(CCNA必看知識點) 交換機 VLAN配置基礎 及 VLAN最強實例說明(圖)
有關VLAN的技術標準IEEE 802.1Q早在1999年6月份就由IEEE委員正式頒佈實施了，並且最先的VLNA技術早在1996年Cisco（思科）公司就提出了。隨着幾年來的發展，VLAN技術獲得普遍的支持，在大大小小的企業網絡中普遍應用，成爲當前最爲熱門的一種以太局域網技術。本篇就要爲你們介紹交換機的一個最多見技術應用--VLAN技術，並針對中、小局域網VLAN的網絡配置以實例的方式向你們簡單介紹其配置方法。
1、VLAN基礎
VLAN（Virtual Local Area Network）的中文名爲"虛擬局域網"，注意不是"×××"（虛擬專用網）。VLAN是一種將局域網設備從邏輯上劃分（注意，不是從物理上劃分）成一個個網段，從而實現虛擬工做組的新興數據交換技術。這一新興技術主要應用於交換機和路由器中，但主流應用仍是在交換機之中。但又不是全部交換機都具備此功能，只有VLAN協議的第三層以上交換機才具備此功能，這一點能夠查看相應交換機的說明書便可得知。
IEEE於1999年頒佈了用以標準化VLAN實現方案的802.1Q協議標準草案。VLAN技術的出現，使得管理員根據實際應用需求，把同一物理局域網內的不一樣用戶邏輯地劃分紅不一樣的廣播域，每個VLAN都包含一組有着相同需求的計算機工做站，與物理上造成的LAN有着相同的屬性。因爲它是從邏輯上劃分，而不是從物理上劃分，因此同一個VLAN內的各個工做站沒有限制在同一個物理範圍中，即這些工做站能夠在不一樣物理LAN網段。由VLAN的特色可知，一個VLAN內部的廣播和單播流量都不會轉發到其餘VLAN中，從而有助於控制流量、減小設備投資、簡化網絡管理、提升網絡的安全性。
交換技術的發展，也加快了新的交換技術（VLAN）的應用速度。經過將企業網絡劃分爲虛擬網絡VLAN網段，能夠強化網絡管理和網絡安全，控制沒必要要的數據廣播。在共享網絡中，一個物理的網段就是一個廣播域。而在交換網絡中，廣播域能夠是有一組任意選定的第二層網絡地址（MAC地址）組成的虛擬網段。這樣，網絡中工做組的劃分能夠突破共享網絡中的地理位置限制，而徹底根據管理功能來劃分。這種基於工做流的分組模式，大大提升了網絡規劃和重組的管理功能。在同一個VLAN中的工做站，不論它們實際與哪一個交換機鏈接，它們之間的通信就好象在獨立的交換機上同樣。同一個VLAN中的廣播只有VLAN中的成員才能聽到，而不會傳輸到其餘的 VLAN中去，這樣能夠很好的控制沒必要要的廣播風暴的產生。同時，若沒有路由的話，不一樣VLAN之間不能相互通信，這樣增長了企業網絡中不一樣部門之間的安全性。網絡管理員能夠經過配置VLAN之間的路由來全面管理企業內部不一樣管理單元之間的信息互訪。交換機是根據用戶工做站的MAC地址來劃分VLAN的。因此，用戶能夠自由的在企業網絡中移動辦公，不論他在何處接入交換網絡，他均可以與VLAN內其餘用戶自如通信。
VLAN網絡能夠是有混合的網絡類型設備組成，好比：10M以太網、100M以太網、令牌網、FDDI、CDDI等等，能夠是工做站、服務器、集線器、網絡上行主幹等等。
VLAN除了能將網絡劃分爲多個廣播域，從而有效地控制廣播風暴的發生，以及使網絡的拓撲結構變得很是靈活的優勢外，還能夠用於控制網絡中不一樣部門、不一樣站點之間的互相訪問。 VLAN是爲解決以太網的廣播問題和安全性而提出的一種協議，它在以太網幀的基礎上增長了VLAN頭，用VLAN ID把用戶劃分爲更小的工做組，限制不一樣工做組間的用戶互訪，每一個工做組就是一個虛擬局域網。虛擬局域網的好處是能夠限制廣播範圍，並可以造成虛擬工做組，動態管理網絡。
2、VLAN的劃分方法
VLAN在交換機上的實現方法，能夠大體劃分爲六類:
1. 基於端口劃分的VLAN
這是最常應用的一種VLAN劃分方法，應用也最爲普遍、最有效，目前絕大多數VLAN協議的交換機都提供這種VLAN配置方法。這種劃分VLAN的方法是根據以太網交換機的交換端口來劃分的，它是將VLAN交換機上的物理端口和VLAN交換機內部的PVC（永久虛電路）端口分紅若干個組，每一個組構成一個虛擬網，至關於一個獨立的VLAN交換機。
對於不一樣部門須要互訪時，可經過路由器轉發，並配合基於MAC地址的端口過濾。對某站點的訪問路徑上最靠近該站點的交換機、路由交換機或路由器的相應端口上，設定可經過的MAC地址集。這樣就能夠防止非法***者從內部盜用IP地址從其餘可接入點***的可能。
從這種劃分方法自己咱們能夠看出，這種劃分的方法的優勢是定義VLAN成員時很是簡單，只要將全部的端口都定義爲相應的VLAN組便可。適合於任何大小的網絡。它的缺點是若是某用戶離開了原來的端口，到了一個新的交換機的某個端口，必須從新定義。
2. 基於MAC地址劃分VLAN
這種劃分VLAN的方法是根據每一個主機的MAC地址來劃分，即對每一個MAC地址的主機都配置他屬於哪一個組，它實現的機制就是每一塊網卡都對應惟一的 MAC地址，VLAN交換機跟蹤屬於VLAN MAC的地址。這種方式的VLAN容許網絡用戶從一個物理位置移動到另外一個物理位置時，自動保留其所屬VLAN的成員身份。
由這種劃分的機制能夠看出，這種VLAN的劃分方法的最大優勢就是當用戶物理位置移動時，即從一個交換機換到其餘的交換機時，VLAN不用從新配置，由於它是基於用戶，而不是基於交換機的端口。這種方法的缺點是初始化時，全部的用戶都必須進行配置，若是有幾百個甚至上千個用戶的話，配置是很是累的，因此這種劃分方法一般適用於小型局域網。並且這種劃分的方法也致使了交換機執行效率的下降，由於在每個交換機的端口均可能存在不少個VLAN組的成員，保存了許多用戶的MAC地址，查詢起來至關不容易。另外，對於使用筆記本電腦的用戶來講，他們的網卡可能常常更換，這樣VLAN就必須常常配置。
3. 基於網絡層協議劃分VLAN
VLAN按網絡層協議來劃分，可分爲IP、IPX、DECnet、AppleTalk、Banyan等VLAN網絡。這種按網絡層協議來組成的 VLAN，可以使廣播域跨越多個VLAN交換機。這對於但願針對具體應用和服務來組織用戶的網絡管理員來講是很是具備吸引力的。並且，用戶能夠在網絡內部自由移動，但其VLAN成員身份仍然保留不變。
這種方法的優勢是用戶的物理位置改變了，不須要從新配置所屬的VLAN，並且能夠根據協議類型來劃分VLAN，這對網絡管理者來講很重要，還有，這種方法不須要附加的幀標籤來識別VLAN，這樣能夠減小網絡的通訊量。這種方法的缺點是效率低，由於檢查每個數據包的網絡層地址是須要消耗處理時間的(相對於前面兩種方法)，通常的交換機芯片均可以自動檢查網絡上數據包的以太網禎頭，但要讓芯片能檢查IP幀頭，須要更高的技術，同時也更費時。固然，這與各個廠商的實現方法有關。
4. 根據IP組播劃分VLAN
IP 組播實際上也是一種VLAN的定義，即認爲一個IP組播組就是一個VLAN。這種劃分的方法將VLAN擴大到了廣域網，所以這種方法具備更大的靈活性，並且也很容易經過路由器進行擴展，主要適合於不在同一地理範圍的局域網用戶組成一個VLAN，不適合局域網，主要是效率不高。
5. 按策略劃分VLAN
基於策略組成的VLAN能實現多種分配方法，包括VLAN交換機端口、MAC地址、IP地址、網絡層協議等。網絡管理人員可根據本身的管理模式和本單位的需求來決定選擇哪一種類型的VLAN 。
6. 按用戶定義、非用戶受權劃分VLAN
