4.VLAN 技术：二层网络的优化之道

一、网络发展的困境与挑战一早期网络的冲突域问题在网络发展的早期阶段设备的数据传输共享同一物理介质就如同多辆车需要共用一条单车道上通行。当多个设备同时尝试传输数据时数据信号就会彼此竞争、干扰频繁引发冲突这就是所谓的冲突域。例如在一个小型办公室网络中多台计算机通过集线器连接在一起当它们同时发送数据时就像多辆车在单车道上抢行必然会导致数据传输的冲突。这种冲突严重降低了数据传输效率极大地制约了网络性能使得网络响应变得迟缓用户体验不佳。二广播域带来的隐患随着网络规模的持续扩张以及需求的不断增长网络逐渐发展为多车道模式交换机的出现为设备提供了多个独立的数据传输通道形成多个冲突域在一定程度上缓解了冲突问题。然而此时所有设备依然处于同一个广播域。这就仿佛身处一个未进行人车分流的大型区域车辆与行人混行既不安全又影响通行效率。在网络中大量的广播消息在这个广播域内肆意扩散所有设备无论是否需要都会接收这些广播。过多的广播消息不仅大量消耗网络带宽资源造成网络拥塞还带来数据安全隐患敏感广播数据可能被任何设备接收。例如在一个企业网络中某个部门的广播消息可能会被其他部门的设备接收到这可能导致信息泄露同时也会占用其他设备的网络资源影响正常业务的开展。二、VLAN 技术的原理与优势一VLAN 技术的核心原理为有效解决上述问题VLANVirtual Local Area Network虚拟局域网技术应运而生它如同对网络空间进行了一次精妙的 “人车分流” 规划。VLAN 技术通过在二层网络中划分多个虚拟局域网将一个大的广播域分割成多个较小的独立广播域每个 VLAN 就是一个相对独立的小区域广播域。不同 VLAN 之间的数据传输相互隔离就像机动车道、非机动车道和人行道上的交通流互不干扰例如可将机动车道视为一个 VLAN非机动车道视为一个 VLAN人行道视为一个 VLAN。二VLAN 技术的优势体现提升网络性能在企业网络中财务部门、研发部门等可分别划分到不同的 VLAN。财务部门在其专属 VLAN 内传输数据广播消息不会扩散到研发部门所在的 VLAN反之亦然。这样一来每个 VLAN 内的广播流量被限制在本区域内大大减少了广播流量对网络带宽的占用从而提升了网络整体性能。例如研发部门进行大数据传输时不会受到财务部门广播消息的干扰数据传输更加顺畅。增强数据安全性不同 VLAN 之间的数据相互隔离使得不同部门的数据得到有效保护。未经授权一个 VLAN 内的设备无法访问其他 VLAN 的数据降低了数据泄露的风险。例如财务部门的敏感财务数据不会被其他部门的设备获取保障了数据的安全性。三、VLAN 技术实现细节一VLAN 标签VLAN 技术实现这一优化的关键在于交换机对数据接收与转发的控制。它在接收数据后在待转发的以太网帧中添加 VLAN 标签。VLAN 标签插入在以太网帧的源 MAC 地址和类型 / 长度字段之间长度为 4 字节。其中 2 字节为标签协议标识TPID通常值为 0x8100表示这是一个 802.1Q VLAN 标签另外 2 字节是标签控制信息TCI。TCI 包含 VLAN 标识符VID取值范围 0 - 4095占用 12 比特2 的 12 次方 4096。三个特殊 vlanvlan 0 设置优先级但无 VIDvlan 1 缺省 VIDvlan 4095 预留。优先级Priority长度为 3 比特表示帧的优先级取值范围为 07值越大优先级越高。用于当阻塞时优先发送优先级高的数据包。如果设置用户优先级但是没有 VLANID则 VLANID 必须设置为 0x000。规范格式指示CFICanonical Format Indicator)长度为 1 比特表示 MAC 地址是否是经典格式。0 表示是标准格式1 表示为非标准格式。用于区分以太网帧、FDDIFiber Distributed Digital Interface帧和令牌环网帧。在以太网中CFI 的值为 0。二VLAN 的转发控制机制交换机端口对该帧和标签的处理方式包括添加标签、移除标签、转发帧、丢弃帧。