1、第3章、虛擬局域網(wǎng)VLAN,3.2 VLAN劃分和配置,3.3 VLAN成員信息交換,3.1 VLAN概述,3.4 VLAN間路由通信,第3章：重點(diǎn)與難點(diǎn),重點(diǎn)理解和掌握： 1、VLAN概念和VLAN完成的主要功能 2、大型VLAN中的VLAN信息標(biāo)識(shí)IEEE802.1Q標(biāo)準(zhǔn) 3、劃分和配置VLAN的常用方法 4、VLAN間的通信處理,主要了解： 1、以太交換VLAN技術(shù)的關(guān)鍵問題 2、VLAN隔離廣播域的特點(diǎn) 3、VLAN的標(biāo)準(zhǔn)化進(jìn)程。 4、基于服務(wù)的VLAN發(fā)展,3.1 VLAN概述,3.1.1 VLAN發(fā)展背景,以太網(wǎng)交換機(jī)速度比路由器快的多，且價(jià)格便宜。但當(dāng)某主機(jī)在網(wǎng)上發(fā)送廣播時(shí)，或發(fā)

2、送了一個(gè)交換機(jī)不認(rèn)識(shí)的MAC地址幀時(shí)，交換機(jī)上的所有節(jié)點(diǎn)都將收到這一廣播信息。整個(gè)交換環(huán)境構(gòu)成一個(gè)大的廣播域。業(yè)界人士用一個(gè)新的名詞Flat Network來(lái)形容這種環(huán)境：多個(gè)交換機(jī)互連(堆疊)形成了一個(gè)大的局域網(wǎng)，但不能有效的劃分子網(wǎng)；第二層快速、有效的交換，但廣播風(fēng)暴會(huì)使網(wǎng)絡(luò)的效率大打折扣。,二層交換弱點(diǎn)：對(duì)廣播風(fēng)暴(大型高端口密度交換機(jī)），不能有效解決異種網(wǎng)絡(luò)互連、安全性控制等問題。,怎樣區(qū)分碰撞域、共享域和廣播域？,3.1.2 VLAN基本概念,什么是VLAN（虛擬局域網(wǎng)）， VLAN是以太網(wǎng)上一組PC/服務(wù)器的集合，它們可能不在同一個(gè)物理網(wǎng)段中，也可以不受地理位置的限制，但能夠象在L

3、AN中一樣進(jìn)行通信與信息交互。,VLAN實(shí)際沒有統(tǒng)一嚴(yán)格的定義。VLAN技術(shù)早期提出：一種隔離數(shù)據(jù)廣播方法，將以太交換廣播局限一定范圍內(nèi)；但目前VLAN發(fā)展使其成為接近交換網(wǎng)絡(luò)VPN的技術(shù)，在以太交換網(wǎng)向城域網(wǎng)、廣域網(wǎng)發(fā)展的重要技術(shù)。,什么是交換網(wǎng)絡(luò)的VPN? 主要功能和作用?,一個(gè)VLAN組劃分的例子：,局域網(wǎng)VLAN,區(qū)域網(wǎng)VLAN,實(shí)際工作的VLAN主要功能需求，除解決數(shù)據(jù)廣播引起的性能下降外，可以實(shí)現(xiàn)用戶分組、應(yīng)用分組、安全性分組、移動(dòng)分組、管理分組等靈活處理，提高網(wǎng)絡(luò)使用和管理效率。,3.1.3 VLAN的功能,結(jié)構(gòu)化布線和VLAN技術(shù)結(jié)合，可以形成統(tǒng)一預(yù)布線、信息點(diǎn)、網(wǎng)絡(luò)規(guī)劃，和用

