畢業(yè)論文-虛擬局域網(wǎng)技術(shù)

1、<p><b>　　畢 業(yè) 論 文</b></p><p>　　論文題目： 虛擬局域網(wǎng)技術(shù) </p><p><b>　　內(nèi) 容 摘 要</b></p><p>　　虛擬局域網(wǎng)（VLAN）是一種通過將局域網(wǎng)內(nèi)的設(shè)備邏輯地而不是物理地劃分成一個個網(wǎng)段從而實現(xiàn)虛擬工作組的新興技術(shù)，在功能和操作上和傳統(tǒng)

2、的LAN基本相同。虛擬局域網(wǎng)技術(shù)是目前網(wǎng)絡(luò)界最熱門的技術(shù)之一，也是交換網(wǎng)絡(luò)中最重要的技術(shù)之一，它的出現(xiàn)是和局域網(wǎng)的交換技術(shù)的發(fā)展分不開的。VLAN的出現(xiàn)打破了傳統(tǒng)網(wǎng)絡(luò)的許多固有觀念，使網(wǎng)絡(luò)結(jié)構(gòu)變得靈活、方便。</p><p>　　隨著網(wǎng)絡(luò)技術(shù)日新月異的發(fā)展，現(xiàn)代局域網(wǎng)已進入高速交換時代。以交換技術(shù)為基礎(chǔ)產(chǎn)生的VLAN技術(shù)是一種新的熱門技術(shù)，目前正在得到越來越廣泛的應(yīng)用從某種角度講，VLAN技術(shù)己經(jīng)成為現(xiàn)代大型局域

3、網(wǎng)建設(shè)、管理和應(yīng)用不可缺少的技術(shù)。研究VLAN技術(shù)的應(yīng)用，對于網(wǎng)絡(luò)的建設(shè)、管理和應(yīng)用具有十分重要的意義。</p><p>　　[關(guān)鍵詞]：虛擬局域網(wǎng) 技術(shù) 劃分 應(yīng)用</p><p><b>　　Abstract</b></p><p>　　The virtual local area network (VLAN), is one kind t

4、hrough is not physics divides local area network in equipment logic each one webpage to realize the hypothesized work team's emerging technology, in function and operation and traditional LAN basic same.The virtual l

5、ocal area network technology is one of present network most popular technologies, also is exchanges in the network one of most important technical, its appearance is and the local area network exchange technology develop

6、ment cannot </p><p>　　With the rapid development of network technology, modern high-speed local area network has entered the era of exchange. In exchange for technology-based VLAN generated by the new techno

7、logy is a hot technology, is being increasingly wide range of applications from a certain point say, VLAN technology has been become a modern large-scale local area network construction, management and application of ess

8、ential technologies. VLAN technology research for the campus network construction, management a</p><p>　　Keywords：Virtual local area network, Technology, Divided, Applyszz</p><p><b>　　目

9、 錄</b></p><p>　　1、局域網(wǎng)（VLAN）基礎(chǔ)1</p><p>　　1.1、虛擬局域網(wǎng)概述1</p><p>　　1.1.1虛擬局域網(wǎng)的定義1</p><p>　　1.1.2 VLAN的由來1</p><p>　　1.2、虛擬局域網(wǎng)的特點3</p><p>

10、　　1.2.1 VLAN的特性3</p><p>　　1.2.2 VLAN與傳統(tǒng)的LAN相比較的優(yōu)勢3</p><p>　　2 、虛擬局域網(wǎng)的劃分4</p><p>　　2.1、基于端口的VLAN劃分4</p><p>　　2.2、基于MAC地址的VLAN劃分4</p><p>　　2.3、基于網(wǎng)絡(luò)層的劃分

11、5</p><p>　　2.4、基于策略的VLAN劃分5</p><p>　　3、 虛擬局域網(wǎng)協(xié)議5</p><p>　　3.1、IEEE802.1Q協(xié)議5</p><p>　　3.2、VLAN 鏈路6</p><p>　　3.2.1 vlan鏈路類型6</p><p>　　

12、3.2.2 VLAN幀在網(wǎng)絡(luò)中的通信7</p><p>　　3.2.3 Trunk和VLAN7</p><p>　　4、VLAN間路由8</p><p>　　4.1、VLAN間路由的需求8</p><p>　　4.1.1 VLAN隔離二層廣播域8</p><p>　　4.1.2連接不同的VLAN9</

13、p><p>　　4.2、三層交換機做VLAN間路由9</p><p>　　4.2.1 VLAN間路由的解決方案9</p><p>　　4.2.2使用VLAN Trunkint10</p><p>　　4.2.3基于內(nèi)部硬件路由引擎的三層交換機11</p><p>　　5、虛擬局域網(wǎng)應(yīng)用實例12</p>

14、<p>　　5.1、思科單臂路由配置12</p><p>　　5.2、利用VLAN進行學校配置13</p><p><b>　　注釋18</b></p><p><b>　　參考文獻19</b></p><p><b>　　致謝20</b></p&

15、gt;<p>　　1 局域網(wǎng)（VLAN）基礎(chǔ)</p><p>　　1.1 虛擬局域網(wǎng)概述</p><p>　　1.1.1虛擬局域網(wǎng)的定義</p><p>　　VLAN（Virtual Local Area Network）即虛擬局域網(wǎng)，是一種通過將局域網(wǎng)內(nèi)的設(shè)備邏輯地而不是物理地劃分成一個個網(wǎng)段從而實現(xiàn)虛擬工作組的新興技術(shù)[1]。它允許網(wǎng)絡(luò)管理者將一個

16、物理的LAN邏輯地劃分成不同的廣播域（或稱虛擬LAN，即VLAN），每一個VLAN都包含一組有著相同需求的計算機工作站，與物理上形成的LAN有著相同的屬性。但由于它是邏輯地而不是物理地劃分，所以同一個VLAN內(nèi)的各個工作站無須被放置在同一個物理空間里，即這些工作站不一定屬于同一個物理LAN網(wǎng)段。一個VLAN內(nèi)部的廣播和單播流量都不會轉(zhuǎn)發(fā)到其他VLAN中，從而有助于控制流量、減少設(shè)備投資、簡化網(wǎng)絡(luò)管理、提高網(wǎng)絡(luò)的安全性[2]。</p

