CISCO交换机VLAN配置指南一.docx
《CISCO交换机VLAN配置指南一.docx》由会员分享，可在线阅读，更多相关《CISCO交换机VLAN配置指南一.docx（24页珍藏版）》请在冰点文库上搜索。
CISCO交换机VLAN配置指南一
CISCO交换机VLAN配置指南
（一）
有关VLAN的技术标准IEEE802.1Q早在1999年6月份就由IEEE委员正式颁布实施了，而且最早的VLNA技术早在1996年Cisco（思科）公司就提出了。
随着几年来的发展，VLAN技术得到广泛的支持，在大大小小的企业网络中广泛应用，成为当前最为热门的一种以太局域网技术。
本篇就要为大家介绍交换机的一个最常见技术应用--VLAN技术，并针对中、小局域网VLAN的网络配置以实例的方式向大家简单介绍其配置方法。
3W"JR[sG`benet.5d6d 一、VLAN基础
sQ3S5eS）G2k^"w
H^网络工程师社区
v2S$K-X3P#]2~benet.5d6d VLAN（VirtualLocalAreaNetwork）的中文名为"虚拟局域网"，注意不是"VPN"（虚拟专用网）。
VLAN是一种将局域网设备从逻辑上划分（注意，不是从物理上划分）成一个个网段，从而实现虚拟工作组的新兴数据交换技术。
这一新兴技术主要应用于交换机与路由器中，但主流应用还是在交换机之中。
但又不是所有交换机都具有此功能，只有VLAN协议的第三层以上交换机才具有此功能，这一点可以查看相应交换机的说明书即可得知。
3Ad*OWg|5q?
\（~天南海北、图片贴吧、音乐分享、笑话集锦、网络小说、游戏交流、电影、视频、动漫
IEEE于1999年颁布了用以标准化VLAN实现方案的802.1Q协议标准草案。
VLAN技术的出现，使得管理员根据实际应用需求，把同一物理局域网内的不同用户逻辑地划分成不同的广播域，每一个VLAN都包含一组有着相同需求的计算机工作站，与物理上形成的LAN有着相同的属性。
由于它是从逻辑上划分，而不是从物理上划分，所以同一个VLAN内的各个工作站没有限制在同一个物理范围中，即这些工作站可以在不同物理LAN网段。
由VLAN的特点可知，一个VLAN内部的广播与单播流量都不会转发到其他VLAN中，从而有助于控制流量、减少设备投资、简化网络管理、提高网络的安全性。
#Ye-w$R1m]g
交换技术的发展，也加快了新的交换技术（VLAN）的应用速度。
通过将企业网络划分为虚拟网络VLAN网段，可以强化网络管理与网络安全，控制不必要的数据广播。
在共享网络中，一个物理的网段就是一个广播域。
而在交换网络中，广播域可以是有一组任意选定的第二层网络地址（MAC地址）组成的虚拟网段。
这样，网络中工作组的划分可以突破共享网络中的地理位置限制，而完全根据管理功能来划分。
这种基于工作流的分组模式，大大提高了网络规划与重组的管理功能。
在同一个VLAN中的工作站，不论它们实际与哪个交换机连接，它们之间的通讯就好象在独立的交换机上一样。
同一个VLAN中的广播只有VLAN中的成员才能听到，而不会传输到其他的VLAN中去，这样可以很好的控制不必要的广播风暴的产生。
同时，若没有路由的话，不同VLAN之间不能相互通讯，这样增加了企业网络中不同部门之间的安全性。
网络管理员可以通过配置VLAN之间的路由来全面管理企业内部不同管理单元之间的信息互访。
交换机是根据用户工作站的MAC地址来划分VLAN的。
所以，用户可以自由的在企业网络中移动办公，不论他在何处接入交换网络，他都可以与VLAN内其他用户自如通讯。
1v/H4[$xW天南海北、图片贴吧、音乐分享、笑话集锦、网络小说、游戏交流、电影、视频、动漫
VLAN网络可以是有混合的网络类型设备组成，比如：
10M以太网、100M以太网、令牌网、FDDI、CDDI等等，可以是工作站、服务器、集线器、网络上行主干等等。
+Y8C6F:
hj2S#nBENET资料、交流；讨论交换、路由、CISCO、网络安全、SOL数据库与Windows、linux系统配置等
VLAN除了能将网络划分为多个广播域，从而有效地控制广播风暴的发生，以与使网络的拓扑结构变得非常灵活的优点外，还可以用于控制网络中不同部门、不同站点之间的互相访问。
VLAN是为解决以太网的广播问题与安全性而提出的一种协议，它在以太网帧的基础上增加了VLAN头，用VLANID把用户划分为更小的工作组，限制不同工作组间的用户互访，每个工作组就是一个虚拟局域网。
虚拟局域网的好处是可以限制广播范围，并能够形成虚拟工作组，动态管理网络。
a-?