4、戶組和應(yīng)用的靈活再組合，實(shí)現(xiàn)統(tǒng)一網(wǎng)絡(luò)環(huán)境下的獨(dú)立用戶群使用。,1、實(shí)現(xiàn)虛擬工作組織,在網(wǎng)絡(luò)下不受地理位置環(huán)境響應(yīng)，對(duì)同一組織（部門、工作協(xié)作體）建立虛擬工作組織，就象在一個(gè)傳統(tǒng)LAN中工作，實(shí)現(xiàn)流量8/2控制，本地資源訪問、有效工作管理。,2、控制數(shù)據(jù)廣播,數(shù)據(jù)廣播是正常出現(xiàn)的現(xiàn)象（功能），取決于網(wǎng)絡(luò)資源使用、應(yīng)用類型等，廣播數(shù)據(jù)要通過骨干鏈路到達(dá)各個(gè)交換端口；當(dāng)以太交換網(wǎng)大型化及廣泛使用，廣播數(shù)據(jù)將大大浪費(fèi)網(wǎng)絡(luò)資源、降低網(wǎng)絡(luò)性能或?qū)е戮W(wǎng)絡(luò)崩潰。傳統(tǒng)控制數(shù)據(jù)廣播方法使用路由器或防火墻。通過VLAN分割廣播域、適量處理VLAN間通信是目前控制廣播數(shù)據(jù)的有效方法。（試具體比較各種控制廣播域的方法）

5、,3、增強(qiáng)網(wǎng)絡(luò)安全性,對(duì)共享型以太交換網(wǎng)，控制數(shù)據(jù)廣播域規(guī)模和用戶數(shù)，可減小安全風(fēng)險(xiǎn)，取到防火墻隔離不同LAN作用 ；實(shí)際VLAN通常還可以根據(jù)用戶、資源的重要性設(shè)置，使受限應(yīng)用、資源得到保護(hù),如數(shù)據(jù)庫(kù)服務(wù)器和Web服務(wù)器VLAN和訪問控制。,1、能將所連接PC/服務(wù)器進(jìn)行邏輯分段的高性能交換機(jī)。,4、已有LAN系統(tǒng)的兼容和互操作。,3.1.4 VLAN技術(shù)需要解決的問題,2、在主干網(wǎng)和多交換機(jī)間傳輸VLAN信息的協(xié)議。,3、VLAN間通信的L3路由方案。,5、集中管理、控制和配置功能的網(wǎng)管方案。,3.1.5 建立VLAN的交換方式,3、信元交換：ATM仿真LAN中使用的方式，利用ATM信元作

6、為交換的基礎(chǔ)。,VLAN中的使用交換技術(shù)，通常包含端口交換、幀交換和信元交換三種。,2、幀交換： VLAN中端口采用幀轉(zhuǎn)發(fā)的方法，即VLAN交換和以太網(wǎng)交換機(jī)交換方式一樣的，只是交換域變小了，也是目前最主流VLAN交換方式，按端口定義VLAN和幀交換方式結(jié)合具有更大靈活性。,1、端口交換VLAN ：早期在交換機(jī)上把根據(jù)端口劃分為幾個(gè)相互獨(dú)立的VLAN， 每個(gè)VLAN中端口是共享媒體段（如以太網(wǎng)段）。這種方式特點(diǎn)：小規(guī)模靈活，但端口共享媒體使VLAN帶寬受限制。,VLAN劃分方法：是怎樣把一批局域網(wǎng)的站點(diǎn)（PC/服務(wù)器）劃歸屬一個(gè)VLAN中。目前劃分方法主要有：,3.2 VLAN劃分和配置,1、

7、交換端口號(hào) 2、MAC地址 3、第三層協(xié)議 4、使用IP組播 5、基于策略,3.2.1 VLAN劃分,將交換機(jī)的端口號(hào)進(jìn)行分組劃分VLAN，如交換設(shè)備上端口（1、2、5、7）為VLAN1 ， （3、4、6、8）為VLAN2，是目前網(wǎng)絡(luò)中最常用劃分方法。,1、基于交換端口號(hào)（靜態(tài)端口分配 ）,基于交換端口號(hào)VLAN配置，實(shí)際就是將特定計(jì)算機(jī)端口和固定VLAN對(duì)應(yīng)，一般的端口只能劃分在一個(gè)VLAN中，目前端口號(hào)劃分VLAN可以跨越多個(gè)交換機(jī)，此時(shí)主干端口實(shí)際和多個(gè)VLAN中交互（或主干端口可自動(dòng)傳遞不同VLAN信息）。,基于端口號(hào)靜態(tài)劃分的VLAN （實(shí)際端口可和MAC地址綁定） ，管理較為嚴(yán)格和

