实验三VLAN的基础配置.docVIP

实验三 VLAN 的基础配置 1．实验原理： 一、VLAN（Virtual LAN） HUB 或交换机相连，处在同一个广播域中。HUB 和交换机作为网络连接的基本设备，在转发功能方面有一定的局限性： ?? HUB 是物理层设备，没有交换功能，接收到的报文会向除接收端口外的所有端口转发； ?? 交换机是数据链路层设备，具备根据报文的目的MAC 地址进行转发的能力，但在收到广播报文或未知单播报文（报文的目的MAC 地址不在交换机MAC 地址表中）时，也会向除接收端口之外的所有端口转发。 上述情况会造成以下的网络问题： ?? 网络中可能存在着大量广播和未知单播报文，浪费网络资源。 ?? 网络中的主机收到大量并非以自身为目的地的报文，造成了严重的安全隐患。 解决以上网络问题的根本方法就是隔离广播域。传统的方法是使用路由器，因为路由器是依据目的IP 地址对报文进行转发，不会转发链路层的广播报文。但是路由器的成本较高，而且端口较少，无法细致地划分网络，所以使用路由器隔离广播域有很大的局限性。 为了解决以太网交换机在局域网中无法限制广播的问题，VLAN（Virtual Local Area Network，虚拟局域网）技术应运而生。 VLAN可以是由少数几台家用计算机构成的网络，也可以是数以百计的计算机构成的企业网络。VLANLAN划分成多个逻辑上的LAN，每个VLAN是一个广播域。VLAN的组网如下图所示： 同一VLAN内的主机间通过传统的以太网通信方式即可进行报文的交互，而处在不同VLAN内的主机之间如果需要通信，则必须通过路由器或三层交换机等网络层设备才能够实现。 二、VLAN 的优点 与传统以太网相比，VLAN 具有如下的优点： 控制广播域的范围：局域网内的广播报文被限制在一个 VLAN 内，节省了带宽，提高了网络处理能力。 增强了 LAN 的安全性：由于报文在数据链路层被VLAN 划分的广播域所隔离，因此各个VLAN内的主机间不能直接通信，需要通过路由器或三层交换机等网络层设备对报文进行三层转发。 灵活创建虚拟工作组：使用 VLAN 可以创建跨物理网络范围的虚拟工作组，当用户的物理位置在虚拟工作组范围内移动时，不需要更改网络配置即可以正常访问网络。 三、VLAN原理 1. VLAN Tag 为使交换机能够分辨不同VLAN 的报文，需要在报文中添加标识VLAN 的字段。由于交换机工作在OSI 模型的数据链路层（三层交换机不在本章节讨论范围内），只能对报文的数据链路层封装进行识别。因此，识别字段需要添加到数据链路层封装中。 传统的以太网数据帧在目的MAC地址和源MAC地址之后封装上层协议的类型字段。如下图所示： 其中 DA 表示目的MAC 地址，SA 表示源MAC 地址，Type 表示报上层协议的类型字段。IEEE 802.1Q 协议规定，在目的MAC 地址和源MAC 地址之后封装4 个字节的VLAN Tag，用以标识VLAN 的相关信息。 VLAN Tag的组成字段如下图所示： VLAN Tag包含四个字段，分别是TPID（Tag Protocol Identifier，标签协议标识符）、Priority、CFI（Canonical Format Indicator，标准格式指示位）和VLAN ID。 ??TPID：用来标识本数据帧是带有VLAN Tag 的数据帧。该字段长度为16bit，在H3C 系列以太网交换机上缺省取值为协议规定的0x8100。 Priority：用来表示802.1P 的优先级。该字段长度为3bit，相关介绍和应用请参见本手册“QoS-QoS Profile”部分的介绍。 CFI：用来标识MAC 地址是否以标准格式进行封装。该字段长度为1bit，取值为0 表示MAC地址以标准格式进行封装，为1 表示以非标准格式封装，缺省取值为0。 VLAN ID：用来标识该报文所属VLAN 的编号。该字段长度为12bit，取值范围为0～4095。由于0 和4095 通常不使用，所以VLAN ID 的取值范围一般为1～4094。 2、VLAN 接口 位于不同 VLAN内的主机之间不能直接通信，需要通过路由器或三层交换机等网络层设备进行转发，S3600 系列以太网交换机支持通过配置VLAN 接口实现对报文进行三层转发。VLAN 接口是一种三层模式下的虚拟接口，主要用于实现VLAN 间的三层互通，它不作为物理实体存在于交换机上。每个VLAN 对应一个VLAN 接口，该接口可以为本VLAN 内端口收到的报文根据其目的IP 地址在网络层进行转发。通常情况下，由于VLAN 能够隔离广播域，因此每个VLAN 也对应一个IP 网段，VLAN 接口将作为该网段的网关对需要跨网段转发的报文进行基于IP 地址的三层转发。 3、基于端口的