网络基础学习资料VLAN&ampamp;TRUNK-[重点掌握].doc

《网络基础学习资料VLAN&ampamp;TRUNK-[重点掌握].doc》由会员分享，可在线阅读，更多相关《网络基础学习资料VLAN&ampamp;TRUNK-[重点掌握].doc（12页珍藏版）》请在得力文库 - 分享文档赚钱的网站上搜索。

1、 SANGFOR_新员工必备知识点_VLAN&TRUNK1 介绍1.1 总体说明本文主要讲述VLAN和TRUNK的实现原理及使用场景1.2 文档目的 掌握VLAN和TURNK的实现原是及使用场景，掌握VLAN和TRUNK的数据封装2、VLAN相关知识2.1、什么是VLAN VLAN，是英文Virtual Local Area Network的缩写，中文名为虚拟局域网， VLAN是 一种将局域网（LAN）设备从逻辑上划分（注意，不是从物理上划分）成一个个网段（或者 说是更小的局域网LAN），从而实现虚拟工作组（单元）的数据交换技术。 更直观的来讲，可以把VLAN理解为将一台交换机在逻辑上分割成了

2、数台交换机，在一台交换机上生成红、蓝两个VLAN，也可以看作是将一台交换机换做一红一蓝两台虚拟的交换机。2.2、VLAN的优点 2.2.1、广播域被限制在一个VLAN内，节省了带宽，提高了网络处理能力。 2.2.2、增强局域网的安全性：VLAN间不能直接通信，即一个VLAN内的用户不能和其它VLAN内的用户直接通信，而需要通过路由器或三层交换机等三层设备。 2.2.3、灵活构建虚拟工作组：用VLAN可以划分不同的用户到不同的工作组，同一工作组的用户也不必局限于某一固定的物理范围，网络构建和维护更方便灵活。2.3、VLAN的分类 2.3.1、静态VLAN基于端口的VLAN，就是明确指定各端口属于

3、哪个VLAN的设定方法，如下图所示，静态VLAN是网络中最常用的VLAN方式 2.3.2、动态VLAN动态VLAN则是根据每个端口所连的计算机，随时改变端口所属的VLAN。这就可以避免上述的更改设定之类的操作。动态VLAN可以大致分为3类：（1）基于MAC地址的VLAN（MAC Based VLAN）（2）基于子网的VLAN（Subnet Based VLAN）（3）基于用户的VLAN（User Based VLAN） 2.4、VLAN的功能特性1) 1个VLAN对应一个网段2) 1个交换机可以创建多个VLAN，一个VLAN可以跨越多个交换机3) 不同VLAN间数据隔离，同一个IP网络的不同V

4、LAN不能访问4) 一个VLAN可以包含一个或多个接口5) 交换机通过VLANID来判断端口属于哪个VLAN 2.5、VLAN的使用场景在一台未设置任何VLAN的二层交换机上，任何广播帧都会被转发给除接收端口外的所有其他端口（Flooding）。例如，计算机A发送广播信息后，会被转发给端口2、3、4这样如果广播包太多会造成广播风暴，消耗交换机的性能，影响到网络的使用。 如果在交换机上生成红、蓝两个VLAN；同时设置端口1、2属于红色VLAN、端口3、4属于蓝色VLAN。再从A发出广播帧的话，交换机就只会把它转发给同属于一个VLAN的其他端口也就是同属于红色VLAN的端口2，不会再转发给属于蓝色

5、VLAN的端口。同样，C发送广播信息时，只会被转发给其他属于蓝色VLAN的端口，不会被转发给属于红色VLAN的端口就这样，VLAN通过限制广播帧转发的范围分割了广播域。上图中为了便于说明，以红、蓝两色识别不同的VLAN，在实际使用中则是用“VLAN ID”来区分的。3、 TRUNK相关知识3.1、什么是TRUNK VLAN的中继端口叫做trunk。trunk技术用在交换机之间互连，使不同VLAN通过共享链路与其它交换机中的相同VLAN通信。交换机之间互连的端口就称为trunk端口3.2、交换机中的二层接口类型 VLAN接口：承载正常的以太网帧，一般与PC直接相连，属于一个特定的VLAN，VLA