17、><p>　　1.1.2 VLAN的由來</p><p><b>　　圖1-1廣播風暴</b></p><p>　　傳統(tǒng)的局域網(wǎng)使用的是HUB，HUB只有一根總路線，一根總路線就是一個沖突域。所以傳統(tǒng)的局域網(wǎng)是一個扁平的網(wǎng)絡(luò)，一個局域網(wǎng)屬于同一個沖突域，任何一臺主機發(fā)出的報文都會被同一沖突域的所有其它機器接收到。后來，組網(wǎng)的時使用網(wǎng)橋（二層交換機）

18、代替集線器（HUB），每個端口可以看成是一根單獨的總線，沖突域縮小到每個端口，使得網(wǎng)絡(luò)發(fā)送單播報文的效率大大提高，極大地提高了二層網(wǎng)絡(luò)的性能。但是網(wǎng)絡(luò)中所有端口仍然處于同一個廣播域，網(wǎng)橋在傳遞廣播報文的時候依然要將廣播報文復(fù)制多份，發(fā)送到網(wǎng)絡(luò)的各個角落。隨著網(wǎng)絡(luò)規(guī)模的擴大，網(wǎng)絡(luò)中的廣播報文越來越多，廣播報文占用的網(wǎng)絡(luò)資源越來越多，嚴重影響網(wǎng)絡(luò)性能，這是所謂的廣播風暴的問題。如圖1-1所示。</p><p>　　由

19、于網(wǎng)橋二層網(wǎng)絡(luò)工作原理的限制，網(wǎng)橋?qū)V播風暴的問題無能為力。為了提高網(wǎng)絡(luò)的效率，一般需要將網(wǎng)絡(luò)進行分段：把一個大的廣播域劃分成幾個小的廣播域。</p><p><b>　　圖1-2網(wǎng)絡(luò)分段</b></p><p>　　過去往往通過路由器對LAN進行分段。圖1-2中用路由器替換圖1-1中的中心節(jié)點交換機，使得廣播報文的發(fā)送范圍大大減小。這種方案解決了廣播風暴的問題，但是

20、用路由器是在網(wǎng)絡(luò)層上分段將網(wǎng)絡(luò)隔離，網(wǎng)絡(luò)復(fù)雜，組網(wǎng)方式不靈活，并且大大增加了管理維護的難度。做為替代的LAN分段的方法，虛擬局域網(wǎng)被引入到網(wǎng)絡(luò)解決方案中來，用于解決大型的二層網(wǎng)絡(luò)環(huán)境面臨的問題。</p><p><b>　　圖1-3劃分廣播域</b></p><p>　　虛擬局域網(wǎng)VLAN邏輯上把網(wǎng)絡(luò)資源和網(wǎng)絡(luò)用戶按照一定的原則進行劃分，把一個物理上實際的網(wǎng)絡(luò)劃分成多

21、個小的邏輯的網(wǎng)絡(luò)，這些小的邏輯的網(wǎng)絡(luò)形成各自的廣播域，也就是虛擬局域網(wǎng)[3]。圖1-3中幾個部門都使用一個中心交換機，但是各個部門屬于不同的VLAN，形成各自的的廣播域，廣播報文不能跨越這些廣播域傳送。虛擬局域網(wǎng)將一組位于不同物理網(wǎng)段上的用戶在邏輯上劃分成一個局域網(wǎng)內(nèi)，在功能和操作上與傳統(tǒng)LAN基本相同，可以提供一定范圍內(nèi)終端系統(tǒng)的互聯(lián)。</p><p>　　1.2 虛擬局域網(wǎng)的特點</p><

22、;p>　　1.2.1 VLAN的特性</p><p>　　VLAN是為解決以太網(wǎng)的廣播問題和安全性而提出的一種協(xié)議，它在以太網(wǎng)幀的基礎(chǔ)上增加了VLAN頭，用VLANID把用戶劃分為更小的工作組，同一個VLAN中的所有成員共同擁有一個VLANID，組成一個虛擬局域網(wǎng)絡(luò)；同一個VLAN中的成員均能收到本VLAN內(nèi)其他成員發(fā)來的廣播包，但收不到其他VLAN成員的廣播包；不同VLAN成員之間不可進行二層互訪直接通信

23、，需要通過三層交換或者路由支持才能通信，而同一VLAN中的成員通過VLAN交換機可以直接通信，不需路由支持[4]。</p><p>　　1.2.2 VLAN與傳統(tǒng)的LAN相比較的優(yōu)勢</p><p>　　(1)增加、移動、更改工作站靈活方便。在網(wǎng)絡(luò)中，工作站在一個建筑物內(nèi)或校園網(wǎng)內(nèi)增加、移動、更改是很常見的事情。劃分了VLAN后，當一個工作站需要變動物理位置時，只要通過網(wǎng)管工作站就可以重新

24、配置其屬性。當一個工作站在相同的VLAN內(nèi)移動位置時，它在新的位置仍然保留其原有的屬性:當一個工作站在不同VLAN之間移動時，就把新的VLAN的屬性應(yīng)用于這個站。若因作需要，部的一個人員需調(diào)到另一個部門，或因開發(fā)某個項目需要臨時組建一個由不同部門的技術(shù)人員組成的工作小組時，有了VLAN，小組的成員就不必真正集中到一起，他們只需坐在自己的計算機旁就可參與另一部門的工作或了解其他合作伙伴的工作情況。工作結(jié)束后，這個工作組可以隨之消失。<

25、;/p><p>　　(2)隔離廣播風暴，提高網(wǎng)絡(luò)性能。網(wǎng)絡(luò)中大量的廣播信息所帶來的帶寬消耗和網(wǎng)絡(luò)延遲甚至造成網(wǎng)絡(luò)堵塞，對用戶來講是不容忽視的。VLAN具有隔離廣播風暴的特點，可以把一個大的局域網(wǎng)劃分成幾個小的VLAN，使每個VLAN中的廣播信息大大減少，從而減少整個網(wǎng)絡(luò)范圍內(nèi)廣播包的傳輸，提高網(wǎng)絡(luò)傳輸效率。除此之外，在劃分VLAN時，若將工作性質(zhì)相同的用戶集中在同一個VLAN，減少跨VLAN的訪問，可減少路由器經(jīng)網(wǎng)絡(luò)