HX'U%UN
H s天南海北、图片贴吧、音乐分享、笑话集锦、网络小说、游戏交流、电影、视频、动漫
7KmV
?
\;R）i.[[QQ黑防技术、QQ聊天颜色字体、QQ聊天表情图片、QQ综合技巧探讨等 二、VLAN的划分方法
VLAN在交换机上的实现方法，可以大致划分为六类:
@4?
p|+zl4E~B'\-O7_q
1.基于端口划分的VLAN
|'k*hR7H u网络工程师社区
这是最常应用的一种VLAN划分方法，应用也最为广泛、最有效，目前绝大多数VLAN协议的交换机都提供这种VLAN配置方法。
这种划分VLAN的方法是根据以太网交换机的交换端口来划分的，它是将VLAN交换机上的物理端口与VLAN交换机内部的PVC（永久虚电路）端口分成若干个组，每个组构成一个虚拟网，相当于一个独立的VLAN交换机。
!
{*M8CU&e,zD
}.}-^{BENET资料、交流；讨论交换、路由、CISCO、网络安全、SOL数据库与Windows、linux系统配置等
）s.X.k.J#O:
~"xS天南海北、图片贴吧、音乐分享、笑话集锦、网络小说、游戏交流、电影、视频、动漫 对于不同部门需要互访时，可通过路由器转发，并配合基于MAC地址的端口过滤。
对某站点的访问路径上最靠近该站点的交换机、路由交换机或路由器的相应端口上，设定可通过的MAC地址集。
这样就可以防止非法入侵者从内部盗用IP地址从其他可接入点入侵的可能。
pA/[vq`Z天南海北、图片贴吧、音乐分享、笑话集锦、网络小说、游戏交流、电影、视频、动漫 从这种划分方法本身我们可以看出，这种划分的方法的优点是定义VLAN成员时非常简单，只要将所有的端口都定义为相应的VLAN组即可。
适合于任何大小的网络。
它的缺点是如果某用户离开了原来的端口，到了一个新的交换机的某个端口，必须重新定义。
0MF/D8]-?
rbenet.5d6d
2.基于MAC地址划分VLAN
这种划分VLAN的方法是根据每个主机的MAC地址来划分，即对每个MAC地址的主机都配置他属于哪个组，它实现的机制就是每一块网卡都对应唯一的MAC地址，VLAN交换机跟踪属于VLANMAC的地址。
这种方式的VLAN允许网络用户从一个物理位置移动到另一个物理位置时，自动保留其所属VLAN的成员身份。
由这种划分的机制可以看出，这种VLAN的划分方法的最大优点就是当用户物理位置移动时，即从一个交换机换到其他的交换机时，VLAN不用重新配置，因为它是基于用户，而不是基于交换机的端口。
这种方法的缺点是初始化时，所有的用户都必须进行配置，如果有几百个甚至上千个用户的话，配置是非常累的，所以这种划分方法通常适用于小型局域网。
而且这种划分的方法也导致了交换机执行效率的降低，因为在每一个交换机的端口都可能存在很多个VLAN组的成员，保存了许多用户的MAC地址，查询起来相当不容易。
另外，对于使用笔记本电脑的用户来说，他们的网卡可能经常更换，这样VLAN就必须经常配置。
Qs-mJ3n3u
M 3.基于网络层协议划分VLAN
VLAN按网络层协议来划分，可分为IP、IPX、DECnet、AppleTalk、Banyan等VLAN网络。
这种按网络层协议来组成的VLAN，可使广播域跨越多个VLAN交换机。
这对于希望针对具体应用与服务来组织用户的网络管理员来说是非常具有吸引力的。
而且，用户可以在网络内部自由移动，但其VLAN成员身份仍然保留不变。
X*Q`0u"W5qBENET资料、交流；讨论交换、路由、CISCO、网络安全、SOL数据库与Windows、linux系统配置等 这种方法的优点是用户的物理位置改变了，不需要重新配置所属的VLAN，而且可以根据协议类型来划分VLAN，这对网络管理者来说很重要，还有，这种方法不需要附加的帧标签来识别VLAN，这样可以减少网络的通信量。
这种方法的缺点是效率低，因为检查每一个数据包的网络层地址是需要消耗处理时间的（相对于前面两种方法），一般的交换机芯片都可以自动检查网络上数据包的以太网祯头，但要让芯片能检查IP帧头，需要更高的技术，同时也更费时。
当然，这与各个厂商的实现方法有关。
4.根据IP组播划分VLAN
8rm;N3sU1P9K4Z0@QQ黑防技术、QQ聊天颜色字体、QQ聊天表情图片、QQ综合技巧探讨等 IP组播实际上也是一种VLAN的定义，即认为一个IP组播组就是一个VLAN。
这种划分的方法将VLAN扩大到了广域网，因此这种方法具有更大的灵活性，而且也很容易通过路由器进行扩展，主要适合于不在同一地理范围的局域网用户组成一个VLAN，不适合局域网，主要是效率不高。
S R（AP!
