系统检测到您的帐号可能存在被盗风险，请尽快
，并立即
。 | 网易博客安全提醒：
系统检测到您当前密码的安全性较低，为了您的账号安全，建议您适时修改密码 | | 我的博客
Bluesky的空间
导航 日志 VLAN 技术详解
2010-03-23 14:42:54
| 分类：
| 标签：
小 什么是VLAN
　　VLAN（Virtual Local Area Network）又称虚拟
，是指在交换局域网的基础上，采用
构建的可跨越不同网段、不同网络的端到端的逻辑网络。一个VLAN组成一个逻辑子网，即一个逻辑广播域，它可以覆盖多个网络设备，允许处于不同地理位置的网络用户加入到一个逻辑子网中。
组建VLAN的条件
　　VLAN是建立在物理网络基础上的一种逻辑子网，因此建立VLAN需要相应的支持VLAN
的网络设备。当网络中的不同VLAN间进行相互通信时，需要
的支持，这时就需要增加路由设备——要实现路由功能，既可采用
，也可采用三层
来完成。
划分VLAN的基本策略
　　从技术角度讲，VLAN的划分可依据不同原则，一般有以下三种划分方法：
1、基于
的VLAN划分
　　这种划分是把一个或多个交换机上的几个端口划分一个逻辑组，这是最简单、最有效的划分方法。该方法只需网络管理员对网络设备的交换端口进行重新分配即可，不用考虑该端口所连接的设备。
2、基于MAC地址的VLAN划分
　　MAC地址其实就是指网卡的标识符，每一块网卡的MAC地址都是惟一且固化在网卡上的。MAC地址由12位16进制数表示，前8位为厂商标识，后4位为网卡标识。网络管理员可按MAC地址把一些站点划分为一个逻辑子网。
3、基于路由的VLAN划分
　　路由
工作在网络层，相应的工作设备有路由器和
路由交换
机（即三层交换机）。该方式允许一个VLAN跨越多个交换机，或一个端口位于多个VLAN中。
　　就目前来说，对于VLAN的划分主要采取上述第1、3种方式，第2种方式为辅助性的
使用VLAN优点
　　使用VLAN具有以下优点：
、控制广播风暴
　　一个VLAN就是一个逻辑广播域，通过对VLAN的创建，隔离了广播，缩小了广播范围，可以控制广播风暴的产生。
2、提高网络整体
　　通过路由访问列表和MAC地址分配等VLAN划分原则，可以控制用户访问权限和逻辑网段大小，将不同用户群划分在不同VLAN，从而提高交换式网络的整体性能和安全性。
3、网络管理简单、直观
　　对于交换式以太网，如果对某些用户重新进行网段分配，需要网络管理员对网络
的物理结构重新进行调整，甚至需要追加网络设备，增大网络管理的工作量。而对于采用VLAN技术的网络来说，一个VLAN可以根据部门职能、对象组或者应用将不同地理位置的网络用户划分为一个逻辑网段。在不改动网络物理连接的情况下可以任意地将工作站在工作组或子网之间移动。利用虚拟网络技术，大大减轻了网络管理和
工作的负担，降低了网络维护费用。在一个交换网络中，VLAN提供了网段和机构的弹性组合机制。
三层交换技术
　　传统的路由器在网络中有路由转发、
、隔离广播等作用，而在一个划分了VLAN以后的网络中，逻辑上划分的不同网段之间通信仍然要通过路由器转发。由于在局域网上，不同VLAN之间的通信
量是很大的，这样，如果路由器要对每一个数据包都路由一次，随着网络上数据量的不断增大，路由器将不堪重负，路由器将成为整个网络运行的瓶颈。
　　在这种情况下，出现了第三层交换技术，它是将路由技术与交换技术合二为一的技术。三层交换机在对第一个数据流进行路由后，会产生一个MAC地址与IP地址的映射表，当同样的数据流再次通过时，将根据此表直接从二层通过而不是再次路由，从而消除了路由器进行路由选择而造成网络的延迟，提高了数据包转发的效率，消除了路由器可能产生的网络瓶颈问题。可见，三层交换机集路由与交换于一身，在交换机内部实现了路由，提高了网络的整体性能。
　　在以三层交换机为核心的千兆网络中，为保证不同职能部门管理的方便性和安全性以及整个网络运行的稳定性，可采用VLAN技术进行虚拟网络划分。VLAN子网隔离了广播风暴，对一些重要部门实施了安全保护；且当某一部门物理位置发生变化时，只需对交换机进行设置，就可以实现网络的重组，非常方便、快捷，同时节约了成本。
虚拟局域网入门
　　有很多企业在发展的初期，人员较少 ，因此对网络的要求也不高，而且为了节约成本，很多企业网都采用了通过路由器实现分段的简单结构（图1）。在这样的网络下，每一个局域网上的广播数据包都可以被该段上的所有设备收到，而无论这些设备是否需要。随着企业规模的不断扩大，特别是多媒体在企业局域网中的应用，使每个部门内部的数据传输量非常大。此外，由于公司发展中一些遗留下来的问题，使得一个部门的员工不能相对集中办公。更重要的是，公司的财务部门需要越来越高的安全性，不能和其他的部门混用一个以太网段，以防止数据窃听。这些新问题需要更灵活地配置局域网，因此就产生了虚拟局域网（Virtual LAN）技术。
　　虚拟网是指在物理网络基础架构上，利用交换机和路由器的功能，配置网络的逻辑拓扑结构，从而允许网络管理员任意地将一个局域网内的任何数量网段聚合成一个用户组，就好像它们是一个单独的局域网。近期虚拟网（VLAN）迅速倔起，并成为最具生命力的组网技术之一。（图2）
虚拟局域网的特点
　　在使用带宽、灵活性、性能等方面，虚拟局域网（VLAN）都显示出很大优势。虚拟局域网的使用能够方便地进行用户的增加、删除、移动等工作，提高网络管理的效率。他具有以下特点： 　　1、灵活的、软定义的、边界独立于物理媒质的设备群。VLAN概念的引入，使交换机承担了网络的分段工作，而不再使用路由器来完成。通过使用VLAN，能够把原来一个物理的局域网划分成很多个逻辑意义上的子网，而不必考虑具体的物理位置，每一个VLAN都可以对应于一个逻辑单位，如部门、车间和项目组等。 　　2、广播流量被限制在软定义的边界内、提高了网络的安全性。由于在相同VLAN内的主机间传送的数据不会影响到其他VLAN上的主机，因此减少了数据窃听的可能性，极大地增强了网络的安全性。
　　3、在同一个虚拟局域网成员之间提供低延迟、线速的通信。能够在网络内划分网段或者微网段，提高网络分组的灵活性。VLAN技术通过把网络分成逻辑上的不同广播域，使网络上传送的包只在与位于同一个VLAN的端口之间交换。这样就限制了某个局域网只与同一个VLAN的其它局域网互相连，避免浪费带宽，从而消除了传统的桥接／交换网络的固有缺陷——包经常被传送到并不需要它的局域网中。这也改善了网络配置规模的灵活性，尤其是在支持广播／多播协议和应用程序的局域网环境中，会遭遇到如潮水般涌来的包。而在 VLAN结构中，可以轻松地拒绝其他VLAN的包，从而大大减少网络流量。 　　
虚拟局域网的分类
　　虚拟局域网是一种软技术，如何分类，将决定此技术在网络中能否发挥到预期作用，下面将介绍虚拟局域网的分类以及特性。常见的虚拟局域网分类有三种：基于端口、基于硬件MAC地址、基于网络层。 　　
1、 基于端口
　　基于端口的虚拟局域网划分是比较流行和最早的划分方式，其特点是将交换机按照端口进行分组，每一组定义为一个虚拟局域网。这些交换机端口分组可以在一台交换机上也可以跨越几个交换机（例如，１号交换机的端口1和2以及2号交换机的端口4、5、6和7上的最终工作站组成了虚拟局域网A；而1号交换机的端口3、4、5、6、7和8加上2号交换机的端口1、2、3和8上的最终工作站组成了虚拟局域网B）。
　　端口分组目前是定义虚拟局域网成员最常用的方法，而且配置也相当直截了当。纯粹用端口分组来定义虚拟局域网不会容许多个虚拟局域网包含同一个实际网段（或交换机端口）。其特点是一个虚拟局域网的各个端口上的所有终端都在一个广播域中，它们相互可以通信，不同的虚拟局域网之间进行通信需经过路由来进行。这种虚拟局域网划分方式的优点在于简单，容易实现，从一个端口发出的广播，直接发送到虚拟局域网内的其他端口，也便于直接监控。但是，用端口定义虚拟局域网的主要局限性是：使用不够灵活，当用户从一个端口移动到另一个端口的时候网络管理员必须重新配置虚拟局域网成员。不过这一点可以通过灵活的网络管理软件来弥补。 　
2 、基于硬件MAC地址层
　　基于硬件MAC地址层地址的虚拟局域网具有不同的优点和缺点。由于硬件地址层的地址是硬连接到工作站的网络界面卡（NIC）上的，所以基于硬件地址层地址的的虚拟局域网使网络管理者能够把网络上的工作站移动到不同的实际位置，而且可以让这台工作站自动地保持它原有的虚拟局域网成员资格。按照这种方式，由硬件地址层地址定义的虚拟局域网可以被视为基于用户的虚拟局域网。 　　这种方式的虚拟局域网，交换机对终端的MAC地址和交换机端口进行跟踪，在新终端入网时根据已经定义的虚拟局域网——MAC对应表将其划归至某一个虚拟局域网，而无论该终端在网络中怎样移动，由于其MAC地址保持不变，故不需进行虚拟局域网的重新配置。这种划分方式减少了网络管理员的日常维护工作量，不足之处在于所有的终端必须被明确的分配在一个具体的虚拟局域网，任何时候增加终端或者更换网卡，都要对虚拟局域网数据库调整，以实现对该终端的动态跟踪。 　　基于硬件地址层地址的虚拟局域网解决方案的缺点之一是要求所有的用户必须初始配置在至少一个虚拟局域网中。在这次初始手工配置之后，用户的自动跟踪才有可能实现，而且取决于特定的供应商解决方案。然而，这种不得不在一开始先用人工配置虚拟局域网的方法，其缺点在一个非常大的网络中变得非常明显：几千个用户必须逐个地分配到各自特定的虚拟局域网中。某些供应商已经减少了初始手工配置基于硬件地址的虚拟局域网的繁重任务，它们采用根据网络的当前状态生成虚拟局域网的工具，也就是说为每一个子网生成一个基于硬件地址的虚拟局域网。 　　
3 、基于网络层
　　基于网络层的虚拟局域网划分也叫做基于策略（POLICY）的划分，是这几种划分方式中最高级也是最为复杂的。基于网络层的虚拟局域网使用协议（如果网络中存在多协议的话）或网络层地址（如TCP/IP中的子网段地址）来确定网络成员。利用网络层定义虚拟网有以下几点优势。第一，这种方式可以按传输协议划分网段。其次，用户可以在网络内部自由移动而不用重新配置自己的工作站。第三，这种类型的虚拟网可以减少由于协议转换而造成的网络延迟。这种方式看起来是最为理想的方式，但是在采用这种划分之前，要明确两件事情：一是IP盗用，二是对设备要求较高，不是所有设备都支持这种方式。
虚拟局域网的应用