基於用戶定義、非用戶受權來劃分VLAN，是指爲了適應特別的VLAN網絡，根據具體的網絡用戶的特別要求來定義和設計VLAN，並且可讓非VLAN羣體用戶訪問VLAN，可是須要提供用戶密碼，在獲得VLAN管理的認證後才能夠加入一個VLAN。
3、VLAN的優越性
任何新技術要獲得普遍支持和應用，確定存在一些關鍵優點，VLAN技術也同樣，它的優點主要體如今如下幾個方面：
1. 增長了網絡鏈接的靈活性
藉助VLAN技術，能將不一樣地點、不一樣網絡、不一樣用戶組合在一塊兒，造成一個虛擬的網絡環境，就像使用本地LAN同樣方便、靈活、有效。VLAN能夠下降移動或變動工做站地理位置的管理費用，特別是一些業務狀況有常常性變更的公司使用了VLAN後，這部分管理費用大大下降。
2. 控制網絡上的廣播
VLAN能夠提供創建防火牆的機制，防止交換網絡的過量廣播。使用VLAN，能夠將某個交換端口或用戶賦於某一個特定的VLAN組，該VLAN組能夠在一個交換網中或跨接多個交換機， 在一個VLAN中的廣播不會送絍LAN以外。一樣，相鄰的端口不會收到其餘VLAN產生的廣播。這樣能夠減小廣播流量，釋放帶寬給用戶應用，減小廣播的產生。
3. 增長網絡的安全性
由於一個VLAN就是一個單獨的廣播域，VLAN之間相互隔離，這大大提升了網絡的利用率，確保了網絡的安全保密性。人們在LAN上常常傳送一些保密的、關鍵性的數據。保密的數據應 提供訪問控制等安全手段。一個有效和容易實現的方法是將網絡分段成幾個不一樣的廣播組，網絡管理員限制了VLAN中用戶的數量，禁止未經容許而訪問VLAN中的應用。交換端口能夠基於應用類型和訪問特權來進行分組，被限制的應用程序和資源通常置於安全性VLAN中。
4、VLAN網絡的配置實例
爲了給你們一個真實的配置實例學習機會，下面就以典型的中型局域網VLAN配置爲例向各位介紹目前最經常使用的按端口劃分VLAN的配置方法。
某公司有100臺計算機左右，主要使用網絡的部門有：生產部(20)、財務部(15)、人事部(8)和信息中心(12)四大部分，如圖1所示。
網絡基本結構爲：整個網絡中幹部分採用3臺Catalyst 1900網管型交換機（分別命名爲：Switch一、Switch2和Switch3，各交換機根據須要下接若干個集線器，主要用於非VLAN用戶，如行政文書、臨時用戶等）、一臺Cisco 2514路由器，整個網絡都經過路由器Cisco 2514與外部互聯網進行鏈接。
所連的用戶主要分佈於四個部分，即：生產部、財務部、信息中心和人事部。主要對這四個部分用戶單獨劃分VLAN，以確保相應部門網絡資源不被盜用或破壞。
現爲了公司相應部分網絡資源的安全性須要，特別是對於像財務部、人事部這樣的敏感部門，其網絡上的信息不想讓太多人能夠隨便進出，因而公司採用了VLAN的方法來解決以上問題。經過VLAN的劃分，能夠把公司主要網絡劃分爲：生產部、財務部、人事部和信息中心四個主要部分，對應的VLAN組名爲：Prod、Fina、Huma、Info，各VLAN組所對應的網段以下表所示。
VLAN 號
VLAN 名
端口號
2
Prod
Switch 1 2-21
3
Fina
Switch2 2-16
4
Huma
Switch3 2-9
5
Info
Switch3 10-21【注】之因此把交換機的VLAN號從"2"號開始，那是由於交換機有一個默認的VLAN，那就是"1"號VLAN，它包括全部連在該交換機上的用戶。
VLAN的配置過程其實很是簡單，只需兩步：（1）爲各VLAN組命名；（2）把相應的VLAN對應到相應的交換機端口。
如下是配置過程：
第1步：設置好超級終端，鏈接上1900交換機，經過超級終端配置交換機的VLAN，鏈接成功後出現以下所示的主配置界面（交換機在此以前已完成了基本信息的配置）：
1 user(s) now active on Management Console.