26、傳輸帶來的延遲，也能進一步提高網(wǎng)絡(luò)的性能。</p><p>　　(3)增強網(wǎng)絡(luò)的安全性。各個VLAN之間不能進行直接通信，而必須通過路由器轉(zhuǎn)發(fā)。如果VLAN之間沒有路由器，那么VLAN就是與外界隔離的，相當于一個獨立的局域網(wǎng)，可防止大部分以網(wǎng)絡(luò)監(jiān)聽為手段的入侵。當使用路由器轉(zhuǎn)發(fā)時，可以在路由器上進行相應(yīng)的設(shè)置，實現(xiàn)網(wǎng)絡(luò)的安全訪問控制。另外，在每個交換機端口只有一個工作站的結(jié)構(gòu)中，可以形成特別有效的限制非授權(quán)訪問的

27、屏障。</p><p>　　(4)提高網(wǎng)絡(luò)的可靠性。在VLAN中利用STP可以在兩條毛鏈路上進行負載分擔和冗余備份。也就是說，當兩條Trunk鏈路都工作的時候，可以使一部分VLAN通過一條毛田鏈路傳遞信息，另一部分VLAN通過另一條工m吐鏈路傳遞信息，使得兩條毛鏈路共同分擔信息傳遞，提高傳送速度;當兩條Trunk鏈路中有一條不能傳遞信息時，另一條自動承擔全部VLAN的信息傳遞，保證了網(wǎng)絡(luò)傳遞信息的可靠性。<

28、/p><p>　　2 虛擬局域網(wǎng)的劃分</p><p>　　2.1 基于端口的VLAN劃分</p><p>　　這是最常應(yīng)用的一種VLAN劃分方法，應(yīng)用也最為廣泛、最有效，目前絕大多數(shù)VLAN協(xié)議的交換機都提供這種VLAN配置方法。這種劃分VLAN的方法是根據(jù)以太網(wǎng)交換機的交換端口來劃分的，它是將VLAN交換機上的物理端口和VLAN交換機內(nèi)部的PVC（永久虛電路）端口

29、分成若干個組，每個組構(gòu)成一個虛擬網(wǎng)，相當于一個獨立的VLAN交換機。</p><p>　　對于不同部門需要互訪時，可通過路由器轉(zhuǎn)發(fā)，并配合基于MAC地址的端口過濾。對某站點的訪問路徑上最靠近該站點的交換機、路由交換機或路由器的相應(yīng)端口上，設(shè)定可通過的MAC地址集。這樣就可以防止非法入侵者從內(nèi)部盜用IP地址從其他可接入點入侵的可能。</p><p>　　從這種劃分方法本身我們可以看出，這種劃

30、分的方法的優(yōu)點是定義VLAN成員時非常簡單，只要將所有的端口都定義為相應(yīng)的VLAN組即可。適合于任何大小的網(wǎng)絡(luò)。它的缺點是如果某用戶離開了原來的端口，到了一個新的交換機的某個端口，必須重新定義。</p><p>　　2.2 基于MAC地址的VLAN劃分</p><p>　　這種劃分VLAN的方法是根據(jù)每個主機的MAC地址來劃分，即對每個MAC地址的主機都配置他屬于哪個組，它實現(xiàn)的機制就是

31、每一塊網(wǎng)卡都對應(yīng)唯一的MAC地址，VLAN交換機跟蹤屬于VLAN MAC的地址。這種方式的VLAN允許網(wǎng)絡(luò)用戶從一個物理位置移動到另一個物理位置時，自動保留其所屬VLAN的成員身份。</p><p>　　由這種劃分的機制可以看出，這種VLAN的劃分方法的最大優(yōu)點就是當用戶物理位置移動時，即從一個交換機換到其他的交換機時，VLAN不用重新配置，因為它是基于用戶，而不是基于交換機的端口。這種方法的缺點是初始化時，所有

32、的用戶都必須進行配置，如果有幾百個甚至上千個用戶的話，配置是非常累的，所以這種劃分方法通常適用于小型局域網(wǎng)。而且這種劃分的方法也導(dǎo)致了交換機執(zhí)行效率的降低，因為在每一個交換機的端口都可能存在很多個VLAN組的成員，保存了許多用戶的MAC地址，查詢起來相當不容易。另外，對于使用筆記本電腦的用戶來說，他們的網(wǎng)卡可能經(jīng)常更換，這樣VLAN就必須經(jīng)常配置。</p><p>　　2.3 基于網(wǎng)絡(luò)層的劃分</p>

33、;<p>　　VLAN按網(wǎng)絡(luò)層協(xié)議來劃分，可分為IP、IPX、DECnet、AppleTalk、Banyan等VLAN網(wǎng)絡(luò)[5]。這種按網(wǎng)絡(luò)層協(xié)議來組成的VLAN，可使廣播域跨越多個VLAN交換機。這對于希望針對具體應(yīng)用和服務(wù)來組織用戶的網(wǎng)絡(luò)管理員來說是非常具有吸引力的。而且，用戶可以在網(wǎng)絡(luò)內(nèi)部自由移動，但其VLAN成員身份仍然保留不變。</p><p>　　這種方法的優(yōu)點是用戶的物理位置改變了，不

34、需要重新配置所屬的VLAN，而且可以根據(jù)協(xié)議類型來劃分VLAN，這對網(wǎng)絡(luò)管理者來說很重要，還有，這種方法不需要附加的幀標簽來識別VLAN，這樣可以減少網(wǎng)絡(luò)的通信量。這種方法的缺點是效率低，因為檢查每一個數(shù)據(jù)包的網(wǎng)絡(luò)層地址是需要消耗處理時間的(相對于前面兩種方法)，一般的交換機芯片都可以自動檢查網(wǎng)絡(luò)上數(shù)據(jù)包的以太網(wǎng)禎頭，但要讓芯片能檢查IP幀頭，需要更高的技術(shù)，同時也更費時[5]。當然，這與各個廠商的實現(xiàn)方法有關(guān)。</p>

35、<p>　　2.4 基于策略的VLAN劃分</p><p>　　這是最靈活的VLAN劃分方法，具有自動配置的能力，能實現(xiàn)多種分配方法，包括VLAN交換機端口、MAC地址、IP地址、網(wǎng)絡(luò)層協(xié)議等，把相關(guān)的用戶連成一體，在邏輯劃分上稱為“關(guān)系網(wǎng)絡(luò)”[6]。網(wǎng)絡(luò)管理員只需在網(wǎng)管軟件中確定劃分VLAN的規(guī)則（或?qū)傩裕?，那么當一個站點加入網(wǎng)絡(luò)中時，將會被“感知”，并被自己地包含進正確的VLAN中。同時，對站點的