　　由于虚拟局域网具有比较明显的优势，在各种企业中都有了很好的应用。下面就根据不同的案例来分析虚拟局域网的应用情况。 　　
1、局域网内部的局域网
　　往往很多企业已经具有一个相当规模的局域网，但是现在企业内部因为保密或者其他原因，要求各业务部门或者课题组独立成为一个局域网，同时，各业务部门或者课题组的人员不一定是在同一个办公地点，各网络之间不允许互相访问。根据这种情况，可以有几种解决方法，但是虚拟局域网解决方法可能是最好的。为了完成上述任务，我们要做的工作是收集各部门或者课题组的人员组成、所在位置、与交换机连接的端口等信息。根据部门数量对交换机进行配置，创建虚拟局域网，设置中继，最后，在一个公用的局域网内部划分出来若干个虚拟的局域网，同时减少了局域网内的广播，提高了网络传输性能。这样的虚拟局域网可以方便地根据需要增加、改变、删除。 　　
2、共享访问——访问共同的接入点和服务器
　　在一些大型写字楼或商业建筑（酒店、展览中心等），经常存在这样的现象：大楼出租给各个单位，并且大楼内部已经构建好了局域网，提供给入驻企业或客户网络平台，并通过共同的出口访问Internet或者大楼内部的综合信息服务器。由于大楼的网络平台是统一的，使用的客户有物业管理人员、有其他不同单位的客户。在这样一个共享的网络环境下，解决不同企业或单位对网络的需求的同时，还要保证各企业间信息的独立性。这种情况下，虚拟局域网提供了很好的解决方案。大厦的系统管理员可以为入驻企业创建一个个独立的虚拟局域网，保证企业内部的互相访问和企业间信息的独立，然后利用中继技术，将提供接入服务的代理服务器或者路由器所对应的局域网接口配置成为中继模式，实现共享接入。这种配置方式还有一个好处，可以根据需要设置中继的访问许可，灵活地允许或者拒绝某个虚拟局域网的访问。
3、交叠虚拟局域网
　　交叠虚拟局域网是在基于端口划分虚拟局域网的基础上提出来的，最早的交换机每一个端口只能同时属于一个虚拟局域网，交叠虚拟局域网允许一个交换机端口同时属于多个虚拟局域网。这种技术可以解决一些突发性的、临时性的虚拟局域网划分。比如在一个科研机构，已经划分了若干个虚拟局域网，但是因为某个科研任务，从各个虚拟局域网里面抽调出来技术人员临时组成课题组，要求课题组内部通信自如，同时各科研人员还要保持和原来的虚拟局域网进行信息交流。如果采用路由和访问列表控制技术，成本会较大，同时会降低网络性能。交叠技术的出现，为这一问题提供了廉价的解决方法；只需要将要加入课题组的人员所对应的交换机端口设置成为支持多个虚拟局域网，然后创建一个新虚拟局域网，将所有人员划分到新虚拟局域网，保持各人员原来所属虚拟局域网不变即可。
　　以上简单的介绍了虚拟局域网的主要技术和一些实际应用，希望会给读者带来有益的帮助。随着现代交换技术的发展而出现，并将随着网络的应用得到普及，虚拟局域网将成为众多网络设计、规划和管理人员欢迎和使用的技术。 交换机VLAN的配置
　　谈到VLAN，或许许多人都觉得非常神秘，甚至包括一些网管人员。其实有关VLAN的技术标准IEEE 802.1Q早在1999年6月份就由IEEE委员正式颁布实施了，而且最早的VLNA技术早在1996年Cisco（思科）公司就提出了。随着几年来的发展，VLAN技术得到广泛的支持，在大大小小的企业网络中广泛应用，成为当前最为热门的一种以太局域网技术。本篇就要为大家介绍交换机的一个最常见技术应用--VLAN技术，并针对中、小局域网VLAN的网络配置以实例的方式向大家简单介绍其配置方法。
一、VLAN基础
　　VLAN（Virtual Local Area Network）的中文名为"虚拟局域网"，注意不是"***"（虚拟专用网）。VLAN是一种将局域网设备从逻辑上划分（注意，不是从物理上划分）成一个个网段，从而实现虚拟工作组的新兴数据交换技术。这一新兴技术主要应用于交换机和路由器中，但主流应用还是在交换机之中。但又不是所有交换机都具有此功能，只有VLAN协议的第三层以上交换机才具有此功能，这一点可以查看相应交换机的说明书即可得知。
　　IEEE于1999年颁布了用以标准化VLAN实现方案的802.1Q协议标准草案。VLAN技术的出现，使得管理员根据实际应用需求，把同一物理局域网内的不同用户逻辑地划分成不同的广播域，每一个VLAN都包含一组有着相同需求的计算机工作站，与物理上形成的LAN有着相同的属性。由于它是从逻辑上划分，而不是从物理上划分，所以同一个VLAN内的各个工作站没有限制在同一个物理范围中，即这些工作站可以在不同物理LAN网段。由VLAN的特点可知，一个VLAN内部的广播和单播流量都不会转发到其他VLAN中，从而有助于控制流量、减少设备投资、简化网络管理、提高网络的安全性。
　　交换技术的发展，也加快了新的交换技术（VLAN）的应用速度。通过将企业网络划分为虚拟网络VLAN网段，可以强化网络管理和网络安全，控制不必要的数据广播。在共享网络中，一个物理的网段就是一个广播域。而在交换网络中，广播域可以是有一组任意选定的第二层网络地址（MAC地址）组成的虚拟网段。这样，网络中工作组的划分可以突破共享网络中的地理位置限制，而完全根据管理功能来划分。这种基于工作流的分组模式，大大提高了网络规划和重组的管理功能。在同一个VLAN中的工作站，不论它们实际与哪个交换机连接，它们之间的通讯就好象在独立的交换机上一样。同一个VLAN中的广播只有VLAN中的成员才能听到，而不会传输到其他的 VLAN中去，这样可以很好的控制不必要的广播风暴的产生。同时，若没有路由的话，不同VLAN之间不能相互通讯，这样增加了企业网络中不同部门之间的安全性。网络管理员可以通过配置VLAN之间的路由来全面管理企业内部不同管理单元之间的信息互访。交换机是根据用户工作站的MAC地址来划分VLAN的。所以，用户可以自由的在企业网络中移动办公，不论他在何处接入交换网络，他都可以与VLAN内其他用户自如通讯。
　　VLAN网络可以是有混合的网络类型设备组成，比如：10M以太网、100M以太网、令牌网、FDDI、CDDI等等，可以是工作站、服务器、集线器、网络上行主干等等。
　　VLAN除了能将网络划分为多个广播域，从而有效地控制广播风暴的发生，以及使网络的拓扑结构变得非常灵活的优点外，还可以用于控制网络中不同部门、不同站点之间的互相访问。
　　VLAN是为解决以太网的广播问题和安全性而提出的一种协议，它在以太网帧的基础上增加了VLAN头，用VLAN ID把用户划分为更小的工作组，限制不同工作组间的用户互访，每个工作组就是一个虚拟局域网。虚拟局域网的好处是可以限制广播范围，并能够形成虚拟工作组，动态管理网络。
二、VLAN的划分方法
　　VLAN在交换机上的实现方法，可以大致划分为六类: 　　
1. 基于端口划分的VLAN
　　这是最常应用的一种VLAN划分方法，应用也最为广泛、最有效，目前绝大多数VLAN协议的交换机都提供这种VLAN配置方法。这种划分VLAN的方法是根据以太网交换机的交换端口来划分的，它是将VLAN交换机上的物理端口和VLAN交换机内部的PVC（永久虚电路）端口分成若干个组，每个组构成一个虚拟网，相当于一个独立的VLAN交换机。
　　对于不同部门需要互访时，可通过路由器转发，并配合基于MAC地址的端口过滤。对某站点的访问路径上最靠近该站点的交换机、路由交换机或路由器的相应端口上，设定可通过的MAC地址集。这样就可以防止非法入侵者从内部盗用IP地址从其他可接入点入侵的可能。
　　从这种划分方法本身我们可以看出，这种划分的方法的优点是定义VLAN成员时非常简单，只要将所有的端口都定义为相应的VLAN组即可。适合于任何大小的网络。它的缺点是如果某用户离开了原来的端口，到了一个新的交换机的某个端口，必须重新定义。
2. 基于MAC地址划分VLAN
　　这种划分VLAN的方法是根据每个主机的MAC地址来划分，即对每个MAC地址的主机都配置他属于哪个组，它实现的机制就是每一块网卡都对应唯一的MAC地址，VLAN交换机跟踪属于VLAN MAC的地址。这种方式的VLAN允许网络用户从一个物理位置移动到另一个物理位置时，自动保留其所属VLAN的成员身份。
　　由这种划分的机制可以看出，这种VLAN的划分方法的最大优点就是当用户物理位置移动时，即从一个交换机换到其他的交换机时，VLAN不用重新配置，因为它是基于用户，而不是基于交换机的端口。这种方法的缺点是初始化时，所有的用户都必须进行配置，如果有几百个甚至上千个用户的话，配置是非常累的，所以这种划分方法通常适用于小型局域网。而且这种划分的方法也导致了交换机执行效率的降低，因为在每一个交换机的端口都可能存在很多个VLAN组的成员，保存了许多用户的MAC地址，查询起来相当不容易。另外，对于使用笔记本电脑的用户来说，他们的网卡可能经常更换，这样VLAN就必须经常配置。
3. 基于网络层协议划分VLAN
　　VLAN按网络层协议来划分，可分为IP、IPX、DECnet、A leTalk、Banyan等VLAN网络。这种按网络层协议来组成的VLAN，可使广播域跨越多个VLAN交换机。这对于希望针对具体应用和服务来组织用户的网络管理员来说是非常具有吸引力的。而且，用户可以在网络内部自由移动，但其VLAN成员身份仍然保留不变。
　　这种方法的优点是用户的物理位置改变了，不需要重新配置所属的VLAN，而且可以根据协议类型来划分VLAN，这对网络管理者来说很重要，还有，这种方法不需要附加的帧标签来识别VLAN，这样可以减少网络的通信量。这种方法的缺点是效率低，因为检查每一个数据包的网络层地址是需要消耗处理时间的(相对于前面两种方法)，一般的交换机芯片都可以自动检查网络上数据包的以太网祯头，但要让芯片能检查IP帧头，需要更高的技术，同时也更费时。当然，这与各个厂商的实现方法有关。 　　
4. 根据IP组播划分VLAN
　　IP 组播实际上也是一种VLAN的定义，即认为一个IP组播组就是一个VLAN。这种划分的方法将VLAN扩大到了广域网，因此这种方法具有更大的灵活性，而且也很容易通过路由器进行扩展，主要适合于不在同一地理范围的局域网用户组成一个VLAN，不适合局域网，主要是效率不高。
5. 按策略划分VLAN
　　基于策略组成的VLAN能实现多种分配方法，包括VLAN交换机端口、MAC地址、IP地址、网络层协议等。网络管理人员可根据自己的管理模式和本单位的需求来决定选择哪种类型的VLAN 。?　　