6、N接口只允许指定的一个VLAN的数据包通过 TRUNK接口：承载被标识的以太网帧，一般用来连接设备，属于所有VLAN，TRUNK接口可以允许指定的多个VLAN数据包通过3.3、TRUNK的使用场景如下图所示，两个楼层的交换机都有红色和蓝色两个VLAN，如果需要设置跨越多台交换机的VLAN时又如何实现呢？也许时此你会想到，可以每个交换机再配置一个红色和蓝色VLAN直接连接 但是，这个办法从扩展性和管理效率来看都不好。例如，在现有网络基础上再新建VLAN时，为了让这个VLAN能够互通，就需要在交换机间连接新的网线。建筑物楼层间的纵向布线是比较麻烦的，一般不能由基层管理人员随意进行。并且，VLAN越

7、多，楼层间（严格地说是交换机间）互联所需的端口也越来越多，交换机端口的利用效率低是对资源的一种浪费、也限制了网络的扩展为了避免这种低效率的连接方式，人们想办法让交换机间互联的网线集中到一根上，这时使用的就是汇聚链接（Trunk Link）。3.4、VLAN数据包的封装 3.4.1、IEEE 802.1Q，俗称“Dot One Q”，是经过IEEE认证的对数据帧附加VLAN识别信息的协议。 IEEE 802.1Q所附加的VLAN识别信息，位于数据帧中“发送源MAC地址”与“类别域”（Type Field）之间。具体内容为2字节的TPID（Tag Protocol IDentifier）和2字节的

8、TCI（Tag Control Information），共计4字节。在数据帧中添加了4字节的内容，那么CRC值自然也会有所变化。这时数据帧上的CRC是插入TPID、TCI后，对包括它们在内的整个数据帧重新计算后所得的值。正常的以太网数据帧802.1Q封装后的数据帧801.1Q数据包 3.4.2、ISL（Inter Switch Link） ISL，是Cisco产品支持的一种与IEEE 802.1Q类似的、用于在汇聚链路上附加VLAN信息的协议。ISL是Cisco独有的协议，因此只能用于Cisco网络设备之间的互联。 使用ISL后，每个数据帧头部都会被附加26字节的“ISL包头（ISL Hea

9、der）”，并且在帧尾带上通过对包括ISL包头在内的整个数据帧进行计算后得到的4字节CRC值。换而言之，就是总共增加了30字节的信息。 在使用ISL的环境下，当数据帧离开汇聚链路时，只要简单地去除ISL包头和新CRC就可以了。由于原先的数据帧及其CRC都被完整保留，因此无需重新计算CRC。正常的以太网数据帧ISL封装后的数据帧注：TRUNK对所有Native VLAN的数据不会进行封装也就是不打标签，默认交换机及路由器Native VLAN为VLAN1，即默认对VLAN1的数据不打标签，可通过配置更改。如深信服AF设备配置口为TRUNK，界面可以直接更改Natvie VLAN3.4、TRUNK

10、数据包封装过程案例分析一：如下图所示，VLAN2的PC_A要访问PC_C数据封装如下（假设PC和交换机都已获取到相应的ARP表）1、 PC_A将数据封装后，发送到交换机上，此些源IP为PC_A，目标IP为PC_C，源MAC为PC-A的MAC，目标MAC为PC_C的MAC。2、 交换机1收到数据包后，查询ARP表发现需要从TRUNK发送出去，于是打上VLAN2的标签通过TRUNK发送到交换机23、 交换机2接收到数据包后，发现打了VLAN2的标签，且自身也有VLAN2，于是拆掉VLAN2的标签将数据从3口发送到PC-C上4、 同理PC_C回复PC_A的数据也进行同样的封装。案例分析二：如下图所示

11、，AP为本地转发，即数据直接从AP发到交换机，不会经过WAC设备SSID：sangfor属于VLAN2，是指手机连接到SSID Sangfor上后属于VLAN2的用户。按如下拓扑及配置会发现手机连接上无线后获取不到IP地址，是什么原因？原因分析： 手机连接上SSID后属于VLAN2，经过AP的TRUNK发送的时候会打上VLAN2的标签，发送到交换机后，因为和AP直接的接口为Access口，Access只能接收VLAN2的不打标签的数据，所以会导致数据通信不了。解决方法：将AP所连接的交换机的口改成TRUNK，让此接口能处理打上VLAN2标签的数据，更更后数据流分析如下：1、 DHCP请求数据包