36、移動和改變也可自動識別和跟蹤。</p><p><b>　　3 虛擬局域網(wǎng)協(xié)議</b></p><p>　　3.1 IEEE802.1Q協(xié)議</p><p>　　IEEE802.1Q是虛擬橋接局域網(wǎng)的正式標準，定義了同一個物理鏈路上承載多個子網(wǎng)的數(shù)據(jù)流的方法。IEEE802.1Q定義了VLAN幀格式，為識別幀屬于哪個VLAN提供了一個標準的方

37、法。 這個格式統(tǒng)一了標識VLAN的方法，有利于保證不同廠家設(shè)備配置的VLAN問題。</p><p>　　IEEE802.1Q定義了以下內(nèi)容：VLAN的架構(gòu)、VLAN中所提供的服務(wù)、VLAN實施中涉及的協(xié)議和算法；IEEE802.1Q協(xié)議不僅規(guī)定VLAN中的MAC幀的格式，而且還制定諸如幀發(fā)送及校驗、回路檢測，對業(yè)務(wù)質(zhì)量（QOS）參數(shù)的支持以及對網(wǎng)管系統(tǒng)的支持等方面的標準。如圖3-1所示</p>&l

38、t;p>　　圖3-1IEEE802.1Q概述</p><p>　　3.2 VLAN 鏈路</p><p>　　3.2.1 vlan鏈路類型</p><p>　　圖3-2 Access Link和TrunkLink</p><p>　　接入鏈路指(Access Link)的是用于連接主機和交換機的鏈路，通常情況下主機并不需要知道

39、自己屬于哪些VLAN，主機的硬件也不一定支持帶有VLAN標記的幀，主機要求發(fā)送和接收的幀都是沒有打上標記的幀。</p><p>　　接入鏈路屬于某一個特定的端口，這個端口屬于一個并且只能是一個VLAN，這個端口不能直接接收其它VLAN的信息，也不能直接向其它VLAN發(fā)送信息。不同VLAN的信息必須通過三層路由處理才能轉(zhuǎn)發(fā)到這個端口上。</p><p>　　干道鏈路“trunk link”是

40、可以承載多個不同VLAN數(shù)據(jù)的鏈路[7]。干道鏈路通常用于交換機間的，或者用于交換機和路由器之間的連接。和接入鏈路不同，干道鏈路是用來在不同的設(shè)備之間（如交換機和路由器之間、交換機與交換機之間）承載VLAN的。通過配置，干道鏈路可以承載所有的VLAN數(shù)據(jù)，也可以配置為只能傳輸指定的VLAN的數(shù)據(jù)。</p><p>　　3.2.2 VLAN幀在網(wǎng)絡(luò)中的通信</p><p>　　圖3-3 幀在

41、網(wǎng)絡(luò)中的通信</p><p>　　圖3-3表示一個局域網(wǎng)環(huán)境，網(wǎng)絡(luò)中有兩臺交換機，并且配置了兩個VLAN。主機和交換機之間的鏈路是接入鏈路，交換機之間通過干道鏈路互相連接[8]。 </p><p>　　對于主機來說，它是不需要知道VLAN的存在的。主機發(fā)出的報文都是untagged的報文；交換機接收到這樣的報文之后，根據(jù)配置規(guī)則（如端口信息）判斷出報文所屬VLAN進行處理，如果報文需要通過

42、另外一臺交換機發(fā)送，則該報文必須通過干道鏈路傳輸?shù)搅硗庖慌_交換機上。為了保證其它交換機正確處理報文的VLAN信息，在干道鏈路上發(fā)送的報文都帶上了VLAN標記。</p><p>　　當交換機最終確定報文發(fā)送端口后，將報文發(fā)送給主機之前，將VLAN的標記從以太網(wǎng)幀中刪除，這樣主機接收到的報文都是不帶VLAN的標記的以太網(wǎng)幀[9]。</p><p>　　所以一般情況下，干道鏈路上傳送的都是Tag

43、ged Frame，接入鏈路上傳送的都是Untagged Frame。這樣做的最終結(jié)果是：網(wǎng)絡(luò)中配置的VLAN可以被所有的交換機正確處理，而主機不需要了解VLAN信息。</p><p>　　3.2.3 Trunk和VLAN</p><p>　　無論一個網(wǎng)絡(luò)由多少個交換機構(gòu)成，也無論一個VLAN跨越了多少個交換機，按照VLAN的定義，一個VLAN就確定了一個廣播域[10]。廣播報文能夠被在一

44、個廣播域中的所有主機接收到，也就是說，廣播報文必須被發(fā)送一個VLAN中的所有端口。因為VLAN可能跨越多少交換機，當一個交換機從某VLAN的一個端口收到廣播報文之后，為了保證同屬一個VLAN的所有主機都接收到這個廣播報文，交換機必須按照如下原則報文進行轉(zhuǎn)發(fā)：</p><p>　　1.發(fā)送給本交換機中同一個VLAN中的其它端口；</p><p>　　2.將這個報文發(fā)送給本交換機的包含這個VL

45、AN的所有干道鏈路，以便讓其它交換機上的同一個VLAN的端口也發(fā)送該報文。</p><p>　　圖3-4 Trunk和VLAN</p><p>　　將一個端口設(shè)置成Trunk端口后，也就是說，和這個端口相連的名字路被設(shè)置為Trunk鏈路，同時還可以配置哪些VLAN的報文可以通過這個干道鏈路。如圖3-4所示</p><p><b>　　4 VLAN間路由&l

46、t;/b></p><p>　　4.1 VLAN間路由的需求</p><p>　　4.1.1 VLAN隔離二層廣播域</p><p>　　圖4-1 VLAN隔離二層廣播域</p><p>　　為了解決網(wǎng)絡(luò)由廣播導(dǎo)致的效率下降和安全性等問題，VLAN的概念被引入，在支持VLAN功能的交換機組成的網(wǎng)絡(luò)中，每一個VLAN計數(shù)一個獨立的廣播域

