VLAN(Virtual Local Area Network)的中文名為"虛擬局域網(wǎng)"。VLAN是一種將局域網(wǎng)設備從邏輯上劃分成一個個網(wǎng)段，從而實現(xiàn)虛擬工作組的數(shù)據(jù)交換技術(shù)。這一技術(shù)主要應用于交換機和路由器中，但主流應用還是在交換機之中。但又不是所有交換機都具有此功能，只有VLAN協(xié)議的第二層以上交換機才具有此功能。802.1Q的標準的出現(xiàn)打破了虛擬網(wǎng)依賴于單一廠商的僵局，從一個側(cè)面推動了VLAN的迅速發(fā)展。

[[256017]]

1、交換機端口工作模式簡介

交換機端口有三種工作模式，分別是Access，Hybrid，Trunk。

Access類型的端口只能屬于1個VLAN，一般用于連接計算機的端口;

Trunk類型的端口可以允許多個VLAN通過，可以接收和發(fā)送多個VLAN的報文，一般用于交換機之間連接的端口;

Hybrid類型的端口可以允許多個VLAN通過，可以接收和發(fā)送多個VLAN的報文，可以用于交換機之間連接，也可以用于連接用戶的計算機。

Hybrid端口和Trunk端口在接收數(shù)據(jù)時，處理方法是一樣的，唯一不同之處在于發(fā)送數(shù)據(jù)時：Hybrid端口可以允許多個VLAN的報文發(fā)送時不打標簽，而Trunk端口只允許缺省VLAN的報文發(fā)送時不打標簽。

2、基本概念(tag，untag，802.1Q)

untag就是普通的ethernet報文，普通PC機的網(wǎng)卡是可以識別這樣的報文進行通訊;

tag報文結(jié)構(gòu)的變化是在源mac地址和目的mac地址之后，加上了4bytes的vlan信息，也就是vlan tag頭;一般來說這樣的報文普通PC機的網(wǎng)卡是不能識別的

下圖說明了802.1Q封裝tag報文幀結(jié)構(gòu)

帶802.1Q的幀是在標準以太網(wǎng)幀上插入了4個字節(jié)的標識。其中包含：

• 2個字節(jié)的協(xié)議標識符(TPID)，當前置0x8100的固定值，表明該幀帶有802.1Q的標記信息。
• 2個字節(jié)的標記控制信息(TCI)，包含了三個域。
• Priority域，占3bits，表示報文的優(yōu)先級，取值0到7，7為最高優(yōu)先級，0為最低優(yōu)先級。該域被802.1p采用。
• 規(guī)范格式指示符(CFI)域，占1bit，0表示規(guī)范格式，應用于以太網(wǎng);1表示非規(guī)范格式，應用于Token Ring。
• VLAN ID域，占12bit，用于標示VLAN的歸屬。

3、交換機接口出入數(shù)據(jù)處理過程

3-1、端口接收報文時的處理：

• Acess端口收報文:

收到一個報文,判斷是否有VLAN信息：如果沒有則打上端口的PVID，并進行交換轉(zhuǎn)發(fā),如果有則直接丟棄(缺省)

• trunk端口收報文：

收到一個報文，判斷是否有VLAN信息：如果沒有則打上端口的PVID，并進行交換轉(zhuǎn)發(fā)，如果有判斷該trunk端口是否允許該 VLAN的數(shù)據(jù)進入：如果允許則報文攜帶原有VLAN標記進行轉(zhuǎn)發(fā)，否則丟棄該報文。

• hybrid端口收報文：

收到一個報文,判斷是否有VLAN信息：如果沒有則打上端口的PVID，并進行交換轉(zhuǎn)發(fā)，如果有則判斷該hybrid端口是否允許該VLAN的數(shù)據(jù)進入：如果可以則轉(zhuǎn)發(fā)，否則丟棄。

備注：PVID為Port-base Vlan ID，也就是端口的虛擬局域網(wǎng)ID號，關(guān)系到端口收發(fā)數(shù)據(jù)幀時的VLAN TAG 標記。

3-2、端口發(fā)送報文時的處理

• Acess端口發(fā)報文：

將報文的VLAN信息剝離，直接發(fā)送出去

• trunk端口發(fā)報文：

比較端口的PVID和將要發(fā)送報文的VLAN信息，如果兩者相等則剝離VLAN信息，再發(fā)送，否則報文將攜帶原有的VLAN標記進行轉(zhuǎn)發(fā)。

• hybrid端口發(fā)報文：

判斷該VLAN在本端口的屬性

如果是untag則剝離VLAN信息，再發(fā)送，如果是tag則比較端口的PVID和將要發(fā)送報文的VLAN信息，如果兩者相等則剝離VLAN信息，再發(fā)送，否則報文將攜帶原有的VLAN標記進行轉(zhuǎn)發(fā)。

4、示例講解

多交換機的情況下，VLAN是怎么工作的呢?下圖所示的這種情況，兩個交換機VLAN相同，都是默認VLAN 1，即兩個交換機之間的聯(lián)系同在VLAN 1之內(nèi)。路由器是所有節(jié)點的出口。

這時單播，多播和廣播數(shù)據(jù)自由傳輸，所有節(jié)點屬于同一IP地址。這時節(jié)點之間的通信不會有問題，因為交換機的SAT顯示它們在同一VLAN。