bY;zbenet.5d6d
LdSk@_A天南海北、图片贴吧、音乐分享、笑话集锦、网络小说、游戏交流、电影、视频、动漫 5.按策略划分VLAN
yp[,?
CGjbenet.5d6d 基于策略组成的VLAN能实现多种分配方法，包括VLAN交换机端口、MAC地址、IP地址、网络层协议等。
网络管理人员可根据自己的管理模式与本单位的需求来决定选择哪种类型的VLAN。
6.按用户定义、非用户授权划分VLAN
D（eP!
gn）Cvbenet.5d6d 基于用户定义、非用户授权来划分VLAN，是指为了适应特别的VLAN网络，根据具体的网络用户的特别要求来定义与设计VLAN，而且可以让非VLAN群体用户访问VLAN，但是需要提供用户密码，在得到VLAN管理的认证后才可以加入一个VLAN。
`#yT:
C:
XQQ黑防技术、QQ聊天颜色字体、QQ聊天表情图片、QQ综合技巧探讨等
三、VLAN的优越性
XR+d:
Zwtr
k网络工程师社区 任何新技术要得到广泛支持与应用，肯定存在一些关键优势，VLAN技术也一样，它的优势主要表达在以下几个方面：
1.增加了网络连接的灵活性
/i_$]*L~8KLBENET资料、交流；讨论交换、路由、CISCO、网络安全、SOL数据库与Windows、linux系统配置等 借助VLAN技术，能将不同地点、不同网络、不同用户组合在一起，形成一个虚拟的网络环境，就像使用本地LAN一样方便、灵活、有效。
VLAN可以降低移动或变更工作站地理位置的管理费用，特别是一些业务情况有经常性变动的公司使用了VLAN后，这部分管理费用大大降低。
$GN
c
A7Y0q_8Sb9M网络工程师社区 2.控制网络上的广播
;U n$CK
?
O7jL?
QQ黑防技术、QQ聊天颜色字体、QQ聊天表情图片、QQ综合技巧探讨等.Ha#Y"}O_ed7a9wH}网络工程师社区 VLAN可以提供建立防火墙的机制，防止交换网络的过量广播。
使用VLAN，可以将某个交换端口或用户赋于某一个特定的VLAN组，该VLAN组可以在一个交换网中或跨接多个交换机，在一个VLAN中的广播不会送到VLAN之外。
同样，相邻的端口不会收到其他VLAN产生的广播。
这样可以减少广播流量，释放带宽给用户应用，减少广播的产生。
3.增加网络的安全性
因为一个VLAN就是一个单独的广播域，VLAN之间相互隔离，这大大提高了网络的利用率，确保了网络的安全保密性。
人们在LAN上经常传送一些保密的、关键性的数据。
保密的数据应提供访问控制等安全手段。
一个有效与容易实现的方法是将网络分段成几个不同的广播组，网络管理员限制了VLAN中用户的数量，禁止未经允许而访问VLAN中的应用。
交换端口可以基于应用类型与访问特权来进行分组，被限制的应用程序与资源一般置于安全性VLAN中。
r7`!