8、比較安全，但用戶移動(dòng)將需要重新配置。,VLAN1,VLAN2,VLAN2,VLAN1,VLAN1、VLAN2,靜態(tài)端口劃分的VLAN示意,怎樣穿越？怎樣識(shí)別是同一VLAN？,按照用戶終端網(wǎng)卡的MAC地址，指定一批MAC地址劃分在一個(gè)VLAN組，一種基于用戶的劃分方式。,2、基于MAC地址（動(dòng)態(tài)端口分配 ）,特點(diǎn)：一個(gè)MAC地址可劃分在多個(gè)VLAN中，可滿足一個(gè)用戶可以同時(shí)劃分在多個(gè)VLAN中，主要是共享服務(wù)器和屬于多工作組用戶。,在大型網(wǎng)絡(luò),預(yù)先根據(jù)MAC地址配置所有VLAN中，手工初始配置和變更維護(hù)很困難，必須借助智能網(wǎng)絡(luò)管理軟件；,當(dāng)某個(gè)站點(diǎn)接入交換機(jī)時(shí)，交換機(jī)通過智能網(wǎng)絡(luò)管理軟件對(duì)其MA

9、C地址在VLAN管理數(shù)據(jù)庫(kù)中檢索，確定MAC地址的VLAN所屬，并根據(jù)MAC地址動(dòng)態(tài)完成端口和VLAN配置，所以具有移動(dòng)性，但VLAN管理軟件必須精確建立和維護(hù)VLAN管理數(shù)據(jù)庫(kù)，建立整網(wǎng)VLAN的集中配置。,VLAN1,VLAN2,VLAN2,VLAN1,VLAN1、VLAN2,LAN,VLAN配置服務(wù)器,基于MAC地址的動(dòng)態(tài)端口配置,VLAN管理數(shù)據(jù)庫(kù)設(shè)置在哪里？,一個(gè)端口或一個(gè)MAC可以根據(jù)需要?jiǎng)澐值蕉鄠€(gè)VLAN中去，如骨干上連端口、共享服務(wù)器端口等，安全性和交換性能下降。應(yīng)謹(jǐn)慎處理。,VLAN1,VLAN2,VLAN2,VLAN1,VLAN1 VLAN2,為了維護(hù)VLAN安全完整性，共

10、享服務(wù)器通常設(shè)置在核心交換機(jī)的VLAN共享端口上。,交換機(jī)主要考慮使用協(xié)議類型（多協(xié)議情況下，如TCP/IP，IPX、APPLE TALK等）或網(wǎng)絡(luò)層地址（如IP地址、 IP子網(wǎng)地址）進(jìn)行VLAN劃分。此時(shí)，VLAN的子網(wǎng)地址實(shí)際要和MAC地址聯(lián)系交換。特點(diǎn)：可移動(dòng)性，但根據(jù)報(bào)文的第3層地址（如IP地址）進(jìn)行檢查速度慢，可篡改。,用IP組播地址區(qū)分VLAN。特點(diǎn)：動(dòng)態(tài)性，可以實(shí)現(xiàn)WAN 的VLAN。實(shí)際也是基于IP層的VLAN方式。,3、按第三層協(xié)議或參數(shù),4、IP 組播VLAN,5、基于策略VLAN,根據(jù)一種策略和以上多種劃分策略的組合劃分VLAN 。,5.3 VLAN成員信息傳遞,解決在多