6. 按用户定义、非用户授权划分VLAN
　　基于用户定义、非用户授权来划分VLAN，是指为了适应特别的VLAN网络，根据具体的网络用户的特别要求来定义和设计VLAN，而且可以让非VLAN群体用户访问VLAN，但是需要提供用户密码，在得到VLAN管理的认证后才可以加入一个VLAN。
三、VLAN的优越性
　　任何新技术要得到广泛支持和应用，肯定存在一些关键优势，VLAN技术也一样，它的优势主要体现在以下几个方面：
1. 增加了网络连接的灵活性
　　借助VLAN技术，能将不同地点、不同网络、不同用户组合在一起，形成一个虚拟的网络环境 ，就像使用本地LAN一样方便、灵活、有效。VLAN可以降低移动或变更工作站地理位置的管 理费用，特别是一些业务情况有经常性变动的公司使用了VLAN后，这部分管理费用大大降低。?　　
2. 控制网络上的广播
?　　VLAN可以提供建立防火墙的机制，防止交换网络的过量广播。使用VLAN，可以将某个交换端口或用户赋于某一个特定的VLAN组，该VLAN组可以在一个交换网中或跨接多个交换机， 在一个VLAN中的广播不会送到VLAN之外。同样，相邻的端口不会收到其他VLAN产生的广 播。这样可以减少广播流量，释放带宽给用户应用，减少广播的产生。?　　
3. 增加网络的安全性
?　　蛭?桓鯲LAN就是一个单独的广播域，VLAN之间相互隔离，这大大提高了网络的利用率，确保了网络的安全保密性。人们在LAN上经常传送一些保密的、关键性的数据。保密的数据应 提供访问控制等安全手段。一个有效和容易实现的方法是将网络分段成几个不同的广播组， 网络管理员限制了VLAN中用户的数量，禁止未经允许而访问VLAN中的应用。交换端口可以基 于应用类型和访问特权来进行分组，被限制的应用程序和资源一般置于安全性VLAN中。?　　
四、VLAN网络的配置实例
　　为了给大家一个真实的配置实例学习机会，下面就以典型的中型局域网VLAN配置为例向各位介绍目前最常用的按端口划分VLAN的配置方法。
　　某公司有100台计算机左右，主要使用网络的部门有：生产部(20)、财务部(15)、人事部(8)和信息中心(12)四大部分，如图1所示。
　　网络基本结构为：整个网络中干部分采用3台Catalyst 1900网管型交换机（分别命名为：Switch1、Switch2和Switch3，各交换机根据需要下接若干个集线器，主要用于非VLAN用户，如行政文书、临时用户等）、一台Cisco 2514路由器，整个网络都通过路由器Cisco 2514与外部互联网进行连接。
所连的用户主要分布于四个部分，即：生产部、财务部、信息中心和人事部。主要对这四个部分用户单独划分VLAN，以确保相应部门网络资源不被盗用或破坏。
　　现为了公司相应部分网络资源的安全性需要，特别是对于像财务部、人事部这样的敏感部门，其网络上的信息不想让太多人可以随便进出，于是公司采用了VLAN的方法来解决以上问题。通过VLAN的划分，可以把公司主要网络划分为：生产部、财务部、人事部和信息中心四个主要部分，对应的VLAN组名为：Prod、Fina、Huma、Info，各VLAN组所对应的网段如下表所示。
VLAN 号
VLAN 名
Switch 1 2 ot;21
Switch2 2 ot;16
Switch3 2 ot;9
Switch3 10 ot;21
　　【注】之所以把交换机的VLAN号从"2"号开始，那是因为交换机有一个默认的VLAN，那就是"1"号VLAN，它包括所有连在该交换机上的用户。
　　VLAN的配置过程其实非常简单，只需两步：（1）为各VLAN组命名；（2）把相应的VLAN对应到相应的交换机端口。
　　下面是具体的配置过程：
：设置好超级终端，连接上1900交换机，通过超级终端配置交换机的VLAN，连接成功后出现如下所示的主配置界面（交换机在此之前已完成了基本信息的配置）：
　　1 user(s) now active on Management Co ole. 　　User Interface Menu 　　[M] Menus 　　[K] Command Line 　　[I] IP Configuration 　　Enter Selection:
　　【注】超级终端是利用Windows系统自带的"超级终端"（Hypertrm）程序进行的，具体参见有关资料。
：单击"K"按键，选择主界面菜单中"[K] Command Line"选项 ，进入如下命令行配置界面：　　CLI se ion with the switch is open. 　　To end the CLI se ion,enter [Exit ]. 　　
　　此时我们进入了交换机的普通用户模式，就象路由器一样，这种模式只能查看现在的配置，不能更改配置，并且能够使用的命令很有限。所以我们必须进入"特权模式"。
：在上一步""提示符下输入进入特权模式命令"enable"，进入特权模式，命令格式为"enable"，此时就进入了交换机配置的特权模式提示符：
　　#config t 　　Enter configuration commands,on
e per line.End with CNTL/Z 　　(config)#
：为了安全和方便起见，我们分别给这3个Catalyst 1900交换机起个名字，并且设置特权模式的登陆密码。下面仅以Switch1为例进行介绍。配置代码如下：
　　(config)#hostname Switch1 　　Switch1(config)# enable pa word level 15 XXXXXX 　　Switch1(config)#
　　【注】特权模式密码必须是4~8位字符这，要注意，这里所输入的密码是以明文形式直接显示的，要注意保密。交换机用 level 级别的大小来决定密码的权限。Level 1 是进入命令行界面的密码，也就是说，设置了 level 1 的密码后，你下次连上交换机，并输入 K 后，就会让你输入密码，这个密码就是 level 1 设置的密码。而 level 15 是你输入了"enable"命令后让你输入的特权模式密码。
：设置VLAN名称。因四个VLAN分属于不同的交换机，VLAN命名的命令为" vlan 'vlan号'name 'vlan名称'，在Switch1、Switch2、Switch3、交换机上配置2、3、4、5号VLAN的代码为：
　　Switch1 (config)#vlan 2 name Prod 　　Switch2 (config)#vlan 3 name Fina 　　Switch3 (config)#vlan 4 name Huma 　　Switch3 (config)#vlan 5 name Info
　　【注】以上配置是按表1规则进行的。
：上一步我们对各交换机配置了VLAN组，现在要把这些VLAN对应于表1所规定的交换机端口号。对应端口号的命令是"vlan-membership static/ dynamic' VLAN号'"。在这个命令中"static"(静态)和"dynamic"(动态)分配方式两者必须选择一个，不过通常都是选择"static"(静态)方式。VLAN端口号应用配置如下：
　　（1）. 名为"Switch1"的交换机的VLAN端口号配置如下：
　　Switch1(config)#int e0/2 　　Switch1(config-if)#vlan-membership static 2 　　Switch1(config-if)#int e0/3 　　Switch1(config-if)#vlan-membership static 2 　　Switch1(config-if)#int e0/4 　　Switch1(config-if)#vlan-membership static 2 　　…… 　　Switch1(config-if)#int e0/20 　　Switch(config-if)#vlan-membership static 3 　　Switch1(config-if)#int e0/21 　　Switch1(config-if)#vlan-membership static 3 　　Switch1(config-if)#
　　【注】"int"是"nterface"命令缩写，是接口的意思。"e0/3"是"ethernet 0/2"的缩写，代表交换机的0号模块2号端口。
　　（2）. 名为"Switch2"的交换机的VLAN端口号配置如下：
　　Switch2(config)#int e0/2 　　Switch2(config-if)#vlan-membership static 3 　　Switch2(config-if)#int e0/3 　　Switch2(config-if)#vlan-membership static 3 　　Switch2(config-if)#int e0/4 　　Switch2(config-if)#vlan-membership static 3 　　…… 　　Switch2(config-if)#int e0/15 　　Switch2(config-if)#vlan-membership static 3 　　Switch2(config-if)#int e0/16 　　Switch2(config-if)#vlan-membership static 3 　　Switch2(config-if)#
　　（3）. 名为"Switch3"的交换机的VLAN端口号配置如下(它包括两个VLAN组的配置)，先看VLAN 4（Huma）的配置代码：
　　Switch3(config)#int e0/2 　　Switch3(config-if)#vlan-membership static 4 　　Switch3(config-if)#int e0/3 　　Switch3(config-if)#vlan-membership static 4 　　Switch3(config-if)#int e0/4 　　Switch3(config-if)#vlan-membership static 4 　　…… 　　Switch3(config-if)#int e0/8 　　Switch3(config-if)#vlan-membership static 4 　　Switch3(config-if)#int e0/9 　　Switch3(config-if)#vlan-membership static 4 　　Switch3(config-if)# 　　下面是VLAN5（Info）的配置代码：　　Switch3(config)#int e0/10 　　Switch3(config-if)#vlan-membership static 5 　　Switch3(config-if)#int e0/11 　　Switch3(config-if)#vlan-membership static 5 　　Switch3(config-if)#int e0/12 　　Switch3(config-if)#vlan-membership static 5 　　…… 　　Switch3(config-if)#int e0/20 　　Switch3(config-if)#vlan-membership static 5 　　Switch3(config-if)#int e0/21 　　Switch3(config-if)#vlan-membership static 5 　　Switch3(config-if)#
　　好了，我们已经按表1要求把VLAN都定义到了相应交换机的端口上了。为了验证我们的配置，可以在特权模式使用"show vlan"命令显示出刚才所做的配置，检查一下是否正确。
　　以上是就Cisco Catalyst 1900交换机的VLAN配置进行介绍了，其它交换机的VLAN配置方法基本类似，参照有关交换机说明书即可。
局域网实现VLAN实例
　　计算机网络技术的发展犹如戏剧舞台，你方唱罢我登台。从传统的以太网（10Mb/s）发展到快速以太网（100Mb/s）和千兆以太网（1000Mb/s）也不过几年的时间，其迅猛的势头实在令人吃惊。而现在中大型规模网络建设中，以千兆三层交换机为核心的所谓“千兆主干跑、百兆到桌面”的主流网络模型已不胜枚举。现在，网络业界对“三层交换”和VLAN这两词已经不感到陌生了。 　　
一、什么是三层交换和VLAN