47、；VLAN之間被嚴格地隔離開來，任何一個幀都不能從自己所屬的VLAN被轉(zhuǎn)發(fā)到其他的VLAN中。整個網(wǎng)絡(luò)被劃分為若干個規(guī)模更小的廣播域，網(wǎng)絡(luò)系統(tǒng)的廣播被控制在相對比較小的范圍內(nèi)，提高了網(wǎng)絡(luò)的帶寬利用率，改善網(wǎng)絡(luò)效率和性能。每個人都不能隨意地從網(wǎng)絡(luò)上的一點，毫無控制地直接訪問另一點的網(wǎng)絡(luò)或監(jiān)聽整個網(wǎng)絡(luò)上的幀，隔離的廣播域改善了網(wǎng)絡(luò)的性能。如圖4-1。 </p><p>　　VLAN可以實現(xiàn)

48、對用戶的分組，通過配置VLAN可以實現(xiàn)靈活的網(wǎng)絡(luò)管理，同時在網(wǎng)絡(luò)遷移的時候，由于交換機的靈活配置，可以物設(shè)計，而不需要修改網(wǎng)絡(luò)的布線等煩瑣、耗時的工作。</p><p>　　4.1.2連接不同的VLAN</p><p>　　“無連不成網(wǎng)”，一個網(wǎng)絡(luò)在使用VLAN隔離成多個廣播域后，各個VLAN之間是不能互相訪問的，因為各個VLAN的流量實際上已經(jīng)在物理上隔離開來了。隔離網(wǎng)絡(luò)并不是建網(wǎng)的最終

49、目的，選擇VLAN隔離只是為了優(yōu)化網(wǎng)絡(luò)，最終我們還是要讓整個網(wǎng)絡(luò)能夠暢通起來。</p><p>　　VLAN之間的通信是解決方法是：在VLAN配置路由器，這樣VLAN內(nèi)部的流量仍然通過原來的VLAN內(nèi)部的二層網(wǎng)絡(luò)進行，從一個VLAN到另外一個VLAN的通信流量，通過路由在三層上進行轉(zhuǎn)發(fā)，轉(zhuǎn)發(fā)到目的網(wǎng)絡(luò)后，再通過二層交換網(wǎng)絡(luò)把報文最終發(fā)送給目的主機[11]。如圖4-2所示</p><p>　

50、　圖4-2 VLAN間通信的路由選擇</p><p>　　由于路由器對以太網(wǎng)上的廣播報文采取不轉(zhuǎn)發(fā)的策略，因此中間配置的路由器仍然不會改變劃分VLAN所達到的廣播的目的。在VLAN之間做互聯(lián)使用的路由器上，我們可以通過各種配置，比如對路由協(xié)議的配置、對訪問控制的配置等形成對VLAN之間互相訪問的控制策略，使網(wǎng)絡(luò)處于受控的狀態(tài)[12]。</p><p>　　4.2 三層交換機做VLAN間路

51、由</p><p>　　4.2.1 VLAN間路由的解決方案</p><p>　　對于本地通信，通信兩端的主機同處于一個相同的廣播域，兩臺主機之間的流量可以直接相互到達，通信的過程與扁平二層網(wǎng)絡(luò)中的情況相同；對于非本地通信，通信兩端的主機位于不同的廣播域內(nèi)，主機的流量不能互相到達，主機通過ARP廣播請求也不能到對方的地址，此時的通信必須借助于中間的路由器來完成。</p>&l

52、t;p>　　路由器在各個VLAN中間，實際上是作為各個VLAN的網(wǎng)狀起作用的，要難過路由器來互相通信的主機必須知道這路由器的存在，并且知道它的地址。在路由器配置好了之后，就要在主機上配置默認網(wǎng)關(guān)為路由器在本VLAN上的接口的地址。</p><p>　　如圖4-3中所示，主機1.1.1.10要同2.2.2.20通信。首先主機1.1.1.10根據(jù)本地的子網(wǎng)掩碼比較，發(fā)現(xiàn)目的主機不是本地主機，不能夠訪問目的主機；

53、根據(jù)IP通信規(guī)則，主機1.1.1.10將要查找本機的的路由表尋找相應(yīng)的網(wǎng)狀，在實際網(wǎng)絡(luò)中，主機通常只配置了默認網(wǎng)關(guān)，因此這里主機1.1.1.10找到了默認網(wǎng)關(guān)。然后，主機1.1.1.10在本機的ARP Cache中查找默認網(wǎng)關(guān)的MAC地址，如果沒有則啟動一個ARP請求的過程去發(fā)現(xiàn)，得到默認網(wǎng)關(guān)的MAC地址后，主機將幀轉(zhuǎn)發(fā)給默認網(wǎng)關(guān)，由路由器轉(zhuǎn)發(fā)。路由器通過查找路由表將報文轉(zhuǎn)發(fā)到相應(yīng)的接口上面，然后查找到目的主機的MAC地址，將報文發(fā)送給

54、目的主機。目的主機收到報文后，回應(yīng)的報文經(jīng)歷類似的過程又轉(zhuǎn)發(fā)回主機1.1.1.10。</p><p>　　4.2.2使用VLAN Trunkint</p><p>　　圖4-3使用VLAN Trunkint</p><p>　　使用VLAN Trunking這種技術(shù)，可以使多個VLAN的業(yè)務(wù)流量共享相同的物理連接，通過在VLAN Tunking的物理連接上傳遞打標記

55、的幀將各個VLAN的流量區(qū)分開來[13]。在做VLAN間互通的時候，對于網(wǎng)絡(luò)中多個VLAN，只需要共享一條物理鏈路。在交換機上配置連接到路由器的端口使用VLAN Trunking，在路由器上也做相同的配置。如圖4-4所示</p><p>　　在這樣的配置下，路由器上的路由接口和物理接口是多對一的對應(yīng)關(guān)系，路由器在進行VLAN間路由的時候把報文從一個路由器接口上轉(zhuǎn)發(fā)到另一個路由接口上，但從物理接口上看是從一個物理接

56、口上轉(zhuǎn)發(fā)回同一個物理上去，但是VLAN標記在轉(zhuǎn)發(fā)后被替換為目標網(wǎng)絡(luò)的標記。這樣，在通常的情況下，VLAN間路由的流量不足以達到鏈路的線速度，使用VLAN Trunking的配置，可以提高鏈路的的帶寬利用率，節(jié)省端口資源，和簡化管理。</p><p>　　4.2.3基于內(nèi)部硬件路由引擎的三層交換機</p><p>　　圖4-4交換和路由的集成</p><p>　　三層