User Interface Menu
[M] Menus
[K] Command Line
[I] IP Configuration
Enter Selection:
【注】超級終端是利用Windows系統自帶的"超級終端"（Hypertrm）程序進行的，具體參見有關資料。
第2步：單擊"K"按鍵，選擇主界面菜單中"[K] Command Line"選項 ，進入以下命令行配置界面：
CLI session with the switch is open.
To end the CLI session,enter [Exit ].
>
此時咱們進入了交換機的普通用戶模式，就象路由器同樣，這種模式只能查看如今的配置，不能更改配置，而且可以使用的命令頗有限。因此咱們必須進入"特權模式"。
第3步：在上一步">"提示符下輸入進入特權模式命令"enable"，進入特權模式，命令格式爲">enable"，此時就進入了交換機配置的特權模式提示符：
#config t
Enter configuration commands,one per line.End with CNTL/Z
(config)#
第4步：爲了安全和方便起見，咱們分別給這3個Catalyst 1900交換機起個名字，而且設置特權模式的登錄密碼。下面僅以Switch1爲例進行介紹。配置代碼以下：
(config)#hostname Switch1
Switch1(config)# enable password level 15 XXXXXX
Switch1(config)#
【注】特權模式密碼必須是4~8位字符這，要注意，這裏所輸入的密碼是以明文形式直接顯示的，要注意保密。交換機用 level 級別的大小來決定密碼的權限。Level 1 是進入命令行界面的密碼，也就是說，設置了 level 1 的密碼後，你下次連上交換機，並輸入 K 後，就會讓你輸入密碼，這個密碼就是 level 1 設置的密碼。而 level 15 是你輸入了"enable"命令後讓你輸入的特權模式密碼。
第5步：設置VLAN名稱。因四個VLAN分屬於不一樣的交換機，VLAN命名的命令爲" vlan vlan號 name vlan名稱 ，在Switch一、Switch二、Switch三、交換機上配置二、三、四、5號VLAN的代碼爲：
Switch1 (config)#vlan 2 name Prod
Switch2 (config)#vlan 3 name Fina
Switch3 (config)#vlan 4 name Huma
Switch3 (config)#vlan 5 name Info
【注】以上配置是按表1規則進行的。
第6步：上一步咱們對各交換機配置了VLAN組，如今要把這些VLAN對應於表1所規定的交換機端口號。對應端口號的命令是"vlan- membership static/ dynamic VLAN號 "。在這個命令中"static"(靜態)和"dynamic"(動態)分配方式二者必須選擇一個，不過一般都是選擇"static"(靜態)方式。 VLAN端口號應用配置以下：
（1）. 名爲"Switch1"的交換機的VLAN端口號配置以下：
Switch1(config)#int e0/2
Switch1(config-if)#vlan-membership static 2
Switch1(config-if)#int e0/3
Switch1(config-if)#vlan-membership static 2
Switch1(config-if)#int e0/4
Switch1(config-if)#vlan-membership static 2
……
Switch1(config-if)#int e0/20
Switch(config-if)#vlan-membership static 2
Switch1(config-if)#int e0/21
Switch1(config-if)#vlan-membership static 2
Switch1(config-if)#
【注】"int"是"nterface"命令縮寫，是接口的意思。"e0/3"是"ethernet 0/2"的縮寫，表明交換機的0號模塊2號端口。
（2）. 名爲"Switch2"的交換機的VLAN端口號配置以下：
Switch2(config)#int e0/2
Switch2(config-if)#vlan-membership static 3
Switch2(config-if)#int e0/3
Switch2(config-if)#vlan-membership static 3
Switch2(config-if)#int e0/4
Switch2(config-if)#vlan-membership static 3
……
Switch2(config-if)#int e0/15
Switch2(config-if)#vlan-membership static 3