　　要回答这个问题我们还是先看看以太网的工作原理。以太网的工作原理是利用二进制位形成的一个个字节组合成一帧帧的数据（其实是一些电脉冲）在导线中进行传播。首先，以太网网段上需要进行数据传送的节点对导线进行***，这个过程称为CSMA/CD（Carrier Se e Multiple Acce with Collision Detection带有冲突监测的载波侦听多址访问）的载波侦听。如果，这时有另外的节点正在传送数据，***节点将不得不等待，直到传送节点的传送任务结束。如果某时恰好有两个工作站同时准备传送数据，以太网网段将发出“冲突”信号。这时，节点上所有的工作站都将检测到冲突信号，因为这时导线上的电压超出了标准电压。这时以太网网段上的任何节点都要等冲突结束后才能够传送数据。也就是说在CSMA/CD方式下，在一个时间段，只有一个节点能够在导线上传送数据。而转发以太网数据帧的联网设备是集线器,它是一层设备，传输效率比较低。
　　冲突的产生降低了以太网的带宽，而且这种情况又是不可避免的。所以，当导线上的节点越来越多后，冲突的数量将会增加。显而易见的解决方法是限制以太网导线上的节点，需要对网络进行物理分段。将网络进行物理分段的网络设备用到了网桥与交换机。网桥和交换机的基本作用是只发送去往其他物理网段的信息。所以，如果所有的信息都只发往本地的物理网段，那么网桥和交换机上就没有信息通过。这样可以有效减少网络上的冲突。网桥和交换机是基于目标MAC（介质访问控制）地址做出转发决定的，它们是二层设备。我们已经知道了以太网的缺点及物理网段中冲突的影响，现在，我们来看看另外一种导致网络降低运行速度的原因：广播。广播存在于所有的网络上，如果不对它们进行适当的控制，它们便会充斥于整个网络，产生大量的网络通信。广播不仅消耗了带宽，而且也降低了用户工作站的处理效率。由于各种各样的原因，网络操作系统（NOS）使用了广播，TCP/IP使用广播从IP地址中解析MAC地址，还使用广播通过RIP和IGRP协议进行宣告，所以，广播也是不可避免的。网桥和交换机将对所有的广播信息进行转发，而路由器不会。所以，为了对广播进行控制，就必须使用路由器。路由器是基于第3层报头、目标IP寻址、目标IPX寻址或目标A letalk寻址做出转发决定。路由器是3层设备。　在这里，我们就容易理解三层交换技术了，通俗地讲，就是将路由与交换合二为一的技术。路由器在对第一个数据流进行路由后，将会产生一个MAC地址与IP地址的映射表，当同样的数据流再次通过时，将根据此映射表直接从二层进行交换而不是再次路由，提供线速性能，从而消除了路由器进行路由选择而造成网络的延迟，提高了数据包转发的效率。采用此技术的交换机我们常称为三层交换机。
　　那么，什么是VLAN呢？VLAN（Virtual Local Area Network）就是虚拟局域网的意思。VLAN可以不考虑用户的物理位置，而根据功能、应用等因素将用户从逻辑上划分为一个个功能相对独立的工作组，每个用户主机都连接在一个支持VLAN的交换机端口上并属于一个VLAN。同一个VLAN中的成员都共享广播，形成一个广播域，而不同VLAN之间广播信息是相互隔离的。这样，将整个网络分割成多个不同的广播域（VLAN）。
　　一般来说，如果一个VLAN里面的工作站发送一个广播，那么这个VLAN里面所有的工作站都接收到这个广播，但是交换机不会将广播发送至其他VLAN上的任何一个端口。如果要将广播发送到其它的VLAN端口，就要用到三层交换机。
二、如何配置三层交换机创建VLAN
　　以下的介绍都是基于Cisco交换机的VLAN。Cisco的VLAN实现通常是以端口为中心的。与节点相连的端口将确定它所驻留的VLAN。将端口分配给VLAN的方式有两种，分别是静态的和动态的.形成静态VLAN的过程是将端口强制性地分配给VLAN的过程。即我们先在VTP （VLAN Trunking Protocol）Server上建立VLAN，然后将每个端口分配给相应的VLAN的过程。这是我们创建VLAN最常用的方法。
　　动态VLAN形成很简单，由端口决定自己属于哪个VLAN。即我们先建立一个VMPS（VLAN Membership Policy Server）VLAN管理策略服务器，里面包含一个文本文件，文件中存有与VLAN映射的MAC地址表。交换机根据这个映射表决定将端口分配给何种VLAN。这种方法有很大的优势，但是创建数据库是一项非常艰苦而且非常繁琐的工作。
　　下面以实例说明如何在一个典型的快速以太局域网中实现VLAN。所谓典型的局域网就是指由一台具备三层交换功能的核心交换机接几台分支交换机（不一定具备三层交换能力）。我们假设核心交换机名称为：COM；分支交换机分别为：PAR1、PAR2、PAR3……，分别通过Port1的光线模块与核心交换机相连；并且假设VLAN名称分别为COUNTER、MARKET、MANAGING……。
　　1、设置VTP DOMAIN
　　VTP DOMAIN 称为管理域。交换VTP更新信息的所有交换机必须配置为相同的管理域。如果所有的交换机都以中继线相连，那么只要在核心交换机上设置一个管理域，网络上所有的交换机都加入该域，这样管理域里所有的交换机就能够了解彼此的VLAN列表。
COM#vlan database 进入VLAN配置模式
COM(vlan)#vtp domain COM 设置VTP管理域名称COM
COM(vlan)#vtp server 设置交换机为服务器模式
PAR1#vlan database 进入VLAN配置模式
PAR1(vlan)#vtp domain COM 设置VTP管理域名称COM
PAR1(vlan)#vtp Client 设置交换机为客户端模式
PAR2#vlan database 进入VLAN配置模式
PAR2(vlan)#vtp domain COM 设置VTP管理域名称COM
PAR2(vlan)#vtp Client 设置交换机为客户端模式
PAR3#vlan database 进入VLAN配置模式
PAR3(vlan)#vtp domain COM 设置VTP管理域名称COM
PAR3(vlan)#vtp Client 设置交换机为客户端模式
　　注意：这里设置交换机为Server模式是指允许在本交换机上创建、修改、删除VLAN及其他一些对整个VTP域的配置参数，同步本VTP域中其他交换机传递来的最新的VLAN信息；Client模式是指本交换机不能创建、删除、修改VLAN配置，也不能在NVRAM中存储VLAN配置，但可以同步由本VTP域中其他交换机传递来的VLAN信息。
　　2、配置中继
　　为了保证管理域能够覆盖所有的分支交换机，必须配置中继。Cisco交换机能够支持任何介质作为中继线，为了实现中继可使用其特有的ISL标签。ISL（Inter－Switch Link）是一个在交换机之间、交换机与路由器之间及交换机与服务器之间传递多个VLAN信息及VLAN数据流的协议，通过在交换机直接相连的端口配置ISL封装，即可跨越交换机进行整个网络的VLAN分配和进行配置。
在核心交换机端配置如下：
COM(config)#interface gigabitEthernet 2/1
COM(config-if)#switchport
COM(config-if)#switchport trunk enca ulation isl
COM(config-if)#switchport mode trunk
COM(config)#interface gigabitEthernet 2/2
COM(config-if)#switchport
COM(config-if)#switchport trunk enca ulation isl
COM(config-if)#switchport mode trunk
COM(config)#interface gigabitEthernet 2/3
COM(config-if)#switchport
COM(config-if)#switchport trunk enca ulation isl
COM(config-if)#switchport mode trunk
在分支交换机端配置如下：
PAR1(config)#interface gigabitEthernet 0/1
PAR1(config-if)#switchport mode trunk
PAR2(config)#interface gigabitEthernet 0/1
PAR2(config-if)#switchport mode trunk
PAR3(config)#interface gigabitEthernet 0/1
PAR3(config-if)#switchport mode trunk
此时，管理域算是设置完毕了。
　　3、创建VLAN
　　一旦建立了管理域，就可以创建VLAN了。
COM(vlan)#Vlan 10 name COUNTER 创建了一个编号为10名字为COUNTER的 VLAN
COM(vlan)#Vlan 11 name MARKET 创建了一个编号为11名字为MARKET的 VLAN
COM(vlan)#Vlan 12 name MANAGING 创建了一个编号为12名字为MANAGING的 VLAN
注意，这里的VLAN是在核心交换机上建立的，其实，只要是在管理域中的任何一台VTP属性为Server的交换机上建立VLAN，它就会通过VTP通告整个管理域中的所有的交换机。但是如果要将交换机的端口划入某个VLAN，就必须在该端口所属的交换机上进行设置。
　　4、将交换机端口划入VLAN
　　例如，要将PAR1、PAR2、PAR3……分支交换机的端口1划入COUNTER VLAN，端口2划入MARKET
VLAN，端口3划入MANAGING VLAN……
PAR1(config)#interface fastEthernet 0/1 配置端口1
PAR1(config-if)#switchport acce vlan 10 归属COUNTER VLAN
PAR1(config)#interface fastEthernet 0/2 配置端口2
PAR1(config-if)#switchport acce vlan 11 归属MARKET VLAN
PAR1(config)#interface fastEthernet 0/3 配置端口3
PAR1(config-if)#switchport acce vlan 12 归属MANAGING VLAN
PAR2(config)#interface fastEthernet 0/1 配置端口1
PAR2(config-if)#switchport acce vlan 10 归属COUNTER VLAN
PAR2(config)#interface fastEthernet 0/2 配置端口2
PAR2(config-if)#switchport acce vlan 11 归属MARKET VLAN
PAR2(config)#interface fastEthernet 0/3 配置端口3
PAR2(config-if)#switchport acce vlan 12 归属MANAGING VLAN
PAR3(config)#interface fastEthernet 0/1 配置端口1
PAR3(config-if)#switchport acce vlan 10 归属COUNTER VLAN
PAR3(config)#interface fastEthernet 0/2 配置端口2
PAR3(config-if)#switchport acce vlan 11 归属MARKET VLAN
PAR3(config)#interface fastEthernet 0/3 配置端口3
PAR3(config-if)#switchport acce vlan 12 归属MANAGING VLAN
　　5、配置三层交换
　　到这里，VLAN已经基本划分完毕。但是，VLAN间如何实现三层（网络层）交换呢？这时就要给各VLAN分配网络（IP）地址了。给VLAN分配IP地址分两种情况，其一，给VLAN所有的节点分配静态IP地址；其二，给VLAN所有的节点分配动态IP地址。下面就这两种情况分别介绍。
　　我们假设给VLAN COUNTER分配的接口Ip地址为172.16.58.1/24，网络地址为：172.16.58.0，VLAN MARKET分配的接口Ip地址为172.16.59.1/24，网络地址为172.16.59.0，VLAN MANAGING分配的接口Ip地址为172.16.60.1/24，网络地址为172.16.60.0……。如果动态分配IP地址，则设网络上的DHCP服务器IP地址为172.16.1.11。