12、经过AP的TRUNK发送出来后，会打上VLAN2的标签。2、 交换机收到此数据后，查询标签属于VLAN2，且自身也有VLAN2的接口，于是拆掉VLAN2的标答，通过Access VLAN2口发送到DHCP Server，进行请求地址3、 同理DHCP server的回应数据包也经过相应的封装最后到达手机上。4、 VLAN间路由4.1、VLAN间路由使用场景 通过前面的知识我们已经知道两台计算机即使连接在同一台交换机上，只要所属的VLAN不同就无法直接通信。那如果要实现不同VLAN间的计算机通信，要怎么在实现呢？如下图，红色VLAN1的用户要访问蓝色VLAN2的用户要怎么来实现呢？如上这种情况可

13、以使用三层交换机VLAN间路由来实现，但提前提条件交换机必须是三层交换机，二层交换机实现不了。4.2、SVI接口 讲到三层交换机VLAN间路由必须要先讲一下VLAN接口，VLAN接口是三层交换机则是在内部生成虚拟接口，是用于各VLAN收发数据的接口，简称SVI接口（Switched Virtual Interface）。 深信服设备可以支持配置VLAN接口，如下为AF设备的VLAN接口添加方式为VLAN1配置SVI接口为VLAN2配置SVI接口配置完后，后台可以看到会生成相应的路由4.3、三层交换机VLAN间路由 不同VLAN之间的用户互访可以使用三层交换机，启用路由功能，每个VLAN配置一个

14、SVI接口，实现不同VLAN数据的通信。如下图，PC_A要访问 PC_C数据是怎么样的一个过程呢？PC_A访问PC_C的步骤如下：（假如所有设备都已获取ARP表）1 PC_A判断目标PC_C和自己属于不同网段将数据包发送给自己的网关（SVI接口）处理，此时数据包如下：源IP目标IP源MAC 目标MAC VLAN标签192.168.1.1192.168.2.1MAC_AMAC_E无2 交换机收到数据包后，经由内部汇聚链接，将数据包打上VLAN2的标签，交给路由模块处理，此时数据包如下：源IP目标IP源MAC目标MAC VLAN标签192.168.1.1192.168.2.1MAC_AMAC_EV

15、LAN23 路由模块收到数据包后，读取VLAN标签信息，属于红色VLAN2，由交收SVI2接口进行处理，查询路由发现2.0网段为直连网段，且对应蓝色VLAN3，接下来会由SVI3接口进行处理转发给交换模块，此时数据包如下源IP目标IP源MAC 目标MAC VLAN标签192.168.1.1192.168.2.1MAC_FMAC_CVLAN34 交换模块的聚会链接收到此数据包后，查询VLAN标签属于VLAN3，且自己也存在此VLAN，则去掉VLAN标签，通过查找ARP表得知从端口3发送出去，此时数据包如下源IP目标IP源MAC 目标MAC VLAN标签192.168.1.1192.168.2.1

16、MAC_FMAC_C无5、实验环境5.1、实验拓扑5.2、实验条件5.2.1、三层交换机两台5.2.2、PC三台5.2.3、抓包工具wireshark5.3、实验要求5.3.1、理解相同VLAN之间的互访过程，抓取相关数据包，分析数据的封装5.3.2、理解TRUNK数据的封装5.3.3、理解VLAN间路由的实现过程，抓取相关数据包，分析数据的封装5.4、实验结果5.4.1、PC_A访问PC_C的过程A、B、C、5.4.2、PC_A访问PC_B的过程A、B、C、6、案例分析如下图所示，AP为本地转发，即数据直接从AP发到交换机，不会经过WAC设备，AP的互联口为Trunk，Native Vlan默认且不支持更改Natvie VlanSSID：sangfor属于VLAN2，是指手机连接到SSID Sangfor上后属于VLAN2的用户。交换机上Trunk的Natvie Vlan为VLAN2按如下拓扑及配置会发现手机连接上无线后获取不到IP地址，是什么原因？有何解决方法？6.1.1、原因分析6.1.2、解决方法