VLAN ( Virtual Local Area Networkd )

VLAN是在一個物理網(wǎng)絡(luò)上劃分出來的邏輯網(wǎng)絡(luò)。這個網(wǎng)絡(luò)對應(yīng)與OSI模型的第二層網(wǎng)絡(luò)。

VLAN的劃分不受網(wǎng)絡(luò)端口的實際物理位置的限制;

VLAN有著和普通物理網(wǎng)絡(luò)同樣的屬性;

第二層的單播、廣播和多播幀在一個VLAN內(nèi)轉(zhuǎn)發(fā)、擴散，而不會直接進入其他的VLAN之中。

交換機收到廣播幀后，只轉(zhuǎn)發(fā)到屬于統(tǒng)一vlan的其他端口

由于實現(xiàn)了廣播域分隔，VLAN可以將廣播風(fēng)暴控制在一個VLAN內(nèi)部，劃分VLAN后，隨著廣播域的縮小，網(wǎng)絡(luò)中廣播包消耗的帶寬所占的比例大大降低，網(wǎng)絡(luò)性能得到顯著的提高;

不同的VLAN間的數(shù)據(jù)傳輸是通過第三層(網(wǎng)絡(luò)層)的路由來實現(xiàn)的，因此使用VLAN技術(shù)，結(jié)合數(shù)據(jù)鏈路層和網(wǎng)絡(luò)層的交換設(shè)備可搭建安全可靠的網(wǎng)絡(luò);

同時，由于VLAN是邏輯的而不是物理的，因此在規(guī)劃網(wǎng)絡(luò)時可以避免地理位置的限制。

VLAN的劃分方法

基于端口的VLAN ( Port-Based )

基于協(xié)議的VLAN ( Protocol-Based )

基于MAC層分組的VLAN ( MAC-Layer Grouping )

基于網(wǎng)絡(luò)層分組的VLAN ( Network-Layer Grouping )

基于IP組播分組的VLAN ( IP Multicast Grouping )

基于策略的VLAN ( Policy-Based )

基于端口的靜態(tài)VLAN

基于端口的靜態(tài)VLAN是劃分虛擬局域網(wǎng)最簡單也是最有效的方法，它實際上是某些交換機端口的集合，網(wǎng)絡(luò)管理員只需要管理和配置交換機的端口，而不管交換機端口連接什么設(shè)備。這種劃分VLAN的方法是根據(jù)以太網(wǎng)交換機的端口來劃分的，是目前業(yè)界定義VLAN最廣泛的方法。IEEE802.1Q規(guī)定了這種劃分VLAN的國際標(biāo)準(zhǔn)。

基于端口的VLAN在實現(xiàn)上包括兩個步驟：

1. 首先啟用VLAN(用VLAN ID標(biāo)識);

2. 而后將交換機端口指定到相應(yīng)VLAN下;

隔離的廣播域

基于端口的VLAN(Port VLAN)將交換機按端口的VLAN ID 指定實現(xiàn)了邏輯劃分，廣播域被限定在相同VLAN的端口集合中，不同VLAN間不能直接通信。當(dāng)使用多臺交換機分別配置VLAN后，可以使用Trunk(干道)方式實現(xiàn)跨交換機的VLAN內(nèi)部連通，交換機的Trunk端口不隸屬于某個VLAN， 而是可以承載所有VLAN的幀。

這種實現(xiàn)跨交換機的VLAN技術(shù)在早期使用幀過濾，而目前的國際標(biāo)準(zhǔn)規(guī)定采用幀標(biāo)記。網(wǎng)絡(luò)管理的邏輯結(jié)構(gòu)可以完全不受實際物理連接的限制，極大地提高了組網(wǎng)的靈活性。

何謂Trunk

所謂的Trunk是用來在不同的交換機之間進行連接，以保證在跨越多個交換機上建立的同一個VLAN的成員能夠相互通訊，其中交換機之間互聯(lián)用的端口就稱為Trunk端口。Trunk這個詞是干線或者樹干的意思，不過一般不翻譯，直接用原文。