　　(1)给VLAN所有的节点分配静态IP地址
　　首先在核心交换机上分别设置各VLAN的接口IP地址，如下所示：
COM(config)#interface vlan 10
COM(config-if)#ip addre 172.16.58.1 255.255.255.0 VLAN10接口IP
COM(config)#interface vlan 11
COM(config-if)#ip addre 172.16.59.1 255.255.255.0 VLAN11接口IP
COM(config)#interface vlan 12
COM(config-if)#ip addre 172.16.60.1 255.255.255.0 VLAN12接口IP
　　再在各接入VLAN的计算机上设置与所属VLAN的网络地址一致的IP地址，并且把默认网关设置为该VLAN的接口地址。这样，所有的VLAN也可以互访了。
　　(2)给VLAN所有的节点分配动态IP地址
首先在核心交换机上分别设置各VLAN的接口IP地址和DHCP服务器的IP地址，如下所示：
COM(config)#interface vlan 10
COM(config-if)#ip addre 172.16.58.1 255.255.255.0 VLAN10接口IP
COM(config-if)#ip helper-addre 172.16.1.11 DHCP Server IP
COM(config)#interface vlan 11
COM(config-if)#ip addre 172.16.59.1 255.255.255.0 VLAN11接口IP
COM(config-if)#ip helper-addre 172.16.1.11 DHCP Server IP
COM(config)#interface vlan 12
COM(config-if)#ip addre 172.16.60.1 255.255.255.0 VLAN12接口IP
COM(config-if)#ip helper-addre 172.16.1.11 DHCP Server IP
　　再在DHCP服务器上设置网络地址分别为172.16.58.0，172.16.59.0，172.16.60.0的作用域，并将这些作用域的“路由器”选项设置为对应VLAN的接口IP地址。这样，可以保证所有的VLAN也可以互访了。
　　最后在各接入VLAN的计算机进行网络设置，将IP地址选项设置为自动获得IP地址即可。
三、总结
本文是笔者在实际工作中的一些总结。笔者力图用通俗易懂的文字来阐述创建VLAN的全过程。并且给出了详细的设置步骤，只要你对Cisco交换机的IOS有所了解，看懂本文并不难。按照本文所示的步骤一步一步地做，你完全可以给一个典型的快速以太网络建立多个VLAN。
轻松架设基于IP地址的VLAN
下面就以含有8台计算机的Windows 2000局域网为例来说明设置方法。 　　
一、规划VLAN
　　将含有8台计算机的局域网划分为两个虚拟局域网：VLAN1和VLAN2，其中的PC1和PC2同时属于VLAN1和VLAN2。如图1所示。
　　为标识网络中的不同计算机，需要为每台计算机分配一个唯一的IP地址。IP地址是由两部分组成的：网络号与主机号。如果两台计算机的网络号相同，那么这两台计算机就在同一个网段内，也就是说，位于同一网段内的计算机并非必须在同一个物理网络内，这样，我们可以根据IP地址来划分虚拟子网（即VLAN）。 　　处于同一个网段内的计算机之间可以直接通信，而处于不同网段的计算机之间的通信则必须经过路由器才能通信。一个VLAN在同一个广播域，VLAN之间的通信是通过第3层的路由器来完成的，实现路由功能的可以是路由器、三层交换机等硬件设备，也可以通过将一台计算机***上路由协议软件来实现。　　
二、配置VLAN
　　1.VLAN1中各台计算机的IP地址设置（见下表） 　　根据各计算机的IP地址与子网掩码可知，VLAN1网段的网络号为192.168.0.0。每台计算机的IP地址与子网掩码的设置方法为： 　　⑴右击“网上邻居”，在弹出的快捷菜单中单击“属性”打开“网络和拔号连接”对话框； 　　⑵在“本地连接”上右击，在弹出的快捷菜单中单击“属性”打开“本地连接属性”对话框； 　　⑶选择“Internet协议（TCP/IP）”，单击“属性”按钮，打开“Internet协议（TCP/IP）属性”对话框，并输入相应的IP地址与子网掩码（图2中是PC1的具体设置）。 　　用同样的方法设置其他计算机的IP地址与子网掩码。 　　2.VLAN2中各台计算机的IP地址设置（见下表） 　　根据各计算机的IP地址与子网掩码可知，VLAN2网段的网络号为10.212.1.0。具体的设置方法同上。 　　需要说明的是，PC1和PC2均有两个不同的IP地址，这使得PC1和PC2可以同时与VLAN1和VLAN2中的其他计算机直接通信。这两个不同的IP地址的设置，可以通过两种方法来实现：一是PC1和PC2这两台计算机中均有两块网卡，一块网卡设置一个IP地址；二是PC1和PC2这两台计算机中均只有一块网卡，但可以在一块网卡上设置多个IP地址。第一种方法中IP地址的设置同上，第二种方法中IP地址的设置方法为： 　　⑴在图2中单击“高级”按钮，得到如图3所示的“高级TCP/IP设置”对话框。
　　⑵单击上图中的“添加”按钮，在弹出的窗口中输入一个新的IP地址与子网掩码。 　　⑶单击“添加”按钮确认。这样，就在一个网卡上绑定了两个IP地址，这两个IP地址一个属于VLAN1，另一个属于VLAN2。 　　经过上述设置后，就把一个物理网络划分为两个不同的VLAN，它们的网络号不同，它们之间是不能直接进行通信的。VLAN1和VLAN2之间要想进行通信，必须通过路由器进行信息转发。 　　
三、路由设置
　　在Windows 2000网络中，可以将一台Windows 2000 Server 服务器设置为路由器。在进行路由设置时，要经过两步：先启用路由功能，而后配置静态或动态路由。如果两个VLAN之间要进行通信，只须把VLAN1中各计算机的网关设置为10.212.1.1，把VLAN2中各计算机的网关设置为192.168.0.1即可，图4为VLAN1中的计算机PC3所设置的网关。
实战篇:VLAN如何在内网上进行划分?
　　在介绍具体应用之前，我们先来了解一下VLAN的定义、标准及如何划分等内容。
VLAN的定义
　　VLAN（Virtual Local Area Network）即虚拟局域网，是一种通过将局域网内的设备逻辑地而不是物理地划分成一个个网段从而实现虚拟工作组的新兴技术。
　　VLAN技术允许网络管理者将一个物理的LAN逻辑地划分成不同的广播域（或称虚拟LAN，即VLAN），每一个VLAN都包含一组有着相同需求的计算机工作站，与物理上形成的LAN有着相同的属性。但由于它是逻辑地而不是物理地划分，所以同一个VLAN内的各个工作站无须被放置在同一个物理空间里，即这些工作站不一定属于同一个物理LAN网段。
　　VLAN是为解决以太网的广播问题和安全性而提出的，它在以太网帧的基础上增加了VLAN头，用VLAN ID把用户划分为更小的工作组，限制不同工作组间的用户二层互访，每个工作组就是一个虚拟局域网。虚拟局域网的好处是可以限制广播范围，并能够形成虚拟工作组，动态管理网络。
　　一个VLAN内部的广播和单播流量都不会转发到其他VLAN中，即使是两台计算机有着同样的网段，但是它们却没有相同的VLAN号，它们各自的广播流也不会相互转发,从而有助于控制流量、减少设备投资、简化网络管理、提高网络的安全性。既然VLAN隔离了广播风暴，同时也隔离了各个不同的VLAN之间的通讯，所以不同的VLAN之间的通讯是需要有路由来完成的。
VLAN的划分
　　有四种方式：
　　1.根据端口来划分VLAN
　　许多VLAN厂商都利用交换机的端口来划分VLAN成员。被设定的端口都在同一个广播域中。例如，一个交换机的1，2，3，4，5端口被定义为虚拟网AAA，同一交换机的6，7，8端口组成虚拟网BBB。这样做允许各端口之间的通讯，并允许共享型网络的升级。但是，这种划分模式将虚拟网限制在了一台交换机上。
　　第二代端口VLAN技术允许跨越多个交换机的多个不同端口划分VLAN，不同交换机上的若干个端口可以组成同一个虚拟网。
　　以交换机端口来划分网络成员，其配置过程简单明了。因此，从目前来看，这种根据端口来划分VLAN的方式仍然是最常用的一种方式。
　　2.根据MAC地址划分VLAN
　　这种划分VLAN的方法是根据每个主机的MAC地址来划分，即对每个MAC地址的主机都配置它属于哪个组。这种划分VLAN方法的最大优点就是当用户物理位置移动时，即从一个交换机换到其他的交换机时，VLAN不用重新配置，所以，可以认为这种根据MAC地址的划分方法是基于用户的VLAN，这种方法的缺点是初始化时，所有的用户都必须进行配置，如果有几百个甚至上千个用户的话，配置是非常累的。而且这种划分的方法也导致了交换机执行效率的降低，因为在每一个交换机的端口都可能存在很多个VLAN组的成员，这样就无法限制广播包了。另外，对于使用笔记本电脑的用户来说，他们的网卡可能经常更换，这样，VLAN就必须不停地配置。
　　3.根据网络层划分VLAN
　　这种划分VLAN的方法是根据每个主机的网络层地址或协议类型(如果支持多协议)划分的，虽然这种划分方法是根据网络地址，比如IP地址，但它不是路由，与网络层的路由毫无关系。
　　其优点是用户的物理位置改变了，不需要重新配置所属的VLAN，而且可以根据协议类型来划分VLAN，这对网络管理者来说很重要，还有，这种方法不需要附加的帧标签来识别VLAN，这样可以减少网络的通信量。其缺点是效率低，因为检查每一个数据包的网络层地址是需要消耗处理时间的(相对于前面两种方法)，一般的交换机芯片都可以自动检查网络上数据包的以太网帧头，但要让芯片能检查IP帧头，需要更高的技术，同时也更费时。当然，这与各个厂商的实现方法有关。
　　4.根据IP组播划分VLAN
　　IP 组播实际上也是一种VLAN的定义，即认为一个组播组就是一个VLAN，这种划分的方法将VLAN扩大到了广域网，因此这种方法具有更大的灵活性，而且也很容易通过路由器进行扩展，当然这种方法不适合局域网，主要是效率不高。
VLAN的标准
　　对VLAN的标准，我们只是介绍两种比较通用的标准，当然也有一些公司具有自己的标准，比如Cisco公司的ISL标准，虽然不是一种大众化的标准，但是由于Cisco Catalyst交换机的大量使用，ISL也成为一种不是标准的标准了。
　　· 802.10 VLAN标准
　　在1995年，Cisco公司提倡使用IEEE802.10协议。在此之前，IEEE802.10曾经在全球范围内作为VLAN安全性的同一规范。Cisco公司试图采用优化后的802.10帧格式在网络上传输FramTagging模式中所必须的VLAN标签。然而，大多数802委员会的成员都反对推广802.10。因为，该协议是基于FrameTagging方式的。
　　· 802.1Q
　　在1996年3月，IEEE802.1Internetworking委员会结束了对VLAN初期标准的修订工作。新出台的标准进一步完善了VLAN的体系结构，统一了Fram-eTagging方式中不同厂商的标签格式，并制定了VLAN标准在未来一段时间内的发展方向，形成的802.1Q的标准在业界获得了广泛的推广。它成为VLAN史上的一块里程碑。802.1Q的出现打破了虚拟网依赖于单一厂商的僵局，从一个侧面推动了VLAN的迅速发展。另外，来自市场的压力使各大网络厂商立刻将新标准融合到他们各自的产品中。
　　下面给出一个VLAN的实例，进行说明:
　　某IT公司现有行政部、技术部、市场部。VLAN的划分：行政部VLAN10，技术部VLAN20，市场部VLAN30，各部门之间还可以相互通讯。
　　现有设备为:Cisco 3640路由器，Cisco Catalyst 2924交换机一台，二级交换机若干台。
　　交换机配置文件中的部分代码如下：
　　......
　　interface vlan10
　　ip addre 192.168.0.1
　　interface vlan20
　　ip addre 192.168.1.1
　　interface vlan30
　　ip addre 192.168.2.1
　　......