[5m%unk天南海北、图片贴吧、音乐分享、笑话集锦、网络小说、游戏交流、电影、视频、动漫 四、网络的配置实例7~o}:
ln网络工程师社区 为了给大家一个真实的配置实例学习机会，下面就以典型的中型局域网VLAN配置为例向各位介绍目前最常用的按端口划分VLAN的配置方法。
x0bYOnDP4l%\QQ黑防技术、QQ聊天颜色字体、QQ聊天表情图片、QQ综合技巧探讨等 某公司有100台计算机左右，主要使用网络的部门有：
生产部（20）、财务部（15）、人事部（8）与信息中心（12）四大部分，如图1所示。
rz MD4Q,{k）J（b（]WY天南海北、图片贴吧、音乐分享、笑话集锦、网络小说、游戏交流、电影、视频、动漫 网络基本结构为：
整个网络中干部分采用3台Catalyst1900网管型交换机（分别命名为：
Switch1、Switch2与Switch3，各交换机根据需要下接若干个集线器，主要用于非VLAN用户，如行政文书、临时用户等）、一台Cisco2514路由器，整个网络都通过路由器Cisco2514与外部互联网进行连接。
所连的用户主要分布于四个部分，即：
生产部、财务部、信息中心与人事部。
主要对这四个部分用户单独划分VLAN，以确保相应部门网络资源不被盗用或破坏。
Nm i
^0q6ld3R）im
Y3D网络工程师社区
X:
taZdg'Ad天南海北、图片贴吧、音乐分享、笑话集锦、网络小说、游戏交流、电影、视频、动漫 现为了公司相应部分网络资源的安全性需要，特别是对于像财务部、人事部这样的敏感部门，其网络上的信息不想让太多人可以随便进出，于是公司采用了VLAN的方法来解决以上问题。
通过VLAN的划分，可以把公司主要网络划分为：
生产部、财务部、人事部与信息中心四个主要部分，对应的VLAN组名为：
Prod、Fina、Huma、Info，各VLAN组所对应的网段如下表所示。
AeH0J/@fBENET资料、交流；讨论交换、路由、CISCO、网络安全、SOL数据库与Windows、linux系统配置等
路由器是计算机网络的桥梁，是连接IP网的核心设备。
通过它不仅可以连通不同的网络，还能选择数据传送的路经，并能阻隔非法访问。
路由器的配置对初学者来说，并不是件容易的事。
现以CISCO路由器为例，将路由器的一般常识与配置介绍给大家，供朋友们在配置路由器时参考
一、路由器的一般常识
路由器具有创建路由、执行命令以与在网络接口上使用路由协议对数据包进行路由等功能。
它的硬件基础是接口、CPU与存在器，软件基础是网络互联操作系统IOS。
1、路由器接口
·路由器接口用作将路由器连接到网络，可以分为局域网接口与广域网接口两种。
由于路由器型号的不同，接口数目与类型也不尽一样。
常见的接口主要有以下几种：
·高速同步串口，可连接DDN，帧中继（FrameRelay），X.25，PSTN（模拟线路）。
·同步/异步串口，可用软件将端口设置为同步工作方式。
·AUI端口，即粗缆口。
一般需要外接转换器（AUI-RJ45），连接10Base-T以太网络。
·ISDN端口，可以连接ISDN网络（2B+D），可作为局域网接入Internet之用。
·AUX端口，该端口为异步端口，主要用于远程配置，也可用于拔号备份，可与MODEM连接。
支持硬件流控制（HardwareFlowCtrol）。
·Console端口，该端口为异步端口，主要连接终端或运行终端仿真程序的计算机，在本地配置路由器。
不支持硬件流控制。
2、路由器的CPU
路由器与PC机一样，有中央处理单元CPU，而且不同的路由器，其CPU一般也不相同，CPU是路由器的处理中心。
3、路由器的内存组件
内存是路由器存储信息与数据的地方，CISCO路由器有以下几种内存组件：
·ROM（ReadOnlyMemory）
·ROM中存储路由器加电自检（POST：
Power-OnSelf-Test）、启动程序（BootstrapProgram）与部分或全部的IOS。
路由器中的ROM是可擦写的，所以IOS是可以升级的。
·NVRAM（NonvolatileRandomAccessMemory）
·非易失RAM，存储路由器的启动配置文件。
NVRAM是可擦写的，可将路由器的配置信息拷贝到NVRAM中。
·FLASH RAM
·闪存，是一种特殊的ROM，可擦写的，也可编程，用于存储CISCO IOS的其它版本，用于对路由器的IOS进行升级。
·RAM（RandomAccessMemory）
RAM与PC机上的随机存储器相似，提供临时信息的存储，同时保存着当前的路由表与配置信息。
4、路由器的启动过程
①加电之后，ROM运行加电自检程序（POST）,检查路由器的处理器、接口与内存等硬件设备。
②执行路由器中的启动程序（Bootstrap）,搜索CISCO的IOS。