添加标签Tagging。当交换机的某个端口接收到一个未带 VLAN 标签的帧时根据该端口的 VLAN 配置为这个帧添加相应的 VLAN 标签。移除标签Untagging。当交换机从某个端口发送帧时根据端口的配置移除帧所携带的 VLAN 标签将其转换为普通的以太网帧发送出去。转发帧Forwarding。交换机接收到一个带有 VLAN 标签的帧后首先检查该帧携带的 VLAN 标签是否在该端口允许通过的 VLAN 列表内。如果在允许列表内并且交换机通过查询二层转发表确定了目的 MAC 地址对应的转发端口那么交换机就会将这个帧转发到相应的端口。丢弃帧Dropping。如果交换机接收到的帧携带的 VLAN 标签不在该端口允许通过的 VLAN 列表内或者交换机无法通过查询二层转发表找到目的 MAC 地址对应的转发端口交换机就会丢弃这个帧。例如交换机 SWA 的某个端口被配置为仅允许 VLAN1 通过而接收到一个带有 VLAN5 标签的帧此时交换机就会丢弃该帧防止不属于该 VLAN 的数据进入该端口所连接的网络区域。①.添加标签电脑A的需要访问电脑C广播获取电脑C的MAC数据包从交换机的端口1进入到交换机交换机自动打上 vlan 3的标签。②③.转发帧SW A 通过标签识别到是vlan 3 查看端口2允许vlan3通过转发到SW B的端口1SW 1查看端口1的允许列表允许进入vlan 3 进入交换机并查看目的MAC是广播则从所有vlan3的端口转发。④.移除标签SW B 查看端口3 属于vlan 3移除vlan 3标签将数据帧转发出端口PC C收到数据帧。⑤.广播隔离SWB的端口2不属于vlan 3不会手动该广播包。⑥⑦.丢弃帧假设SW A的该端口允许vlan 3SW C的该端口拒绝 vlan 3那么SW A会通过该端口转发到SW C而 SW C会丢弃该数据帧。三VLAN 的划分方式基于端口划分是最简洁、最广泛使用的划分方式。网络管理员按交换机的物理端口进行分配将特定端口划分到相应 VLAN如把端口 1 - 10 划分到 VLAN10端口 11 - 20 划分到 VLAN20 。此方式配置简单直观适用于网络拓扑稳定、设备位置固定的场景像办公室按楼层或部门划分 VLAN。在这种划分方式下连接到特定端口的设备就属于相应的 VLAN无需考虑设备的其他特性。例如在一个办公室中将连接到一楼交换机端口 1 - 5 的设备划分到 VLAN10用于办公区域的网络将连接到二楼交换机端口 1 - 5 的设备划分到 VLAN20用于会议室区域的网络。基于 MAC 划分一般与认证相关保证每个设备在不同的接入位置有相同网络访问权限。依据设备的 MAC 地址来确定其所属 VLAN。交换机通过学习网络中设备的 MAC 地址并将其与特定的 VLAN 进行绑定。即便设备移动位置由于 MAC 地址不变它仍归属原 VLAN。该方式适用于设备移动性高的场景但初始配置工作量大需预先知晓所有设备 MAC 地址并手动绑定。例如企业中有一些经常需要在不同办公区域移动使用的笔记本电脑通过基于 MAC 地址划分 VLAN无论这些笔记本电脑连接到哪个交换机端口都能自动归属到相应的 VLAN保证其网络访问权限和配置的一致性。基于 IP 子网划分按照设备的 IP 子网进行划分将属于同一个 IP 子网的设备划分到同一个 VLAN。这种方式便于基于网络层地址进行管理适合对网络安全和管理要求较高的场景。例如企业不同部门使用不同 IP 子网时可据此划分 VLAN。比如财务部门使用 192.168.1.0/24 的 IP 子网将所有使用该子网 IP 地址的设备划分到财务 VLAN研发部门使用 192.168.2.0/24 的 IP 子网将相应设备划分到研发 VLAN。这样通过 IP 子网的划分不仅可以实现不同部门网络的隔离还便于进行基于 IP 地址的访问控制和网络管理。基于协议划分根据网络层协议类型如 IP、IPX 等划分 VLAN如将使用 IPv4 协议的设备划分到一个 VLAN使用 IPv6 协议的设备划分到另一个 VLAN 。