　　路由器配置文件中的部分代码如下：
　　......
　　interface FastEthernet 1/0.1
　　enca ulation isl 10
　　ip addre 192.168.0.2
　　interface FastEthernet 1/0.2
　　enca ulation isl 20
　　ip addre 192.168.1.2
　　interface FastEthernet 1/0.3
　　enca ulation isl 30
　　ip addre 192.168.2.2
　　......
　　router rip
　　network 192.168.0.0
掌握VLAN管理，测试
　　过去常常在网络里使用路由器和集线器，而现在很多网络使用交换机，怎样面对路由网络和交换技术的挑战吗？ 　　目前，交换机在网络市场上占据了主导地位，其中原因是：首先是交换机性价比高，其次是结构灵活，可以随着未来应用的变化而灵活配置。
　　数字最能说明问题。在有一个100M 上行链路的交换机里，每个10M 受控交换机端口的成本为100美元。路由选择技术并不真正按给每个端口分配一个用户的方式来分段网络，每个路由器端口的成本至少是交换机端口的三四倍，因而管理负担大得惊人。尽管用路由器分段的网络只有TCP/IP通信量，但由于成本高，性能不高，子网太多，并且配置工作量大，所以很快就行不通了。 　　
　　相比而言，交换机和集线器一样，是即插即用设备。目前正在出现具有“自学”功能的路由选择设备，采用所支持的协议自动配置端口。
　　在缺省情况下，纯交换网络是平面网络。如果每个节点都有自己的交换端口，网络就很难发生争用情况，即入站通信量与节点的出站通信量发生资源争用，反之亦然。相比而言，在传统的共享网段或者环里，每个节点的吞吐量随着节点的增多而下降，例如有25个节点的10BaseT网络只能给每个节点平均提供400K 带宽，而有专业交换端口的节点却拥有10M 吞吐量。
　　一般被节点用于做广告或者寻找目前未知的广播技术可大大提供这种网络的吞吐量，而通常的单址广播帧只能广播到一个目的地节点和中间交换端口。自从网桥流行的那一天起，我们就知道我们实际上并不希望有数千个节点的广播域，因为广播风暴无法预测且难以控制。
　　把平面网络变成较小的广播域，无异于使交换网络变成一种丰富多彩的调色板。与其用路由器定义任意大小的子网，倒不如用交换机建立VLAN。
VLAN的管理
　　VLAN与交换网络密不可分，但实施VLAN要重新定义管理环境。VLAN定义的逻辑域涉及网络里的可能视图，因而网络管理平台可显示IP图像，有时还会显示基于IPX的图像。如果部署VLAN，其拓扑可能与上述视图不匹配。当VLAN部署完毕之后，你很可能对根据逐个VLAN监视通信量并生成警报这一点感兴趣。
　　在目前，大多数基于交换机的VLAN是专用的。IEEE 802.1P委员会开发出一种多址广播标准，使VLAN成员可以在取消VLAN广播抑制任务的情况下通信。在可互操作的软件和硬件里实现上述标准之前，VLAN配置仍将要求维护单一供应商交换机环境。
　　即使在单一供应商VLAN里，网络管理也是一种挑战，例如检查VLAN对话要求管理软件处理的统计信息不同于检查常见的LAN或IP子网对话：RMON MIB和RMON-2 MIB分别提供确定LAN和子网信息的框架，而VLAN配置必须定义自己的MIB，或者配置如何根据其他MIB获得上述信息。此外，为了提供连贯的VLAN行为特性图，管理软件要收集并合并来自多个RMON检测器的数据。
　　如果上述问题很严重，就要考虑捕捉多交换机VALN数据的地方只限于中间交换机链路或者主干网。在大型网络里，主干几乎都在100M 以上，高速控制器的部署与常见VLAN不一样，而且成本很高。
　　如果根据交换机端口定义VLAN，通常很容易用某种拖放软件把一个或多个用户分配到特定的VLAN。在非交换环境里，移动、添加或更改操作很麻烦，有可能要改动接线板上的跳线充一个集线器端口移动到另一个端口。然而，改动VLAN分配仍然要靠人工进行：在大型网络里，这样做很费时，因而很多联网供应商鼓吹采用VLAN可以简化移动、添加和更改操作。
　　基于MAC地址的VLAN分配方案确实可使某些移动、添加和更改操作自动化。如果用户根据MAC地址被分配到一个VLAN或多个VLAN，他们的计算机可以连接交换网络的任何一个端口，所有通信量均能正确无误地到达目的地。显然，管理员要进行VLAN初始分配，但用户移动到不同的物理连接不需要在管理控制台进行人工干预；例如有很多移动用户的站，他们并非总是连接同一端口――或许因为办公室都是临时性的，采用基于MAC地址的VLAN可避免很多麻烦。
　　传统的Layer3技术怎么样呢？这里离开VLAN最近的是IP子网：每个子网需要一个路由器端口，因为通信量只能通过一个路由器从一个子网移动到另一个子网。由于IP32位地址提供的地址空间很有限，所以很难分配子网地址，还有看你是否熟悉二进制算法。因此，在IP网络里执行移动、添加和更改操作很困难，速度慢，容易出错，而且费用大。另外，在公司更换ISP或者采用新安全策略时，可能有必要重新编号网络，这对于大型网络来说是无法想像的。
　　实际上，如果有人采用现有的有子网的路由IP网络，并根据IP地址访问任意VLAN成员，路由器就可能会被不必要的通信量淹没。
　　如果很多子网里都有VALN成员，常用的VLAN广播必须通过路由器才能达到所有成员。此外，糟糕的是广域链路会生成额外广播通信量；有WAN连接服务的VLAN成员数通常应该保持在最低水平。实际上，基于Layer3地址的VLAN成员值有可能在增强和修改现有子网分布方面很有用，例如可通过一个全子网给VLAN添加两个新节点，或者可用两个子网组成一个VLAN而无须重新编号。
　　Cabletron的SecureFast Virtual Networking Layer3交换技术采用路由服务器模型而不是传统的路由选择模型。第一个信息包传送到路由服务器进行常规路由计算，但交换机能记忆路径，因而后续信息包可在Layer2交换，而无须查对路由表。由于有了基于纯Layer3地址的VLAN，所以IP地址可以作为通用网络ID，允许任何人连接任何数据链路，从而获得全网络访问，大大简化移动、添加和更改任务。
　　但是，还有其他方法解决IP子网引起的管理问题。DHCP（动态主机配置协议）已经在连接时给用户分配地址的其他技术，都可用于解决上述问题。
　　VLAN的测试
　　传统上，共享介质如Ethernet冲突网段或者令牌环，已经成为网络管理的级别单元，连接网段或环任何地方的协议分析仪都可捕捉所以节点自己发生的所有对话。集线器的SNMP代理捕捉整个网段通信量，错误和广播统计信息。RMON检测器（一种网络监视器或手持式故障排除设备）可检测共享介质发生的所有重大事件。这些设备提供测试手段即基本数据捕捉作业，旨在有效管理网络。
　　交换网络必须装备类似的工具。网络数或者环数成倍增加，因而必备的设备也相应地成倍增加。对于老式10BaseT来说，大多数独立RMON检测器的价格比较昂贵。
　　同时，任何网段的通信量都可能只有一个源和一个目的地，使问题分析变得很困难。即使是很简单的问题，如观察广播是否正确无误地传送到VLAN成员，而不传送到其他节点，也要把协议分析仪和一个三端口中继器连接到VLAN的每个网段上。
　　但情况并非很糟糕。常用的连接部件如NIC，连接器，电缆和端口可用以前的方法测试，它们并不受交换结构的影响。服务器，路由器，打印机和工作站发生的问题可能会很难解决。如何路由器采用NetBIOS桥结VLAN不当，可以从VLAN里的任何一个节点诊断出来。其他问题如冲突，应该可以消除掉，因为介质不再是共享介质，或者共享程度不象以前那么高。
　　针对交换网络测试设备不足的问题，交换机供应商做了很多工作。很多交换机都可配置一个监视端口，以便连接协议分析仪或者其他监视器。在有的交换机里，可以配置监视端口检查任何两个端口之间的通信量。在少数基于底板的交换机里，监视端口可用于捕捉交换机传送的所有通信量。这些监视工作可以通过神奇的电子技术来实现，而不影响交换机的性能，如果你的交换机没有监视端口，并且每个端口都没有RMON，就不能执行监视作业，即使可以执行也很难且代价昂贵。因此购买交换机必须考虑它有没有监视端口。
　　另外，很多交换机供应商还为每个端口配备了RMON代理。如果基本的交换机硬件没有集成RMON设备，它不会削弱系统的总体性能。
校园网VLAN的设计和管理
　　VLAN的设计
　　1.传统平面结构的校园网设计
高校内部建筑众多，教学科研、行政管理、实验室和机房相对分散，不利于校园内部IP地址的分配。一般来说校园网可以申请到8～32个C类地址(这里假定为202.197.0.0～202.197.7.255)，如果将这些IP地址全部集中到一个路由端口上(如图1)，可能会因为子网中信息广播风暴，影响整个校园网络内部运行效率。
　　2.VLAN结构的网络设计
为改变平面结构的路由，可在图中Cisco 2511与Switch之间增加一个内部路由设备Cisco 4500和若干个Cisco 5000交换机(如图2)。这样在每个4500的路由端口，可以将一个C类地址作为一个子网，在Cisco 5000上配置12口光纤模块，可以通过光纤延伸到各楼房。
　　VLAN的实现
以图2为例，要完成VLAN的网络配置，需要在4500路由器和5000交换机分别设置(假设网络按照右表划分)。
C类地址
202.197.0.*
5000A模块1(1，2)?5000B模块1(1)
202.197.1.*
5000A模块2(1，2，3，4)
202.197.2.*
5000A模块2(5)
202.197.3.*
5000A模块2(6，7)
202.197.4.*
5000A模块2(8，9，10)?5000B模块2(1，2，3)
202.197.5.*
5000B模块2(4，5，6，7)
●Cisco 4500中VLAN的配置 Interface FastEthernet0.1
/＊建立虚网f0.1～F0.7,f0.1缺省为主干通道＊/
Description NIC
/＊VLAN名称为NIC＊/
IP addre 202.197.0.1 255.255.255.0 /＊IP地址为 202.197.0.1，子网掩码为255.255.255.0 ＊/
Enca ulation isl 1
Interface FastEthernet0.2
Description CA
IP addre 202.197.1.1 255.255.255.0
Enca ulation isl 2
Interface FastEthernet0.6
Description MATH
IP addre 202.197.5.1 255.255.255.0
Enca ulation isl 6
● Cisco 5000A中VLAN设置
Set interface sc0 1 202.197.0.3 255.255.255.0 202.197.0.255
/＊给定5000A的IP地址为202.197.0.3，指定访问交换机通过以太网接口＊/
Set vtp domain sw.com mode server
/＊VLAN的管理域名为sw.com，Trunk协议操作模式为server＊/
Set truck 1/1 on 1－6
/＊设置Trunk＊/
Set truck 1/2 on
Set vlan 1 1/1－2
/＊模块1的端口1到2属于子网1＊/
Set vlan 2 2/1－4
Set vlan 3 2/5
Set vlan 4 2/6－7
Set vlan 5 2/8－10
Set vlan 6
/＊定义子网6以便5000B可以使用＊/
● Cisco 5000B中VLAN设置
Set interface sc0 1 202.197.0.4 255.255.255.0 202.197.0.255
Set vtp domain sw.com mode client
/＊Truck协议操作模式为client＊/
Set truck 1/1 on 1－6
Set truck 1/2 on
Set vlan 1 1/1
Set vlan 5 2/1－3
Set vlan 6 2/4－7
　　VLAN的管理
　　1.限制IP地址盗用
在交换机中建立一张静态ARP表，绑定IP地址和网卡MAC地址。计算机如果从交换机的一个端口转到另一个端口时必须经过网络管理人员的同意，有利于整个网络的良好管理，以达到有效防止基于IP的网络计费中IP地址盗用的问题。
ARP 202.197.3.180 0800.3c50.8a9f ARPA
　　2.设置子网访问权限
