项目3：在交换机上构建安全隔离的部门间网络

项目3：在交换机上构建安全隔离的部门间网络
3.2 相关知识
3.2.1 VLAN简介
3.2.2 静态VLAN配置
3.2.3 部署VLAN 3.2.4 VLAN中继 3.2.5 标识VLAN帧 3.2.6 VLAN数据帧的传输 3.2.7 配置VLAN中继
项目3：在交换机上构建安全隔离的部门间网络
3.2.11.2 相关知识 VLAN简介 1.虚拟局域网的概念 虚拟局域网（Virtual LAN，简称VLAN）是一种逻辑 广播域，可以跨越多个物理LAN网段。VLAN是以局域网 交换机为基础，通过交换机软件实现根据功能、部门、 应用等因素将设备或用户组成虚拟工作组或逻辑网段的 技术，其最大的特点是在组成逻辑网时无须考虑用户或 设备在网络中的物理位置。虚拟局域网可以在一个交换 机或者跨交换机实现。 VLAN一般基于工作功能、部门或项目团队来逻辑地 分割交换网络，而不管使用者在网络中的物理位置。同 组内全部的工作站和服务器在同一VLAN内，不管物理连 接和位置在哪里。
项目3：在交换机上构建安全隔离的部门间网络
3.2.11.2 相关知识 VLAN简介 3. VLAN成员资格模式 （1）静态VLAN 基于端口的VLAN也就是根据以太网交换机的端口来 划分广播域。即分配在同一个VLAN的端口共享广播域 （一个站点发送希望所有站点接收的广播信息，同一 VLAN中的所有站点都可以听到），分配在不同VLAN的 端口不共享广播域。虚拟局域网既可以在单台交换机中 实现，也可以跨越多个交换机。终端设备连接到端口时， 自动获得VLAN连接性。
项目3：在交换机上构建安全隔离的部门间网络
3.2.31.2 相关知识 部署VLAN 2.本征VLAN 目前，大多数企业得基本符合20／80规则，即只有 20％的流量是本地的，80％的流量将穿过核心层前往远 程资源。终端用户经常需要访问其VLAN外面的资源，用 户必须频繁地经过网络核心。在这种网络中，应根据地 理位置来设计VLAN，而不考虑离开VLAN的流量。 本征VLAN的规模可以小到配线间中的单台交换机， 也可大到整栋建筑物。通过这种方式安排VLAN，可以在 园区网中使用第3层功能来智能处理VLAN之间流量负载。 这种方案提供了最高的可用性（使用多条前往目的地的 路径）、最高的扩展性（将VLAN限制在交换模块内）和 最高的可管理性。
项目3：在交换机上构建安全隔离的部门间网络
3.2.31.2 相关知识 部署VLAN 1. 端到端VLAN 端到端VLAN也称园区级VLAN，它跨越整个网络的 交换结构，用于为终端设备提供最大的机动性和灵活性。 无论位于什么位置，都可以将其分配到VLAN。用户在园 区内移动时，其VLAN成员资格保持不变。这意味着必须 使VLAN在每个交换模块的接入层都是可用的。 端到端VLAN应根据需求将用户分组，在同一个 VLAN中，所有用户的流量模式都必须大致相同，并遵循 80／20规则。即，大约80％的用户流量是在本地工作组 内，只有20％前往园区网中的远程资源。虽然，在VLAN 中只有20％的流量将通过网络核心，但端到端VLAN使得 VLAN内的所有流量都可能通过网络核心。
项目3：在交换机上构建安全隔离的部门间网络
3.2.21.2 相关知识 静态VLAN配置 在建立VLAN之前，必须考虑是否使用VLAN干线协 议（VLAN trunk protocol，VTP）来为你的网络进行全局 VLAN的配置。在本项目中不使用VTP干线协议。 1.VLAN ID范围 首先，如果VLAN不存在，必须在交换机上创建它。 然后将交换机端口分配给VLAN。VLAN总是使用VLAN ID号来引用的。VLAN ID在数字上分为普通范围和扩展范 围。
项目3：在交换机上构建安全隔离的部门间网络
3.2.11.2 相关知识 VLAN简介 3. VLAN成员资格模式 （1）静态VLAN 网络管理员以手工方式将交换机端口分配给VLAN时， 每个端口获得一个端口VLAN ID，将其同VLAN号关联起 来。可将同一台交换机上的端口分成多个VLAN。即使两 台计算机连接到同一台交换机，如果它们连接的是属于 不同VLAN的端口，数据流也不会在它们之间传输。为执 行这项功能，可使用第3层设备来路由分组，也可使用外 部的第2层设备在两个VLAN之间桥接分组。
项目3：在交换机上构建安全隔离的部门间网络
3.2.11.2 相关知识 VLAN简介 1.虚拟局域网的概念 VLAN是一个逻辑上独立的IP子网。多个IP网络和子 网可以通过VLAN存在于同一个交换网络上。 在IEEE802.1Q标准中对虚拟局域网是这样定义的： 虚拟局域网是由一些局域网网段构成的与物理位置无关 的逻辑组，而这些网段具有某些共同的需求。每一个虚 拟局域网的帧都有一个明确的标识符，指明发送这个帧 的工作站是属于哪一个VLAN。利用以太网交换机可以很 方便地实现虚拟局域网。虚拟局域网其实只是局域网给 用户提供的一种服务，而并不是一种新型局域网。
项目3：在交换机上构建安全隔离的部门间网络