Switch2(config-if)#int e0/16
Switch2(config-if)#vlan-membership static 3
Switch2(config-if)#
（3）. 名爲"Switch3"的交換機的VLAN端口號配置以下(它包括兩個VLAN組的配置)，先看VLAN 4（Huma）的配置代碼：
Switch3(config)#int e0/2
Switch3(config-if)#vlan-membership static 4
Switch3(config-if)#int e0/3
Switch3(config-if)#vlan-membership static 4
Switch3(config-if)#int e0/4
Switch3(config-if)#vlan-membership static 4
……
Switch3(config-if)#int e0/8
Switch3(config-if)#vlan-membership static 4
Switch3(config-if)#int e0/9
Switch3(config-if)#vlan-membership static 4
Switch3(config-if)#
下面是VLAN5（Info）的配置代碼：
Switch3(config)#int e0/10
Switch3(config-if)#vlan-membership static 5
Switch3(config-if)#int e0/11
Switch3(config-if)#vlan-membership static 5
Switch3(config-if)#int e0/12
Switch3(config-if)#vlan-membership static 5
……
Switch3(config-if)#int e0/20
Switch3(config-if)#vlan-membership static 5
Switch3(config-if)#int e0/21
Switch3(config-if)#vlan-membership static 5
Switch3(config-if)#
好了，咱們已經按表1要求把VLAN都定義到了相應交換機的端口上了。爲了驗證咱們的配置，能夠在特權模式使用"show vlan"命令顯示出剛纔所作的配置，檢查一下是否正確。
以上是就Cisco Catalyst 1900交換機的VLAN配置進行介紹了，其它交換機的VLAN配置方法基本相似
大型企業網設VLAN
在企業網絡剛剛興起之時，因爲企業網絡規模小、應用範圍的侷限性、對Internet接入的認識程度、網絡安全及管理的貧乏等緣由，使得企業網僅僅限於交換模式的狀態。交換技術主要有兩種方式：基於以太網的幀交換和基於ATM的信元交換，LAN交換機的每個端口均爲本身獨立的碰撞域，但同時對於全部處於一個IP網段或IPX網段的網絡設備來講，卻同在一個廣播域中，當工做站的數量較多、信息流很大的時候，就容易造成廣播風暴，甚者形成網絡的癱 瘓。
在採用交換技術的網絡模式中，對於網絡結構的劃分採用的僅僅是物理網段的劃分的手段。這樣的網絡結構從效率和安全性的角度來考慮都是有所欠缺的，並且在很大程度上限制了網絡的靈活性，若是須要將一個廣播域分開，那麼就須要另外購買交換機而且要人工從新佈線。由此，須要進行虛擬網絡（VLAN）設置。
在一個規模較大的企業中，其下屬有多個二級單位，在各單位的孤立網絡進行互連時，出於對不一樣職能部門的管理、安全和總體網絡的穩定運行，咱們進行了VLAN的劃分。
第一步 子網分析
該網絡系統由三部分組成：公司、二級單位一、二級單位2，初始爲三部分各自獨立，未造成統一的網絡環境，故各網絡系統的運行採用的是以交換技術爲主的方式。
三網主幹均採用的是千兆以太網技術，起點的高定位爲企業的信息應用帶來了高速、穩定、符合國際標準的網絡平臺。公司中心交換機採用的是Cisco的 Catalyst 6506，帶有三層路由的引擎使得企業網具備未來升級的能力；同時各二級單位的中心交換機採用的亦是Cisco的Catalyst 4006；各二級、三級交換機則採用的是Cisco的Catalyst 3500系列，主要由於Catalyst 3500系列交換機的高性能和可堆疊能力。
現三部分應公司的要求聯網，網絡的互連仍採用千兆帶寬，但因三網均採用了千兆以太網技術，爲了避免在主幹造成瓶頸，所以各子網的互連採用Trunk技術，即雙千兆技術，使網絡帶寬達到4G，如此既增長了帶寬，又提供了鏈路的冗餘，提升了總體網絡的高速、穩定、安全運行性能。
但亦因爲網絡規模的擴大化，信息流量的加大，人員的複雜化等緣由，爲企業網絡的安全性、穩定性、高效率運行帶來了新的隱患。由此引起了VLAN的劃分。
對於VLAN的劃分，應公司的需求，咱們對各VLAN的IP地址分配爲：
經理辦子網：192.168.1.0——192.168.2.0/22 網關：192.168.1.1；
財務子網： 192.168.3.0——192.168.5.0/22 網關：192.168.3.1；