基于端口的VLAN可以有效地管理和限制虚拟局域网之间的访问，让重要信息得到有效保护，防止非法入侵。各个部门可以各自使用本工作组的资源，增加了网络的安全性。
(config)＃
interface FastEthernet0.2
/＊选取2号子网进行管理＊/
(config－f0.2)＃
ip acce －group 8 in
/＊指定可以访问的工作组＊/
(config)＃
acce －list 8 permit 202.197.1.240
/＊指定可访问的主机＊/
acce －list 8 permit 202.197.4.145
VLAN的无线接入
　　随着越来越多的公司推出其无线网络，人们最关心的问题恐怕就是如何将无线用户接入适当的有线VLAN。有线网络中的VLAN用户身份通常都是由用户的物理层二层交换机或三层路由器连接端口来定义的。但在无线网络中，用户根本没有与任何物理端口连接。
为解决这一问题，人们开始采用先进的无线验证技术，并利用基于角色的VLAN关联来进行用户识别。这种方法可以利用一系列标准的验证方法，如基于HTTP捕获端口和802.1x等可选验证机制来判断出正确的VLAN用户身份。
我们可以假设一个情景。一位财务部的无线用户可能要安全地连接至财务VLAN，使用的是一种安全链接加密方法，如Wi-Fi受保护访问。然而，当该VLAN中的用户漫游至其他接入点时，他们可能会无法再访问财务VLAN，因而也就无法获取需要的网络资源。如果要对网络进行重新配置，并使用户在整个公司里的每个接入点都能访问VLAN的话，整个重新配置的过程将变得非常繁杂，当然也不可能成为有竞争力的解决方案。
然而，802.1x基于端口的验证方法则可以提供一个有效的框架，为以太网和无线网络上的用户提供基站访问授权。802.1x使用可扩展验证协议（EAP)来中继局域网基站（请求者）、以太网交换机或无线接入点（验证者）与RADIUS服务器（验证服务器）之间的端口访问请求。
用于保护Wi-Fi网络用户的核心机制是基于数据加密和用户验证的方法，而非通常使用的基于角色的验证方法。基于角色的802.1x VLAN关联具有很大的吸引力，因为它可以提供合理的工作组流量分割，并且更容易与有线网络上配置的安全和流量工程策略集成在一起。
网络管理员通常都希望为所有用户保留原有的扩展服务集ID（ESSID）和加密档案。这样，当用户进入无线局域网时，系统可根据验证服务器上已经配置好的属性，将用户分配至不同VLAN内的不同工作组中。如果不使用基于角色的VLAN，这种方法基本上是不可能实现的，除非对无线局域网的许许多多配置逐个调整，为每个用户组引入新的ESSID。这种做法无疑需要巨大的资金投入和高昂的运营费用。
无线局域网交换机可以支持各种类型的用户角色，以及不同的访问权限和VLAN关联。它还可以支持多种类型的服务器规则，并从中引申出用户角色，如RADIUS服务器发出的访问接受信息中的RADIUS属性。例如，某一条服务器规则用于提取某个特定RADIUS属性中的数值，并使用该数值作为角色。在802.1x验证中，客户机通过一个无线局域网交换机验证至RADIUS服务器。然后，无线局域网根据执行服务器规则后产生的角色，在VLAN与客户机之间建立关联。
一旦与接入点之间的关联建立完成，无线局域网交换机将客户机置于未授权状态下。在这种状态下，只有客户机生成的802.1x EAP包才能通过无线局域网转发。无线局域网交换机发送一条EAP Request-ID，即用户身份请求信息给客户机。客户机则回应一条EAP Re o e-ID信息。此后，无线局域网交换机将EAP Re o e-ID封包为一条RADIUS访问请求信息，并将其转发给RADIUS服务器。
如果验证成功，RADIUS服务器将访问接受信息发送给无线局域网交换机。这条信息可以识别不同的用户属性，如角色和访问权限。然后，无线局域网交换机会对这条回应信息进行解析，并确定客户机应当被分配至哪一个VLAN。
使用该信息，无线局域网交换机便将客户机分置于授权状态下，并发送一条EAP Succe 信息。此后，交换机才将来自客户机的所有数据流量转发给合适的VLAN。在收到EAP Succe 信息后，客户机将启动动态主机配置协议，并从基于角色的VLAN上获得一个IP地址。 评论这张
转发至微博
人 | 分享到： 阅读(
举报 历史上的今天
相关文章
最近读者
this.p={
id:'fks_080065080094082074093094085095086085086071084083083067',
blogTitle:'VLAN 技术详解',
blogA tract:'
什么是VLAN
　　VLAN（Virtual Local Area Network）又称虚拟
，是指在交换局域网的基础上，采用
构建的可跨越不同网段、不同网络的端到端的逻辑网络。一个VLAN组成一个逻辑子网，即一个逻辑广播域，它可以覆盖多个网络设备，允许处于不同地理位置的网络用户加入到一个逻辑子网中。 \r\n
组建VLAN的条件
　　VLAN是建立在物理网络基础上的一种逻辑子网，因此建立VLAN需要相应的支持VLAN
blogTag:'',
blogUrl:'blog/static/23740550201022324254970',
isPublished:1,
istop:false,
type:0,
modifyTime:0,
publishTime:1269326574970,
permalink:'blog/static/23740550201022324254970',
commentCount:0,
mainCommentCount:0,
recommendCount:1, rk:-100,
publisherId:0,
recomBlogHome:false,
attachmentsFileIds:[],
vote:{},
groupInfo:{},
friendstatus:'none',
followstatus:'unFollow',
pubSucc:'',
visitorProvince:'河北',
visitorCity:'廊坊',
isWeekend:true,
taobaoVersion:6,
taobaolink:"http://g.163.com/a?CID=4399&Values=3931351846&Redirect=http://ju.atpanel.com/?url=http://www.tmall.com/?ad_id=100040497852881d4a61&am_id=&cm_id= m_id=",
taobaobgimage:"http://blog.163.com/newpage/images/taobaolayerbg5.jpg",
mset:'000',
mcon:'',
srk:-100,
remindgoodnightblog:false,
isBlackVisitor:false,
isShowYodaoAd:false
{list a as x}
{if !!x}
{if x.moveFrom=='wap'}
{/list}
{if !!a}
${a.selfIntro|escape}{if great260}${suplement}{/if}
{list a as x}
{if !!x}
{/list}
推荐过这篇日志的人：
{list a as x}
{if !!x}
{/list}
{if !! .length>0}
他们还推荐了：
{list b as y}
{if !!y}
{/list}
引用记录：
{list d as x}
{/list}
{list a as x}
{if !!x}
{/list}
{list a as x}
{if !!x}
{/list}
{list a as x}
{if !!x}
{/list}
{list a as x}
{if x_index>9}{break}{/if}
{if !!x}
${fn2(parseInt(x.date),'yyyy-MM-dd HH:mm: ')}
{/list}
{list a as x}
{if x_index>4}{break}{/if}
{if !!x}
${fn2(x.publishTime,'yyyy-MM-dd HH:mm: ')}
{/list}
最新日志
该作者的其他文章
博主推荐
相关日志
随机阅读
首页推荐 {list a as x}
{if !!x} 投票给
{var first_option = true;}
{list x.voteDetailList as voteToOption}
{if voteToOption==1}
{if first_option==false},{/if} “${b[voteToOption_index]}” {/if}
{/list}
{if (x.role!="-1") },“我是${c[x.role]}” {/if} ${fn1(x.voteTime)}
{if x.userName==''}{/if}
{/list} 页脚
- 网易公司版权所有 copy;1997-2011 {list wl as x}
{list x.l as y}
{/list}
{/list}
{if defined('wl')}
{list wl as x}
{/list}| [ZT]企业LAN的IP规划与VLAN子网划分
网友：飞天二狭 发布于：
2007.02.24 06:58　(共有
条评论)
| 企业LAN的IP规划与VLAN子网划分
【企业组网】
拜托各位大虾一件事。最近我单位的局域网出现ip地址冲突，之后变无法上网，路由器是华为R2621，核心交换机是S3526，在win2000/xp下使用命令ipconfig /renew 出现An error occurred whilere newing interface unable to contact you dhcp server request has time out 的情况，或 98下用WINIPCFG命令，更新出现DHCP 无法更新的错误或长时间无响应。各位大虾能告诉我是什么情况，和解决方案吗？（
） 【IT168网友解答】
简要分析：ipconfig 命令用在服务器版操作系统下，用这个ipconfig /renew（更新）是为全部适配器重新分配IP地址，而之前应先用ipconfig /release（释放）命令释放DHCP分配的IP。从这行出错的英文信息，显然主机没法与DHCP服务器通信。出现上述问题，小酷初步的分析有两种可能：
1． 局域网内是否还有其他的DHCP服务器，由于多个DHCP Server存在而产生的IP地址冲突，如果有，应关掉它。
2．由于DHCP服务器是向客户机提供网络访问的关键资源，它们可能成为DoS攻击的主要目标。如果一台DHCP服务器遭受攻击并且不能再处理DHCP请求，DHCP客户机将无法获得租约，这些客户机将丢失它们现有的IP租约并且将无法访问网络资源。 DoS攻击不仅会耗尽可用的IP地址池，还可能导致恶意用户在其管理的计算机网络适配器上配置所有的DHCP IP地址，致使DHCP服务器在其提供的地址范围检测到IP地址冲突，因此而拒绝继续分配DHCP租约。这是来自微软网站披露的一种新的DoS攻击方法。 DHCP的优点是客户端网络配置简单，没有管理员干预。但是，因为IP地址是动态分配的，网管员无法对IP进行管理，无法有效控制客户端。使用DHCP虽然能得到一时的方便，但是网管可能会有无尽的烦恼在后头，而认为使用了DHCP就能解决IP冲突是非常错误的。针对DHCP服务的DoS攻击常有发生，使客户机陷入无休止的等待。作为网管应对企业局域网的IP作出规划，有效控制网络。 采用静态IP地址分配，网管就可以对各部门进行合理的IP地址规划。我们如果进一步建立起IP地址和MAC地址的信息档案，就可以始终对局域网用户执行严格管理。如：把每个用户的IP地址、MAC地址、上联交换机的端口、物理位置和用户身份等信息记录下来，当发现IP冲突时就可以按数据库进行追寻。 我们从网友提到的网络设备可以看出，该企业对网络的投入比较到位。有路由器，三层交换机，还应有二层快速以态网交换机。所以说网友的网络硬件基础非常好，应做出完善的网络规划。如：静态分配IP，VLAN划分，三层交换。本文将将以华为产品为方案，围绕IP规划、三层交换、VLAN展开。
&am #8226;Quidway R2620系列模块化路由器 Quidway R2621
（见图1）
是华为3Com公司面向企业级网络的接入产品，，支持广泛的互连协议、网络协议、应用协议、网络安全、语音、服务质量。支持哑终端，支持SNA/DLSw、VoIP特性等，提供备份方案及QoS特性；硬件模块化结构，集成的快速以太网接口和同步串口，丰富的可选模块，既适合于在中小型企业网中担当核心路由器，也可以在大企业分支机构中担当接入路由器。 R2621的硬件配置如下：