而下面這種連接方式就會有問題。由于VLAN在連接端口的主機之間創(chuàng)建了三層邊界，它們將無法通信。

仔細看上圖，這里有很多問題。第一，所有主機都在同一IP網(wǎng)，盡管連接到不同的VLAN。第二，路由器在VLAN 1,因此與所有節(jié)點隔離。最后，兩臺交換機通過不同的VLAN互連。每一點都會造成通信阻礙，合在一起，網(wǎng)絡各元素之間會完全無法通信。

交換機用滿或同一管理單元物理上彼此分離的情形是很常見的。這種情況下，VLAN需要通過trunk延伸至相鄰交換機。trunk能夠連接交換機，在網(wǎng)絡間傳載VLAN信息。如下圖所示：

對之前的拓撲的改進包括：

PC 1和PC 2分配到192.168.1.0網(wǎng)段以及VLAN 2。

PC 3和PC 4分配到192.168.2.0網(wǎng)段以及VLAN 3。

路由器接口連接到VLAN 2和VLAN 3。

交換機間通過trunk線互連。

注意到trunk端口出現(xiàn)在VLAN 1，他們沒有用字母T來標識。trunk在任何VLAN都沒有成員。現(xiàn)在VLAN跨越多交換機，同一VLAN下的節(jié)點可以物理上位于任何地方。

再次解釋下什么是Trunk：

Trunk是在兩個網(wǎng)絡設備之間承載多于一種VLAN的端到端的連接，將VLAN延伸至整個網(wǎng)絡。沒有VLAN Trunk，VLAN也不會非常有用。VLAN Trunk允許VLAN數(shù)據(jù)流在交換機間傳輸，所以設備在同一VLAN，但連接到不同交換機，能夠不通過路由器來進行通信。

一個VLAN trunk不屬于某一特定VLAN，而是交換機和路由器間多個VLAN的通道。如下圖所示，交換機S1和S2，以及S1和S3之間的鏈路，配置為傳輸從VLAN10,20,30以及90的數(shù)據(jù)流。該網(wǎng)絡沒有VLAN trunk就無法工作。

當安裝好trunk線之后，幀在trunk線傳輸是就可以使用trunk協(xié)議來修改以太網(wǎng)幀。這也意味著交換機端口有不止一種操作模式。缺省情況下，所有端口都稱為接入端口。當一個端口用于交換機間互連傳輸VLAN信息時，這種端口模式改變?yōu)閠runk，節(jié)點也路由器通常不知道VLAN的存在并使用標準以太網(wǎng)幀或“untagged”幀。trunk線能夠使用“tagged”幀來標記VLAN或優(yōu)先級。

因此，在trunk端口，運行trunk協(xié)議來允許幀中包含trunk信息。如下圖所示：

PC 1在經(jīng)過路由表處理后向PC 2發(fā)送數(shù)據(jù)流。這兩個節(jié)點在同一VLAN但不同交換機。步驟如下：

• 以太網(wǎng)幀離開PC 1到達Switch 1。
• Switch 1的SAT表明目的地是trunk線的另一端。
• Switch 1使用trunk協(xié)議在以太網(wǎng)幀中添加VLAN id。
• 新幀離開Switch 1的trunk端口被Switch 2接收。
• Switch 2讀取trunk id并解析trunk協(xié)議。
• 源幀按照Switch 2的SAT轉(zhuǎn)發(fā)至目的地(端口4)。

5、工程實踐

我們利用cisco packet trace工具來對上述描述的vlan的技術(shù)點進行工程實踐，內(nèi)容包括通過四臺PC、兩臺交換機，通過一個trunk鏈路建立兩個vlan的過程。

1、通過cisco packet trace我們首先建立一個如下圖的網(wǎng)絡拓撲結(jié)果。pc1接switch1的0/1端口;pc2接switch1的0/2端口;laptop0接switch2的0/1端口;laptop1接switch2的0/2端口;trunk鏈路有兩臺交換機的普通端口0/3互聯(lián)。

2、分別為四臺PC分配靜態(tài)的IP。如圖所示PC3為192168.10.1;根據(jù)vlan規(guī)劃，PC2的IP為192.168.20.1;laptop0的IP192.168.20.1;laptop1的IP192.168.20.2;

3、配置switch1，命令如下

Switch>enable

Switch#configure terminal

Switch(config)#hostname SA

SA(config)#vlan 10

SA(config-vlan)#exit

SA(config)#vlan 20

SA(config-vlan)#exit

SA(config)#interface fa0/1

SA(config-if)#switchport access vlan 10

SA(config-if)#exit

SA(config)#interface fa0/2

SA(config-if)#switchport access vlan 20

SA(config-if)#exit

SA(config)#interface fa0/3

SA(config-if)#switchport mode trunk

SA(config-if)#switchport trunk allowed vlan all

通過測試

4、配置switch2，命令如下

Switch>enable

Switch#configure terminal

Switch(config)#hostname SB

SB(config)#vlan 10

SB(config-vlan)#exit

SB(config)#vlan 20

SB(config-vlan)#exit

SB(config)#interface fa0/1

SB(config-if)#switchport access vlan 10

SB(config-if)#exit

SB(config)#interface fa0/2

SB(config-if)#switchport access vlan 20

SB(config-if)#exit

SB(config)#interface fa0/3

SB(config-if)#switchport mode trunk

SB(config-if)#switchport trunk allowed vlan all

通過測試

5、檢查vlan間的互通性，從PC3(192.168.10.1)ping PClaptop0和laptop1情況如下：