供銷子網： 192.168.6.0——192.168.8.0/22 網關：192.168.6.1；
信息中心子網：192.168.7.0/24 網關：192.168.7.1；
服務器子網：192.168.100.0/24 網關：192.168.100.1
其他子網： 192.168.8.0——192.168.9.0/22 網關：192.168.8.1；
第二步 系統分析
對於Cisco的產品劃分，VLAN主要是基於兩種標準協議：ISL和802.1Q。在咱們這裏，由於所採用的均是Cisco的網絡設備，故在進行VLAN 間的互連時採用ISL的協議封裝，該協議針對Cisco網絡設備的硬件平臺在信息流的處理、多媒體應用的優化進行了合理有效的優化。對於不一樣產品的 VLAN互連，咱們在後面會提到。
網絡拓撲圖
因爲本案例中關於VLAN的劃分擴展了各個交換機，因此交換機之間的鏈接都必須採用Trunk的方式。經理辦和供銷子網表明了VLAN劃分中的兩種問題——擴展交換機VLAN的劃分和端口VLAN的劃分：
在經理辦虛網中，對於一個交換機擴展多個VLAN的時候，前面提到了該交換機與其上層交換機間必須採用Trunk方式鏈接，但在供銷的虛網劃分中，在二級單位1中的供銷獨立於一個LAN交換機Catalyst3548，因此在這裏，Catalyst3548與二級中心交換機Catalyst4006只需採用正常的交換式鏈接便可，對於此部分供銷VLAN的劃分，只要在Catalyst4006上針對與Catalyst3548鏈接的端口進行劃分便可。也就是前面提到的基於端口的VLAN的劃分。
第三步 路由列表
作完了VLAN之間的鏈接後，由於兩個Catalyst4006 與主中心交換機Catalyst6506間採用的是雙光纖通道式鏈接，屏蔽了Catalyst406與Catalyst6506間的線路故障的產生，因此要對總體網絡的路由進行基於Catalyst6506的集中式管理。咱們在主中心交換機Catalyst6506上設置了VLAN路由：
經理辦虛網：192.168.1.1/22；
財務虛網： 192.168.3.1/22；
供銷虛網： 192.168.6.1/22；
信息中心虛網：192.168.7.1/24；
其他虛網： 192.168.8.1/22；
接下來，在中心交換機上設置路由協議RIP或OSPF，並指定網段192.168.0.0。在全局配置模式下執行以下命令：
router rip
network 192.168.0.0
注意事項
1. 在這裏須要注意的是：由於整個公司的網絡系統的VLAN的劃分是做爲一個總體結構來設計的，因此爲了保持VLAN列表的一致性，例如當二級單位1的 VLAN有所變化時，VLAN列表也會有所變化，這時就須要該Catalyst 4006對總體網絡的其餘部分進行廣播，以達到VLAN的列表的一致性。因此在設置VTP（VLAN Trunk Protocol）時要注意，要將VTP的域做爲一個總體，即：VTP類型分別爲Server和Client。
2. 有些企業建網較早，所選用的網絡設備爲其餘的廠商的產品，然後期的產品又不能與前期統一，這樣在VLAN的劃分中就會遇到些問題。
例如：在Cisco產品與3Com產品的混合網絡結構中劃分VLAN，對於Cisco網絡設備的Trunk的封裝協議則必須採用802.1Q，以達到與 3Com的通信。雖然二者之間能夠創建VLAN的正常劃分，和正常的應用，但因爲交換機都具備自學習的能力，以至二者之間的協調配合較差。當二者之間的鏈接發生變化時，必須在Cisco交換機上使用命令（clear counter）進行清除，方可達到二者的從新協調工做。
交換機創建vlan出錯時的解決辦法當配置多個vlan時候，在鍵入exit或apply時候常常會出現下面的出錯信息，使得沒法建立新的vlanSW1(vlan)#exit% not enough space on flash to store vlan database. trying squeeze...First create squeeze log by erasing the entire device% error squeezing flash - (Missing or corrupted log)Error on database apply 40: NV storage failureUse 'abort' command to exitSW1(vlan)#sw1#erase flash:Erasing the flash filesystem will remove all files! Continue? [confirm]Erasing device... eeeeeeeeeeeeeeeeeeeeeeeeeeeeeeee ...erasedErase of flash: complete解決辦法:出現錯誤時候，鍵入abort先退到特權模式，而後打入erase flash，點肯定完，再進入vlan database配置vlan便可。