11、交換機(jī)的狀態(tài)下（特別是城域、廣域范圍）建立VLAN的問題，需要在互連交換機(jī)間交換VLAN成員信息，或是說一個(gè)以太廣播幀通過網(wǎng)絡(luò)某交換機(jī)時(shí)，交換機(jī)怎樣識(shí)別該幀屬于VLAN1或VLAN2 。,VLAN2,EF,VLAN1,VLAN1,？,？,在多交換機(jī)的條件下，早期也有廠家私有協(xié)議，如Cisco，Inter-Switch Link,ISL協(xié)議,在單交換機(jī)機(jī)VLAN條件下，基本是原有交換機(jī)機(jī)制的隱式傳遞方式（不需要特別協(xié)議，廠家自己定義） 。,目前是使用IEEE802.1Q標(biāo)準(zhǔn)（1996.3通過）， IEEE802.1Q標(biāo)準(zhǔn)是幀標(biāo)記的VLAN方式，擴(kuò)展以太網(wǎng)幀結(jié)構(gòu)方法，即在以太網(wǎng)幀結(jié)構(gòu)中的幀頭位置套

12、上一個(gè)顯式的VLAN標(biāo)記Tag（4字節(jié)的VLAN地址編碼），在多交換機(jī)間（特別是骨干鏈路上）傳遞，以表明這個(gè)幀是屬于哪個(gè)VLAN的。,多交換機(jī)間以太幀在上聯(lián)或骨干端口/鏈路上怎樣傳遞呢？ 即怎樣識(shí)別并轉(zhuǎn)送到某個(gè)VLAN？,VPID：VLAN Protocol Identifier，表明已按照802.1Q 標(biāo)準(zhǔn)(碼值 8100H)。 VCI： VLAN Control Information User-Priority：用戶優(yōu)先級(jí)（在以太網(wǎng)這樣無(wú)優(yōu)先級(jí)網(wǎng)段中使用） TR-encap：=1表示幀數(shù)據(jù)是原始Token Ring幀數(shù)據(jù) VID： VLAN Identifier，最大4096個(gè)VLAN,

13、以太網(wǎng)VLAN IEEE802.1Q格式,前導(dǎo)碼,幀頭定界符,32Bit,VPID,16b,VCI,16b,3b,8b,DA,SA,ETag,TYPE,數(shù)據(jù),FCS,User-Priority,TR-encap,VID,1b,12b,IEEE802.1Q是MAC二層的VLAN標(biāo)準(zhǔn)，它在原來(lái)的DA目的地址/SA源地址之后，插入4字節(jié)的VLAN標(biāo)記，在幀存儲(chǔ)交換的時(shí)候進(jìn)行辨別和只向VLAN組內(nèi)的用戶廣播發(fā)送。,IEEE802.1Q標(biāo)準(zhǔn)中對(duì)推動(dòng)VLAN發(fā)展起到了關(guān)鍵作用。但4K的VLAN組地址標(biāo)記，在大型城域網(wǎng)、廣域網(wǎng)顯得不夠。,另一個(gè)影響VLAN規(guī)模的指標(biāo)是核心或骨干交換機(jī)的VLAN MAC地址容

14、量，它決定了VLAN規(guī)模（ VLAN容納主機(jī)數(shù)）。,什么是10M或100M的以太網(wǎng)交換電路？有什么用？,怎樣形成10M或100M以太網(wǎng)交換電路？對(duì)VLAN標(biāo)記地址空間有什么影響。,5.4 VLAN間的通信,隔離的VLAN間通信，如同兩個(gè)孤立LAN一般需要使用路由手段在三層完成通信，在大型網(wǎng)絡(luò)中，VLAN內(nèi)的數(shù)據(jù)交換和VLAN間的數(shù)據(jù)傳輸?shù)穆酚?，兩者技術(shù)的集成是新發(fā)展方向。,VLAN 間通信的路由模式,1、邊界路由,將路由功能包含在主干網(wǎng)絡(luò)邊界的每一個(gè)LAN交換機(jī)中（通常邊緣匯聚交換機(jī)），VLAN間的IP報(bào)文由交換機(jī)內(nèi)在（內(nèi)嵌）的路由模塊處理，而無(wú)需傳輸?shù)酵獠康穆酚善魃咸幚怼?特點(diǎn)：邊緣匯聚交換