57、交換機使用硬件技術(shù)，采用巧妙的處理方法把二層交換機和路由器在網(wǎng)絡(luò)中的功能集成到一個盒子里，提高了網(wǎng)絡(luò)的集成度，增強了轉(zhuǎn)發(fā)性能。如圖4-5所示。</p><p>　　為了實現(xiàn)各種網(wǎng)絡(luò)的互連，IP協(xié)議實現(xiàn)了十分豐富的內(nèi)容，標準的IP路由需要在轉(zhuǎn)發(fā)每一個IP報文的時候做很多的處理，經(jīng)過很多的流程，但是這樣的工作并不是在處理每一個報文都必須的，絕大多數(shù)的報文只需要經(jīng)過很少一部分的過程，IP路由的方法有很大的改進余地。三層

58、交換機的設(shè)計基于對IP路由的仔細分析，把IP路由中每一個報文都必須經(jīng)過的過程提取出來，這個過程是個十分簡化的過程：1.IP路由中絕大多數(shù)報文是不包含IP選項的報文，因此處理報文選項的工作在大多數(shù)情況下是多余的。2.不同的網(wǎng)絡(luò)的報文長度都是不同的，為了適應(yīng)不同的網(wǎng)絡(luò)，IP實現(xiàn)了報文分片的功能，但是在全以太網(wǎng)的環(huán)境中，網(wǎng)絡(luò)的幀（報文）長度是固定的，因此報文分片的功能也是一個可以裁減的工作。3.三層交換機采用了和路由器的最長地址掩碼匹配不同的

59、方法，使用精確地址匹配的方式處理，有利于硬件實現(xiàn)快速查找。4.三層交換機采用了Cache的方法，把最近經(jīng)常使用的主機路由放到了硬件的查找表中，只有在這個Cache中無法匹配到項目才會通過軟件去轉(zhuǎn)發(fā)。這樣，只有每個流的第一個報文會通過軟件進行轉(zhuǎn)發(fā)，其后的大量數(shù)據(jù)流則可以在硬件中得以完成。</p><p>　　三層交換機在IP路由的處理上做了以上改進，實現(xiàn)了簡化的IP轉(zhuǎn)發(fā)流程，利用專用的芯片實現(xiàn)了硬件的轉(zhuǎn)發(fā)，這樣絕大

60、多數(shù)的報文處理都在硬件中實現(xiàn)了，只有極少數(shù)報文才需要使用軟件轉(zhuǎn)發(fā)，整個系統(tǒng)的轉(zhuǎn)發(fā)性能能夠得以成百上千倍地增加，相同性能的設(shè)備在成本上得以大幅度下降。</p><p>　　5 虛擬局域網(wǎng)應(yīng)用實例</p><p>　　5.1 思科單臂路由配置</p><p>　　VLAN（虛擬局域網(wǎng)）技術(shù)是路由交換中非常基礎(chǔ)的技術(shù)[14]。在網(wǎng)絡(luò)管理實踐中，通過在交換機上劃分適當數(shù)目

61、的vlan，不僅能有效隔離廣播風暴，還能提高網(wǎng)絡(luò)安全系數(shù)及網(wǎng)絡(luò)帶寬的利用效率。劃分vlan之后，vlan與vlan之間是不能通信的，只能通過路由或三層交換來實現(xiàn)。我們知道路由器實現(xiàn)路由功能通常是數(shù)據(jù)報從一個接口進來然后另一個接口出來，現(xiàn)在路由器與交換機之間通過一條主干現(xiàn)實通信或數(shù)據(jù)轉(zhuǎn)發(fā)，也就是說路由器僅用一個接口實現(xiàn)數(shù)據(jù)的進與出，因為我們形象地稱它為單臂路由。單臂路由是解決vlan間通信的一種廉價而實用的解決方案[15]。</p&

62、gt;<p>　　如圖5-1所示：PC-A和PC-B分別屬于vlan10和vlan20，Switch2950是一個cisco的二層交換機，型號2950，欲實現(xiàn)vlan10和vlan20的通信，我們要增加一個路由器來轉(zhuǎn)發(fā)vlan之間的數(shù)據(jù)包，路由器與交換機之間使用單條鏈路相連（圖中畫紅線），這條鏈路也叫主干，所有數(shù)據(jù)包的進出都要通過路由器2600的f0/0端口來現(xiàn)實數(shù)據(jù)轉(zhuǎn)發(fā)。</p><p><

63、b>　　圖5-1 單臂路由</b></p><p><b>　　一．配置交換機：</b></p><p>　　Switch> 啟動后進入CLI界面</p><p>　　Switch> enable 進入特權(quán)模式</p><p>　　Switch> vlan database 進入配

64、置VLAN模式</p><p>　　Switch(vlan)# vlan 10 name caiwu 配置第一個VLAN 10，取名caiwu</p><p>　　Switch(vlan)# vlan 20 name renshi 配置第二個VLAN 20，取名renshi</p><p>　　Switch(vlan)# exit 退出VLAN配置模式</p&

65、gt;<p>　　Switch# configure terminal 進入特權(quán)模式，開始配置接口</p><p>　　Switch(config)# interface f0/1 進入f0/1接口</p><p>　　Switch(config-if)# switchport mode access</p><p>　　Switch(config-i

66、f)# switchport access vlan 10 把f0/1接口分配給VLAN 10</p><p>　　Switch(config-if)# exit</p><p>　　Switch(config)# interface f0/2 進入f0/2接口</p><p>　　Switch(config-if)# switchport mode access&

67、lt;/p><p>　　Switch(config-if)# switchport access vlan 20 把f0/2接口分配給VLAN 20</p><p>　　Switch(config-if)# exit</p><p>　　Switch(config)# interface f0/12 進入f0/12接口</p><p>　　Swi

68、tch(config-if)# switchport mode trunk 把f0/12配置成主干模式</p><p>　　Switch(config-if)# end</p><p><b>　　二．配置路由器</b></p><p>　　Router> 啟動路由器后進入CLI界面</p><p>　　Route

