN限制为交换机模块)和最高级别的可管理性。 被称为3.2.4 VLAN继电器、3.2.4 VLAN继电器、各VLAN用于在交换机之间通信的链路、VLAN继电器(中继)，继电器是两个网络设备之间的

14、点到点链路，表示多个VLAN的通信量、3.2.5VLAN帧的识别、VLAN帧的识别、ISL (交换机间链路)协议、IEEE 802.1Q协议、1.ISL (交换机间链路)协议、3.2.5VLAN帧协议是Cisco的专用协议，当数据在多个交换机之间流动时，该协议控制vlan信息并互相连接交换机。 ISL是专用的数据链路层协议，用于在中继链路上标记不同的VLAN流。 通过在中继链路上配置ISL，来自不同VLAN的数据流可以复用链路。 ISL在数据链路层上运行，在第2层上执行帧id。 使用帧标头和帧末尾来封装帧. 用于将数据帧封装在一起以获得独立于协议的能力。 配置了ISL的Cisco交换机和路由器

15、可以处理和识别ISL VLAN信息。 ISL主要用于以太网介质。 另外，2. IEEE 802.1Q协议、3.2.5VLAN帧，IEEE 802.1q也在中继链路上使用固有的VLAN，并且，将属于该VLAN的帧封装在一起而不使用标签信息。 如果终端连接到802.1Q中继链路，则可以仅接收和理解唯一的VLAN帧。 由此，可以向能够理解802.1Q的装置提供完整的中继封装，同时经由中继链路提供常规接入装置固有的连接。 在Ethernet帧中，802.1Q将4字节的标识符插入帧格式的源地址字段，也称为VLAN标签，也称为tag字段，其指示发送帧的工作站属于哪个VLAN。 如图3.5所示。 如果还使用

16、传统的以太网帧格式，则无法分割VLAN。 可以在2. IEEE 802.1Q协议、3.2.5vlan帧、3 .动态中继协议、3.2.5vlan帧和Catalyst交换机上手动将中继链路配置为ISL或802.1Q模式。 Cisco还实现了称为动态中继协议(DTP )的点对点协议，并在两个交换机之间协商双方支持的中继模型。协商包括封装(ISL或802.1Q )和是否将链路用作中继。 这样一来，无需进行大量的手动作业构成和管理，就能使用中继链路。 另外，3.2.6 VLAN数据帧的传送当前不支持具有Tag域的以太网数据帧。 即，主机虽然只能发送接收标准的以太网数据帧，但是将VLAN数据帧视为不正当的

17、数据帧。 支持VLAN的交换机在与主机或交换机通信时必须分开处理。 交换机向主机发送数据时，必须确认数据帧并删除tag域。 另一方面，在向交换器发送的情况下，对方交换器为了知道数据帧的VLAN ID，需要在从主机接收到的数据帧中追加tag字段并进行发送，该数据帧传送中的变化如图3.6所示。 另外，在3.2.6 VLAN数据帧的传送、3.2.6 VLAN数据帧的传送、交换器接收到某个数据帧时，交换器根据数据帧中的tag域或接收端口的默认VLAN ID，进行该数据帧的传送在目标端口连接到通常主机的情况下，用于在删除tag域(在数据帧中包含tag域的情况下)之后发送数据帧的目标端口连接到交换机的情况下，显示tag域(在数据帧中包含tag域为了允许在交换机之间的中继链路上访问通常的主机，对于以太网，即使确认数据帧的VLAN ID与中继端口的默认VLAN ID相同，也有时在数据帧中添加ta