处理器：MPC8240 200MHz
闪存：8MB
内存：32MB
固定接口：1个配置口；1个AUX口；2个10/100M以太网口；2个同步串口
插槽：2（最多可配2个模块。包括：LAN接口模块；WAN接口模块；语音模块；POS接入模块；数据加密模块）
图一（点击看大图）
&am #8226;Quidway S3526快速智能三层交换机 Quidway S3526E
（见图2）
三层交换机有12.8G 的总线带宽，包转发能力为6.55M ，能在所有端口提供三层线速交换能力，最大提供32个子网路由接口，能处理四到七层的业务流，所有端口都具有单独的数据包过滤。支持802.1x和Web Portal认证，可以通过灵活的MAC、IP、VLAN、PORT任意组合绑定，有效的防止非法用户访问网络。 该产品支持多种ACL访问控制策略，保证网络的受控访问，支持基于二、三、四层和端口信息的复杂流分类；根据服务质量设置传输优先级标记，满足视频、语音等重要应用的需求。支持带宽控制功能，确保关键业务流在网络拥塞时，也能满足一定的丢包、时延及时延抖动等QoS需求。Quidway S3526提供了完善的路由协议、VLAN控制、流量交换、QoS保证的机制，可作为局域网的汇聚三层交换机。 S3526E的端口配置如下： 24个10/100BASE-T 端口；2个后扩展模块插槽：支持5种类型GE扩展模块、1种堆叠模块、2种百兆光口模块；前面板1个co ole口。
图2（点击看大图）
&am #8226;Quidway S2026边缘接入交换机 S2026
（见图3）
是高性能、易***、可网管的交换机。使用专用的ASIC芯片，实现L2层的线速交换，提供丰富管理手段，为企业网络提供桌面或工作组级的交换服务。交换容量12.8G，所有端口均可达线速；4K MAC地址；支持802.1Q VLAN；支持基于端口和MAC地址的802.1x认证，支持二层组播，可控组播；支持MAC+PORT的捆绑，支持防止双网卡代理上网，有效地防止非法用户的产生；支持MAC地址表锁定及静态设置，实现对MAC的控制过滤。 S2026的端口配置如下： 24个10M/100M自适应以太网固定接口；1个10M/100M自适应以太网固定上行接口；1个扩展接口 ；1个控制口。
图3（点击看大图）
方案示例： VLAN技术允许将一个网络的物理的LAN逻辑划分成不同的广播域。一个VLAN内部的广播和单播流量被限制在本VLAN之内，不会转发到其他VLAN中，这有助于控制流量、简化网络管理、提高网络的安全性。 VLAN是为解决以太网的广播问题和安全性而提出的一种协议，它在以太网帧的基础上增加了VLAN头，用VLAN ID把用户划分为更小的工作组，限制不同工作组间的用户二层互访。虚拟局域网的好处是可以限制广播范围，是一种比较成熟企业组网规范，在本案例中我们可以利用它划小网络特点，我们可以进一步监控网络，就算IP冲突产生，也轻易知道它发生在哪个部门（若VLAN划分以部门为依据）。 VLAN的划分应与IP规划结合起来，使得一个VLAN 接口IP就是一个子网关。并且VLAN应以部门划分，相同部门的主机IP以VLAN接口IP为依据划归在一个子网范围，同属于一个VLAN。这样不仅在安全上有益，而且更方便网络管理员的管理和监控。
图4是本案的网络拓朴图：（见图4）
screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt='Click here to open new window\nCTRL+Mouse wheel to zoom in/out';}" onmouseover="if(this.width>screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.style.cursor='hand'; this.alt='Click here to open new window\nCTRL+Mouse wheel to zoom in/out';}" onclick="if(!this.resized) {return true;} else {window.open('http://publish.it168.com/2004/0616/images/189268.jpg');}" onmousewheel="return imgzoom(this);" alt="" />
企业局域网的IP规划应有规律、易记忆，并能反映自己内部网的特点。本案我们采用惯用的C类保留私有IP地址段（192.168.*.*/24）来进行IP规划，并关联VLAN号。下表为汇聚层三层交换机S3526上的VLAN划分。
端口范围
VLAN的接口ip
VLAN1（系统默认）
192．168．1．2
e0/2-e0/8
192．168．2．1
e0/9-e0/16
192．168．3．1
e0/17-e0/24
192．168．4．1 配置华为S3526交换机。将24口划分为3个vlan，并给每个vlan配一个ip地址，三个vlan ip不在同一网段（如上表）。配了vlan，然后进vlan的接口模式: int vlan X，然后设地址：ip add 地址，把各个vlan中的pc机的网关设为这个地址（vlan 接口地址），vlan间的pc机就可以互访了。华为的三层交换机默认不同VLAN互通，这三个vlan可以直接通信。 3526配置参考命令行：
1.配置VLAN：
system ——进入系统视图，只有在这里才能配置，相当于cisco的特权模式
[Quidway]vlan enable
[Quidway_3526]vlan 2 ——增加一个vlan 2
[Quidway_3526-vlan2]port e0/2 to e0/8
[Quidway_3526-vlan2]int vlan 2 －－进入配置虚拟端口vlan2模式
[Quidway_3526-vlan-interface2]ip adde 192.168.2.1 255.255.255.0 －－配置vlan2 的ip
[Quidway-vlan-interface2]vlan 3 －－增加一个vlan3
[Quidway_3526-vlan3]port e0/9 to e0/16
[Quidway_3526-vlan3]int vlan 3 －－进入配置虚拟端口vlan3模式
[Quidway_3526-vlan-interface3]ip add 192.168.3.1 255.255.255.0 －－配置vlan3的ip
[Quidway_3526-vlan-interface3]vlan 4
[Quidway_3526-vlan4]port e0/17 to 0/24
[Quidway_3526-vlan4]int vlan4
[Quidway_3526-vlan4-interface4]ip add 192.168.4.1 255.255.255.0
[Quidway_3526-vlan4-interface4]quit
2．配置外出接口
[Quidway_3526]int e0/1 －－配置以太网端口0/1假设该端口连接连接出口设备（路由器）
[Quidway_3526-Ethernet0/1]ip addre 192.168.1.2 255.255.0.0 －－为该端口配置ip，该ip与你出口设备的ip（192.168.0.1）在同一个网段
[Quidway_3526-Ethernet0/1]quit －－退出端口配置模式
[Quidway_3526]ip route 0.0.0.0 0.0.0.0 192.168.1.1 －－配置默认路由
[Quidway_3526]save －－保存 2026配置参考命令行： 下面以网络中某部门的二层交换机S2026为例说明二层交换的VLAN配置。此部门所有的计算机配置在一个VLAN 内。
(1) 配置VLAN。
[Quidway_2026] vlan 2
[Quidway_2026-vlan2] port ethernet 0/1 to Ethernet 0/24
[Quidway_2026-vlan2] quit
(2）配置IP接口IP地址。
[Quidway_2026] vlan 2
[Quidway_2026] interface vlan 2
[Quidway_2026-Vlan-interface2] ip addre 192.168.2.2 255.255.255.0
[Quidway_2026-Vlan-interface2]quit
[Quidway_2026]save 本文来自ChinaUnix博客，如果查看原文请点：
条评论) 网友交流 ·
· 最新文章 ·
· Copyright 2001-2018 ChinaUnix.net All Rights Reserved
感谢所有关心和支持过ChinaUnix的朋友们此次试验使用2台ZXR10 3952 （LayerIII）交换机，2台windowsxp PC。
分三次使用Acce （acce vlan 2 | acce vlan 3）、Trunk（native vlan 1| native vlan 1）、Trunk（native vlan 2| native vlan 3）模式使2台交换机互相连接。
o: gt;/o: gt;
交换机A ：
Ip：192.168.1.2/24
添加Vlan：2
Fei1/1：Trunk （native vlan 1）
Fei1/13、14：Acce Vlan 2
Fei1/25：Trunk （native vlan 2）
交换机B ：
Ip：192.168.1.3/24
添加Vlan：3
Fei1/1：Trunk
2007-09-07 回复 (0)
相关讨论
连接图如下：
switch1的端口1连pc1
swtich2的端口2连pc2
swtich1的端口12连switch2的端口12
设置pc1
在命令行输入winipcfg(拼写不全也可以)
设置ip地址如下：
同理设置pc2
在命令行输入winipcfg(拼写不全也可以)
设置ip地址如下：
转到switch1
输入show vlan，发现switch的所有端口都在vlan1中
同理switch2也 ...
2010-03-19 回复 (0)
VLAN的划分有四种方式：1.根据端口来划分VLAN
许多VLAN厂商都利用交换机的端口来划分VLAN成员。被设定的端口都在同一个广播域中。例如，一个交换机的1，2，3，4，5端口被定义为虚拟网AAA，同一交换机的6，7，8端口组成虚拟网BBB。这样做允许各端口之间的通讯，并允许共享型网络的升级。但是，这种划分模式将虚拟网限制在了一台交换机上。
第二代端口VLAN技术允许跨越多个 ...
2007-03-18 回复 (0)
一门网络安全课上，老师讲到了虚拟局域网的问题
他说很多企业为了安全限制，将各地区分公司划分在一个虚拟局域网中，而虚拟局域网只是一个新瓶装旧酒的概念
平常我们用的socket通讯就是最简单的虚拟局域网模型，他讲虚拟局域网同互联网主要区别是虚拟局域网是通讯双方专用的网，就像socket服务器accept，那么客户端和服务器端保持连接直到有一方close连接才断掉，而我们访问的比如google网站是访问一 ...
2009-01-03 回复 (19)
软件环境：
hibernate2.1.7
Mysql4.0.9
驱动程序com.mysql.jdbc.Driver
配置文件：
工厂文件:
?xml version='1.0' encoding='UTF-8'?
!DOCTYPE hibernate-configuration PUBLIC
-//Hibernate/H ...
2005-12-16 回复 (4)
nat
[r1]acl number 2001
[r1-acl-2001]rule permit source 192.168.2.0 0.0.0.255
[r1-acl-2001]rule deny source any
[r1]nat addre -group 1 192.168.5.5 192.168.5.9
[r1]interface e0/1
[r1-Ethernet1]nat outb ...
2009-05-12 回复 (0)
相关新闻
Oracle 刚刚放出了虚拟机软件 VirtualBox 的 3.1.8 版本。作为 VirtualBox 3.1 系列的维护更新，该版本主要改进了程序稳定性和修正了之前