这种方式适用于网络中有多种网络层协议共存的复杂场景对网络层协议有较好的识别和管理能力。例如在一个同时支持 IPv4 和 IPv6 的园区网络中将使用 IPv4 协议的办公设备划分到一个 VLAN将使用 IPv6 协议的物联网设备划分到另一个 VLAN便于针对不同协议的设备进行分别管理和优化网络配置。基于策略划分结合端口、MAC 地址、IP 地址、应用程序等多种因素制定灵活策略划分 VLAN。例如规定来自特定 IP 地址段且连接在某些端口上、运行特定应用程序的设备属于一个 VLAN 。这是最灵活但配置和管理难度最大的方式适用于对网络安全性和管理精细化要求极高的企业网络。比如企业规定来自 192.168.1.0/24 网段且连接到交换机特定端口、运行财务软件的设备属于财务 VLAN这样可以更精确地控制网络访问和数据安全。四VLAN 的接口类型Access 接口常用于连接终端设备如计算机、IP 电话等。它只允许一个 VLAN 的帧通过接收不带标签的帧时会添加所属 VLAN 标签发送帧时则移除 VLAN 标签以普通以太网帧形式发送给终端设备。例如一台计算机连接到交换机的 Access 接口该接口被配置为属于 VLAN10。当计算机发送数据帧时数据帧没有 VLAN 标签Access 接口会为其添加 VLAN10 的标签后再转发当交换机接收到发往该计算机的带有 VLAN10 标签的数据帧时Access 接口会移除标签将普通以太网帧发送给计算机。Trunk 接口主要用于交换机之间或交换机与路由器之间的连接允许多个 VLAN 的帧通过并保留帧的 VLAN 标签可使多个 VLAN 数据通过一条物理链路传输提高链路利用率。需配置允许通过的 VLAN 列表只有列表中的 VLAN 帧才能通过该接口。例如两台交换机之间通过 Trunk 接口连接Trunk 接口配置允许 VLAN10、VLAN20 和 VLAN30 通过。当一台交换机要向另一台交换机发送属于 VLAN10 的数据帧时该数据帧带着 VLAN10 的标签通过 Trunk 接口传输另一台交换机接收到后根据标签信息将数据帧转发到相应的 VLAN 端口。Hybrid 接口兼具 Access 和 Trunk 接口特点功能更灵活既能连接终端设备也能连接其他交换机或路由器。它可允许多个 VLAN 的帧通过并可根据配置决定是否为某些 VLAN 的帧移除标签适用于园区网等复杂网络场景满足不同部门既有隔离又有互通需求。例如在园区网中部分设备可能需要同时属于多个 VLAN 以实现特定的业务需求。Hybrid 接口可以配置为对于某些 VLAN 的帧在发送时移除标签而对于其他 VLAN 的帧保留标签从而实现不同 VLAN 之间的灵活互通和隔离。#华为配置命令参考 # 1. access vlan interface GigabitEthernet0/0/1 port link-type access # 接口类型access port default vlan 10 # 默认vlan为10即该端口下终端发送到交换机的数据都将添加vlan10的标签 # 2.trunk vlan port link-type trunk # 接口类型trunk port trunk allow-pass vlan 10 20 # 允许 带VLAN标签10 和 20 的数据帧通过 # 3. hybrid vlan port link-type hybrid # 接口类型hybrid port hybrid tagged vlan 10 20 # 允许带VLAN标签 10 和20的数据帧通过 port hybrid untagged vlan 30 # 带 VLAN 30 标签的数据帧移除标签相当于access vlan 30VLAN 技术通过对广播域的合理划分、数据转发的精确控制、多样化的划分方式、不同的接口类型以及对 VLAN 包的处理全面优化了二层网络实现了网络资源的高效利用提升了网络性能、安全性与管理的灵活性成为现代二层网络的核心技术。