69、r> enable 進入特權(quán)模式</p><p>　　Router# configure terminal 進入全局模式</p><p>　　Router(config)# interface f0/0 配置f0/0</p><p>　　Router(config-if)# no shutdown 激活f0/0也就是打開這個接口</p><

70、p>　　Router(config-if)# interface f0/0.1 配置子接口</p><p>　　Router(config-subif)# ip address 192.168.10.1 255.255.255.0 配置IP與Subnet</p><p>　　Router(config-subif)# encapsulation dot1q 10 為這個接口配置802

71、.1Q協(xié)議</p><p>　　Router(config-subif)# exit</p><p>　　Router(config-if)# interface f0/0.2 配置第二個子接口</p><p>　　Router(config-subif)# ip address 192.168.20.1 255.255.255.0 </p><

72、p>　　Router(config-subif)# encapsulation dot1q 20</p><p>　　Router(config-subif)# end</p><p><b>　　三．驗證</b></p><p>　　最后配置PC-A和PC-B的IP地址和子網(wǎng)掩碼，再試試PC-A 主機 ping  PC-B主機

73、，實驗結(jié)果能Ping通，配置成功。</p><p>　　5.2 利用VLAN進行學校配置</p><p><b>　　一．配置交換機</b></p><p>　　配置環(huán)境：Cisco 3560G-24-EMI作為一個小型網(wǎng)絡(luò)的核心交換機，在其上共需要劃分4個VLAN，分別取名為server、manage、teacher、student。其中3

74、500G的2個4兆擴展口用來連接二級交換機Cisco 2950-24，在2950G上相應(yīng)的VLAN中加入端口，各端口IP地址和VLAN劃分如表所示，網(wǎng)絡(luò)拓撲圖為圖5-2所示。</p><p><b>　　圖5-2 網(wǎng)絡(luò)拓撲</b></p><p>　　配置要求：為了網(wǎng)絡(luò)管理的安全，禁止VLAN3與網(wǎng)絡(luò)管理工作站相互通信，允許其他的相互通信。網(wǎng)管工作站入在VLAN2網(wǎng)段

75、中。</p><p>　　在交換機默認配置下，沒有設(shè)置密碼，只需按2次回車鍵，即可進入交換機的配置界面。</p><p><b>　　Switch1></b></p><p>　　輸入enable后，提示符即變成#</p><p>　　Switch1>enable</p><p>&l

76、t;b>　　Switch1#</b></p><p>　　#號表示已經(jīng)進入特權(quán)模式，在這種模式下可進行交換機的配置操作，按下來根據(jù)網(wǎng)絡(luò)配置方案進行交換機的調(diào)試。</p><p>　　1.激活VLAN路由：</p><p>　　Switch1# conf ig t</p><p>　　Switch1(conf ig)# ip

77、routeing</p><p>　　Switch1(conf ig)# exit</p><p>　　2.創(chuàng)建4個VLAN</p><p><b>　　Switch1# </b></p><p>　　Switch1# vlan databas</p><p>　　Switch1(vlan)# v

78、lan 2 name server</p><p>　　Switch1(vlan)# vlan 3 name manage</p><p>　　Switch1(vlan)# vlan 10 name teacher</p><p>　　Switch1(vlan)# vlan 11 name student</p><p>　　Switch1(

79、vlan)# exit</p><p>　　3.給VLAN分配IP</p><p>　　Switch1# conf ig t</p><p>　　Switch1(conf ig)# int vlan 2</p><p>　　Switch1(config - if)# ip address 192.168.2.254 255.255.255.0

80、</p><p>　　Switch1(config - if)# no shutdown</p><p>　　Switch1(config - if)#end</p><p>　　Switch1(conf ig)# int vlan 3</p><p>　　Switch1(config - if)# ip address 192.168.3.

81、254 255.255.255.0</p><p>　　Switch1(config - if)# no shutdown</p><p>　　Switch1(config - if)#end</p><p>　　Switch1(conf ig)# int vlan 10</p><p>　　Switch1(config - if)# ip

82、address 192.168.10.254 255.255.255.0</p><p>　　Switch1(config - if)# no shutdown</p><p>　　Switch1(config - if)#end</p><p>　　Switch1(conf ig)# int vlan 11</p><p>　　Switch

83、1(config - if)# ip address 192.168.11.254 255.255.255.0</p><p>　　Switch1(config - if)# no shutdown</p><p>　　Switch1(config - if)#end</p><p>　　4.配置VTP（虛擬終端協(xié)議），用以與二級交換機之間傳遞VLAN配置信息，中心

84、交換機為server，二級交換機為client。</p><p><b>　　Switch1#</b></p><p>　　Switch1# conf ig t</p><p>　　Switch1(conf ig)# vtp domain CISCO</p><p>　　Switch1(conf ig)# vtp mod

85、e server </p><p>　　Switch1(conf ig)# end</p><p>　　5.配置Turnk，該端口用以連接二級交換機，因為這條線路上需要傳遞多個VLAN的信息（VLAN10 及VLAN11），因此該端口需要配置成Turnk（中繼端口）</p><p><b>　　Switch1#</b></p>&

86、lt;p>　　Switch1# conf ig t</p><p>　　Switch1(conf ig)# interfac gigabitethernet 0/1</p><p>　　Switch1(conf ig-if)# switchport trunk encapsulation dot1q</p><p>　　Switch1(conf ig-if)#

87、 switchport mode trunk</p><p>　　Switch1(conf ig-if)# end</p><p>　　6.給中心交換機配置默認路由</p><p><b>　　Switch1#</b></p><p>　　Switch1# conf ig t</p><p>　　

88、Switch1(conf ig)# ip route 0.0.0.0 0.0.0.0 192.168.2.1</p><p>　　7.把端口號分配給VLAN</p><p><b>　　Switch1#</b></p><p>　　Switch1# conf ig t</p><p>　　Switch1(conf ig)

89、# interface range fastethernet 0/1-10</p><p>　　Switch1(conf ig-if)# switchport mode access</p><p>　　Switch1(conf ig-if)# switchport access vlan 2</p><p>　　Switch1(conf ig-if)# spann

90、ing - tree portfast</p><p>　　Switch1(conf ig-if)# end</p><p>　　Switch1(conf ig)# interface range fastethernet 0/11-20</p><p>　　Switch1(conf ig-if)# switchport mode access</p>