3.2.21.2 相关知识 静态VLAN配置 2. 配置静态VLAN
（1）配置VLAN 的ID和名字 配置VLAN最常见的方法是在每个交换机上手工指定端口 －LAN映射。在全局配置模式下使用VLAN命令。 Switch(config)#vlan vlan-id 其中：Vlan-id是配置要被添加的VLAN的ID，如果要安装 增强的软件版本，范围为14096，如果安装的是标准的软件 版本，范围为11005。每一个VLAN都有一个唯一的4位的ID （范围：00011005）。 Switch(config-vlan)#name vlan-name 定义一个VLAN的名字，可以使用132个ASCII字符，但是 必须保证这个名称在管理域中是唯一的。
项目3：在交换机上构建安全隔离的部门间网络
3.2.11.2 相关知识 VLAN简介
LAN3 A3 B3 C3
LAN2
A2
B2 C2
LAN1
A 1
B1 C1
VLAN10
VLAN20
VLAN30
图3.2 虚拟局域网VLAN的示例
项目3：在交换机上构建安全隔离的部门间网络
3.2.11.2 相关知识 VLAN简介 1.虚拟局域网的概念 图3.2中使用了四个交换机的网络拓扑结构。有9台 计算机分布在三个楼层中，构成了三个局域网，即： LAN1：（A1，B1，C1），LAN2：（A2，B2， C2），LAN3：（A3，B3，C3）。 但这9个用户划分为三个工作组，也就是说划分为三 个虚拟局域网VLAN。即： VLAN1：（A1，A2，A3），VLAN2：（B1，B2， B3），VLAN3：（C1，C2，C3）。
项目3：在交换机上构建安全隔离的部门间网络
3.2.21.2 相关知识 静态VLAN配置 1.VLAN ID范围（2）扩展范围的VLAN 为与IEEE 802.1Q标准兼容，Cisco Catalyst IOS还 支持扩展的VLAN编号。 可让服务提供商扩展自己的基础架构以适应更多的客户。 某些跨国企业的规模很大，从而需要使用扩展范围的 VLAN ID。 VLAN ID 范围从1006到4094。 支持的VLAN功能比普通范围的VLAN更少。 保存在运行配置文件中。 VTP无法识别扩展范围的VLAN。
项目3：在交换机上构建安全隔离的部门间网络
3.2.11.2 相关知识 VLAN简介 2. VLAN的优点
（1）有利于优化网络性能
（2）提高了网络的安全性 （3）便于对网络进行管理和控制 （4）提供了基于第二层的通信优先级服务
项目3：在交换机上构建安全隔离的部门间网络
3.2.11.2 相关知识 VLAN简介 3. VLAN成员资格模式 （1）静态VLAN 由网络管理员以手工方式将交换机端口分配给VLAN， 因此是静态的。即在交换机上将其某一个端口分配给特 定VLAN，在这种情况下，VLAN是基于物理交换机端口 的，终端用户设备根据其连接的物理端口被分配到相应 的VLAN中，并且将一直保持不变直到网络管理员改变这 种配置，所以又被称为基于端口的VLAN，是目前实现 VLAN的主要方法。
项目3：在交换机Βιβλιοθήκη 构建安全隔离的部门间网络3.2.21.2 相关知识 静态VLAN配置 3. 检验VLAN配置 配置VLAN后，可以使用Cisco IOS show命令检验 VLAN配置。 switch#show vlan [brief | id vlan-id | name vlanname | summary] switch#show interfaces [interface-id | vlan vlan-id] | switchport
项目3：在交换机上构建安全隔离的部门间网络
3.2.21.2 相关知识 静态VLAN配置 2. 配置静态VLAN （2）分配端口 在新创建一个VLAN之后，可以为之手工分配一个端 口号或多个端口号。一个端口只能属于唯一一个VLAN。 这种为VLAN分配端口号的方法称为静态－接入端口。 在接口配置模式下，分配VLAN端口命令为： Switch(config)#interface type mod/num Switch(config-if)#switchport Switch(config-if)#switchport mode Switch(config-if)#switchport access vlan vlan-id 默认情况下，所有的端口都属于VLAN 1。
模块二、组建安全隔离的小型局域网
项目3：在交换机上构建安全隔离的部门 间网络
项目4：构建基于VLAN中继协议隔离的 局域网
项目3：在交换机上构建安全隔离的部门间网络
3.1 用户需求
某学院计算机系、机电工程系、财务处、学生机房分 组建了自己的局域网，其中在信息大楼主要为计算机系办 公场所，机电大楼为机电工程系办公大楼，实验中心为学 生机房，并且有计算机系和财务处办公场所，财务处在学 校办公楼办公。随着学校信息化建设的深入，人员交流越 来越频繁，在各个办公场所都可能出现其它部门的人员。 为了网络安全，把计算机系、机电工程系、财务处、学生 机房各自分别位于不同的子网，并且部门内部可以互相访 问。