15、機(jī)必須部署路由功能交換機(jī)，數(shù)據(jù)延時(shí)小，但相對(duì)統(tǒng)一的路由器網(wǎng)絡(luò)管理來(lái)說，管理復(fù)雜。,匯聚S,S,S,匯聚S,Servers,S,核心S,匯聚S,S,S,S,S,邊界路由,邊界路由,邊界路由,邊界路由能否設(shè)置在核心或接入交換器中？,2、”獨(dú)臂“路由器,”獨(dú)臂“路由結(jié)構(gòu)是在一個(gè)多交換機(jī)的網(wǎng)絡(luò)中的主干上設(shè)置一臺(tái)獨(dú)立的路由器，當(dāng)VLAN域內(nèi)通信時(shí)直接使用交換機(jī)制；當(dāng)需要在VLAN間進(jìn)行IP通信的時(shí)候，經(jīng)過”獨(dú)臂“路由器路由轉(zhuǎn)發(fā)。 特點(diǎn)：集中路由適用以VLAN間通信較少的場(chǎng)合（一般企業(yè)），但結(jié)構(gòu)和管理簡(jiǎn)單，路由器的單點(diǎn)故障造成癱瘓。也可以設(shè)置多個(gè)路由器進(jìn)行冗余和負(fù)載分擔(dān)。,3、ATM上多協(xié)議路由（MPOA

16、）,MPOA本身具有路由功能，當(dāng)通過ATM連接ELAN或VLAN時(shí)ATM接口具有路由轉(zhuǎn)發(fā)能力。,匯聚S,S,S,匯聚S,Servers,S,核心S,匯聚S,S,S,S,S,獨(dú)臂路由器,VLAN1,VLAN2,5、第L3交換技術(shù)。,4、路由服務(wù)器和路由客戶機(jī),這是一種分布路由結(jié)構(gòu)，結(jié)構(gòu)外觀上非常相似”獨(dú)臂“路由器，但LAN交換機(jī)中也要有必要的路由功能。當(dāng)需要在VLAN間進(jìn)行路由的時(shí)候，報(bào)文被緩存在主干邊界的LAN交換機(jī)上，此時(shí)交換機(jī)與路由服務(wù)器交互相關(guān)進(jìn)一步轉(zhuǎn)發(fā)連接信息，確定轉(zhuǎn)發(fā)路徑。 這種模式網(wǎng)絡(luò)傳輸?shù)臄?shù)據(jù)報(bào)大量減少，但LAN交換機(jī)中也要有必要的路由功能，結(jié)構(gòu)和管理復(fù)雜,匯聚S,S,S,匯聚S

17、,Servers,S,核心S,匯聚S,S,S,S,S,路由服務(wù)器,VLAN1,VLAN2,路由功能,路由功能,5、第L3交換技術(shù)。,4、路由服務(wù)器和路由客戶機(jī),這是一種分布路由結(jié)構(gòu)，結(jié)構(gòu)外觀上非常相似”獨(dú)臂“路由器，但LAN交換機(jī)中也要有必要的路由功能。當(dāng)需要在VLAN間進(jìn)行路由的時(shí)候，報(bào)文被緩存在主干邊界的LAN交換機(jī)上，此時(shí)交換機(jī)與路由服務(wù)器交互相關(guān)進(jìn)一步轉(zhuǎn)發(fā)連接信息，確定轉(zhuǎn)發(fā)路徑。 這種模式網(wǎng)絡(luò)傳輸?shù)臄?shù)據(jù)報(bào)大量減少，但LAN交換機(jī)中也要有必要的路由功能，結(jié)構(gòu)和管理復(fù)雜,5.5 以太網(wǎng)接入控制和IEEE802.1X,早期以太網(wǎng)終端可不受限制地接入LAN/MAN，但公共大廈的辦公網(wǎng)絡(luò)中不希望