91、<p>　　Switch1(conf ig-if)# switchport access vlan 3</p><p>　　Switch1(conf ig-if)# spanning - tree portfast</p><p>　　Switch1(conf ig-if)# end</p><p>　　8. 配置訪問控制列表（ACL），禁止VLAN3子

92、網(wǎng)的客戶機訪問網(wǎng)管工作站，這里有兩種配置方式。</p><p>　　第一種方式：網(wǎng)管工作站在VLAN2中，這樣可以禁止源自VLAN3到網(wǎng)管工作站的數(shù)據(jù)，允許其他一切數(shù)據(jù)進入VLAN2</p><p>　　Switch1(conf ig)# access-list 101 deny ip 192.168.3.0 0.0.0.255 host 192.168.2.1</p>&l

93、t;p>　　Switch1(conf ig)# access-list 101 permit ip any any</p><p>　　Switch1(conf ig)# interface vlan 2</p><p>　　Switch1(conf ig-if)# ip access-group 101 out </p><p>　　第二種方式：在VLAN3

94、與中心交換機互聯(lián)的地方限制網(wǎng)管工作站的數(shù)據(jù)進入VLAN3，這樣就可以實現(xiàn)網(wǎng)絡(luò)管理的安全。</p><p>　　Switch1# conf ig t</p><p>　　Switch1(conf ig)# access-list 1 deny host 192.168.2.1</p><p>　　Switch1(conf ig)# access-list 1 perm

95、it any</p><p>　　Switch1(conf ig)# interface vlan 3</p><p>　　Switch1(conf ig-if)# ip access-group 1 out </p><p>　　Switch1(conf ig-if)# end</p><p>　　9.檢查上述配置是否與設(shè)計的一樣</

96、p><p>　　Switch1# show vlan </p><p>　　Switch1# show ip route</p><p>　　Switch1# show intreface gigabitethernet 0/1 switchport</p><p>　　Switch1# show run </p><p>

97、;　　Switch1# show vtp status</p><p><b>　　10. 保存配置</b></p><p>　　Switch1# copy running-config startup-config</p><p><b>　　注釋</b></p><p>　　[1] 岳延兵:《計

98、算機網(wǎng)絡(luò)技術(shù)基礎(chǔ)》，西南師范大學出版社2008年版,第35頁。</p><p>　　[2] 白彭:《淺談交換機的VLAN技術(shù)及其配置》,大眾科學，2008,第48頁。</p><p>　　[3] 朱紅明《VLAN技術(shù)淺談》,無錫南洋學院學報，2008,第96頁。</p><p>　　[4] 王智:《VLAN技術(shù)在網(wǎng)絡(luò)中的應(yīng)用》,西北職教，2007,第39頁。<

99、/p><p>　　[5] 鐘九洲：《淺談VLAN技術(shù)與應(yīng)用》,達州職業(yè)技術(shù)學院學報，2007,第59頁。</p><p>　　[6] 張博:《IP子網(wǎng)與VLAN辨析與應(yīng)用》,電腦知識與技術(shù)，2008，第121頁。</p><p>　　[7] 王玉慧:《VLAN技術(shù)的應(yīng)用》,中國水運,2004.12, 第43頁。</p><p>　　[8] 雷震甲

100、：《計算機網(wǎng)絡(luò)》，清華大學出版社，2004, 第51頁。</p><p>　　[9] 王衛(wèi)紅:《計算機網(wǎng)絡(luò)與互聯(lián)網(wǎng)》，機械工業(yè)出版社，2010.07，第246頁。</p><p>　　[10]曹建春主編:《 計算機網(wǎng)絡(luò)技術(shù)實訓教程》，中國人民大學出版社，2010.09，第1頁。</p><p>　　[11] 王宣政:《計算機網(wǎng)絡(luò)技術(shù)導(dǎo)論》，西安電子科技大學出版社，2

101、005.08，第1頁。</p><p>　　[12] 王建平:《網(wǎng)絡(luò)設(shè)備配置與管理》，清華大學出版社，2010.04，第6頁。</p><p>　　[13] 沈淑娟:《計算機網(wǎng)絡(luò)應(yīng)用教程》，機械工業(yè)出版社 ，2011.02，第194頁。</p><p>　　[14] 張曾科:《計算機網(wǎng)絡(luò)》，清華大學出版社，2006.03，第214頁。</p><

102、p>　　[15] 汪海波主編 :《計算機網(wǎng)絡(luò)應(yīng)用技術(shù)》，地質(zhì)出版社，2006.12 ，第102頁 。</p><p><b>　　參考文獻</b></p><p>　?、僭姥颖?《計算機網(wǎng)絡(luò)技術(shù)基礎(chǔ)》，西南師范大學出版社2008年版。</p><p>　?、诎着?《淺談交換機的VLAN技術(shù)及其配置》,大眾科學，2008。</p>

103、;<p>　?、壑旒t明《VLAN技術(shù)淺談》,無錫南洋學院學報，2008。</p><p>　　④王智:《VLAN技術(shù)在網(wǎng)絡(luò)中的應(yīng)用》,西北職教，2007。</p><p>　　⑤鐘九洲：《淺談VLAN技術(shù)與應(yīng)用》,達州職業(yè)技術(shù)學院學報，2007。</p><p>　?、迯埐?《IP子網(wǎng)與VLAN辨析與應(yīng)用》,電腦知識與技術(shù)，2008。</p>

104、;<p>　　⑦王玉慧:《VLAN技術(shù)的應(yīng)用》,中國水運,2004.12, 43-44頁。</p><p>　　⑧雷震甲：《計算機網(wǎng)絡(luò)》，清華大學出版社，2004, 51-61頁。</p><p>　　⑨王 燕 張新剛:基于ARP協(xié)議的攻擊及其防御方法分析.微計算機信息2007; 23(36)。</p><p>　?、獠芙ù褐骶?《 計算機網(wǎng)絡(luò)技術(shù)實訓

105、教程》，中國人民大學出版社，2010.09，第1頁。</p><p><b>　　致謝</b></p><p>　　首先，對指導(dǎo)教師的指導(dǎo)表示感謝，本畢業(yè)論文是在我的導(dǎo)師的親切關(guān)懷和悉心指導(dǎo)下完成的。其次，我還要感謝在一起愉快的度過大學生活的各位同學和老師，正是由于你們的幫助和支持，我才能克服一個一個的困難和疑惑，直至本文的順利完成。</p><p