注意：與一般的交換機級聯(lián)不同，Trunk是基于OSI第二層的。

在交換機之間或交換機與路由器之間，互相連接的端口上配置中繼模式(Trunk口是中繼口，同一端口傳輸不同VLAN信息的時候需要設(shè)置Trunk)，使得屬于不同VLAN的數(shù)據(jù)幀都可以通過這條中繼鏈路進行傳輸。

幀的格式分為兩種：

* ISL: Inter-Switch Link， 是Cisco交換機獨有的協(xié)議;

* IEEE 802.1Q：是國際標(biāo)準(zhǔn)協(xié)議，被幾乎所有的網(wǎng)絡(luò)設(shè)備生產(chǎn)商所共同支持;

默認(rèn)條件下，Trunk上會轉(zhuǎn)發(fā)交換機上存在的所有VLAN的數(shù)據(jù)。#p#

IEEE 802.1Q標(biāo)準(zhǔn)

IEEE 802.1Q使用4Byte的標(biāo)記頭來定義Tag(標(biāo)記)，Tag頭中包括2Byte的VPID(VLAN Protocol Identifier)和2Byte的VCI(VLAN Control Information)。

基于802.1Q Tag VLAN 用VID來劃分不同VLAN，當(dāng)數(shù)據(jù)幀通過交換機的時候，交換機根據(jù)數(shù)據(jù)幀中的Tag的VID信息來識別它們所在的VLAN(若幀中無Tag頭，則應(yīng)用幀所通過端口的默認(rèn)VID來識別它們所在的VLAN)。這使得所有屬于該VLAN的數(shù)據(jù)幀，不管是單播幀、組播幀還是廣播幀，都將被限制在該邏輯VLAN中傳輸。當(dāng)使用多臺交換機分別配置VLAN后，可以使用Trunk方式實現(xiàn)跨交換機的VLAN內(nèi)部連通，交換機的Trunk端口不隸屬于某個VLAN，而是可以承載所有VLAN的幀;

在VLAN配置中，我們可以使用switchport mode命令來指定一個二層接口(switch port)的模式，可以指定該接口為access port或者為trunk port(缺省為access)。

如果一個switch port的模式是access，則該接口只能為一個VLAN的成員，這種接口又稱為Port VLAN。

如果一個switch port的模式是trunk，則該接口可以是多個VLAN的成員，這種配置被稱為Tag VLAN。

Trunk接口默認(rèn)可以傳輸本交換機支持的所有VLAN(1~4094)，但是也可以通過設(shè)置接口的許可VLAN列表來限制某些VLAN的流量不能通過這個Trunk口。

跨交換機的VLAN劃分實例

假設(shè)某企業(yè)的網(wǎng)絡(luò)中，計算機PC1和PC3屬于營銷部門，PC2和PC4屬于技術(shù)部門，PC1和PC2連接在S2126-1上，PC3和PC4連接在S2126-2上，而兩個部門要求互相隔離，本實驗的目的是實現(xiàn)跨兩臺交換機將不同端口劃歸不同的VLAN。

步驟：

1. 在交換機S2126G-1上創(chuàng)建Vlan10，并將F0/1端口劃分到VLAN10中;

2. 在交換機S2126G-1上創(chuàng)建Vlan20，并將F0/2端口劃分到VLAN20中;

3. 在交換機S2126G-2上創(chuàng)建Vlan10，并將F0/1端口劃分到VLAN10中;

4. 在交換機S2126G-2上創(chuàng)建Vlan20，并將F0/1端口劃分到VLAN20中;

5. 把S2126G-1和S2126-2相連的端口F0/6定義為tag vlan模式;

6. 驗證PC1和PC3能相互通信，PC2和PC4能相互通信，但PC2和PC3不能相互通信;

關(guān)于端口的tag和untag：

1. 若一個端口下將有多個VLAN通過，那這個端口就要以tag方式加到各個VLAN里;

2. 若一個端口下只有一個VLAN通過，那這個端口就可以使用untag方式加到這個VLAN里;