18、其他組織或個(gè)人接入，特別是運(yùn)營(yíng)以太網(wǎng)（如校園網(wǎng)、小區(qū)網(wǎng)等）需要提供一種廉價(jià)的、通過認(rèn)證的許可接入方法。,802.1x協(xié)議基于Client/Server的訪問控制和認(rèn)證協(xié)議，可限制未授權(quán)的用戶/設(shè)備通過接入端口訪問LAN/WLAN。在認(rèn)證通過之前，802.1x只允許EAPoL（Extensible Authentication Protocol over LAN ）數(shù)據(jù)通過端口；認(rèn)證通過以后，正常的數(shù)據(jù)可以順利地通過以太網(wǎng)端口。,IEEE 802.1X全稱是“基于端口的網(wǎng)絡(luò)接入控制”。2001年標(biāo)準(zhǔn)化，之后為了配合無(wú)線網(wǎng)絡(luò)的接入進(jìn)行修訂改版，于2004年完成。,網(wǎng)絡(luò)訪問技術(shù)的核心部分是PAE（端

19、口訪問實(shí)體）， PAE包含3部分：對(duì)接入的用戶/設(shè)備進(jìn)行認(rèn)證的端口,被認(rèn)證的用戶/設(shè)備,認(rèn)證服務(wù)器。,以太網(wǎng)的每個(gè)物理端口被分為受控和不受控的兩個(gè)邏輯端口，其中，不受控端口始終處于雙向聯(lián)通狀態(tài)(傳輸認(rèn)證信息);而受控端口的聯(lián)通或斷開是由該端口的授權(quán)狀態(tài)決定的, PAE根據(jù)認(rèn)證過程的結(jié)果，控制受控端口的授權(quán)/未授權(quán)狀態(tài)。,802.1x工作過程,1.當(dāng)啟動(dòng)802.1X客戶端，發(fā)出請(qǐng)求認(rèn)證報(bào)文給交換機(jī)，然后按交換機(jī)要求，輸入用戶名和口令（申請(qǐng)和等記的）。 2.交換機(jī)將客戶端送上來(lái)的EAPoL數(shù)據(jù)幀經(jīng)過封包處理后送給認(rèn)證服務(wù)器。 4.認(rèn)證服務(wù)器（Raduis認(rèn)證、AAA認(rèn)證服務(wù)器）隨機(jī)生成一個(gè)加密字，

20、傳給客戶端。 5.客戶端用該加密字對(duì)口令進(jìn)行加密處理，通過交換機(jī)返回認(rèn)證服務(wù)器。 6.認(rèn)證服務(wù)器比較加密后的口令信息和其自己經(jīng)過加密運(yùn)算后的口令信息進(jìn)行對(duì)比，確定接入請(qǐng)求成功和失敗。,客戶/服務(wù)器信息通過PAE轉(zhuǎn)發(fā)，4-6過程通過密碼處理挑戰(zhàn)的認(rèn)證過程（如Raduis認(rèn)證標(biāo)準(zhǔn)處理）。,802.1x應(yīng)用環(huán)境,(1)交換式以太網(wǎng)絡(luò)環(huán)境:交換式以太網(wǎng)中，用戶和網(wǎng)絡(luò)之間采用點(diǎn)到點(diǎn)的物理連接，用戶常通過VLAN隔離，此網(wǎng)絡(luò)環(huán)境下，網(wǎng)絡(luò)管理控制的關(guān)鍵是用戶接入控制，802.1x不需要提供過多的安全機(jī)制。 (2)共享式網(wǎng)絡(luò)環(huán)境:共享式的以太網(wǎng)環(huán)境時(shí)，用戶之間共享接入物理媒介，為了防止在共享式的網(wǎng)絡(luò)環(huán)境中出現(xiàn) “搭載”的問題，PAE實(shí)體由物理端口進(jìn)一步擴(kuò)展為多個(gè)互相獨(dú)