路由器中的IOS可从ROM中装入，或从FlashRAM中装入，也可从TFTP服务器装入。
③装入IOS后，寻找配置文件。
配置文件通常在NVRAM中。
配置文件也可从TFTP服务器装入。
④装入配置文件后，其中的信息将激活有关接口、协议与网络参数。
⑤当找不到配置文件时，路由器进入配置模式。
二、路由器的配置途径
可通过以下几种途径对CISCO路由器进行配置：
1、控制台
将PC机的串口直接通过Rollover线与路由器控制台端口Console相连，在PC计算机上运行终端防真软件，与路由器进行通信，完成路由器的配置。
也可将PC与路由器辅助端口AUX直接相连，进行路由器的配置。
2、虚拟终端（Telnet）
如果路由器已有一些基本配置，至少有一个端口有效（如Ethernet口），就可通过运行Telnet程序的计算机作为路由器的虚拟终端与路由器建立通信，完成路由器的配置。
3、网络管理工作站
路由器可通过运行网络管理软件的工作站配置，如Cisco的CiscoWorks、HP的OpenView等。
4、CISCO ConfigMaker
ConfigMaker是一个由CISCO开发的免费的路由器配置工具。
ConfigMaker采用图形化的方式对路由器进行配置，然后将所做的配置通过网络下载到路由器上。
ConfigMaker要求路由器运行在IOS 11.2以上版本，可用ShowVersion命令查看路由器的版本信息。
5、TProtocol）服务器
TFTP是一个TCP/IP简单文件传输协议，可将配置文件从路由器传送到TFTP服务器上，也可将配置文件从TFTP服务器传送到路由器上。
TFTP不需要用户名与口令，使用非常简单。
三、路由器配置中的三种模式
路由器有三种基本的访问模式：
1、用户模式（UserEXEC）
用户模式是路由器启动时的缺省模式，提供有限的路由器访问权限，允许执行一些非破坏性的操作，如查看路由器的配置参数，测试路由器的连通性等，但不能对路由器配置做任何改动。
该模式下的提示符（Prompt）为“＞”。
showinterface命令，查看路由器接口信息，即为用户模式下的命令。
2、特权模式（PrivilegedEXEC）
特权模式，也叫使能（enable）模式，可对路由器进行更多的操作，使用的命令集比用户模式多，可对路由器进行更高级的测试，如使用debug命令。
在用户模式下通过使能口令进入特权模式。
提示符为“＃”。
Showrunning-config即为特权模式命令。
3、配置模式（GlobalConfiguration）
配置模式是路由器的最高操作模式，可以设置路由器上的运行的硬件与软件的相关参数；配置各接口、路由协议与广域网协议；设置用户与访问密码等。
在特权模式“＃”提示符下输入config命令，进入配置模式。
四、IP路由的配置
Ip路由的配置主要完成以下任务：
一是配置局域网LAN接口与广域网WAN接口；二是激活IP路由协议；三是配置广域网协议。
具体配置方法如下：
1、LAN接口的配置
LAN接口是路由器与局域网的连接点，每个LAN接口与一个子网相连，配置LAN接口就是将LAN接口子网地址范围内的一个IP地址分配给LAN接口。
配置方法如下：
①．在特权模式下输入configt命令，按回车，路由器进入配置模式；
②．在配置模式下输入要配置的接口名，如interfaceethernet0，按回车，提示符变为config-if；
③．输入ipaddress＋IP地址与子网掩码，如：
ipaddress200.38.118.9255.255.255.0。
④．配置完成后按Ctrl+Z退出配置，回到特权模式。
可用showipinterface e0命令查看配置参数。
2、WAN接口的配置
WAN接口的配置方法与LAN接口一样，以配置串口1为例。
①．在特权模式下，输入configt命令，按回车进入配置模式；
②．输入所要配置的WAN接口，如串口0，命令格式为：
interfaceserial0，按回车，进入config-if模式；
③．输入ipaddress加ip地址与子网掩码，按回车完成。
④．按Ctrl+Z结束接口配置，返回特权模式。
可用showinterfaces0命令来查看串口配置。
3、路由协议的配置
首先确定选择什么样的路由协议。
根据网络规模与大小，跳数（从一个路由器到另一个路由器称为一跳）在15以内的小型网络选择路由信息协议RIP（RoutingInformationProtocol）；大型网络可选择内部网关路由协议IGRP（InteriorGatewayRoutingProtocol）或开放最短路径优先OSPF（OpenShortestPathFirst）。
各种协议的配置方法如下：
①．配置RIP协议
·启动RIP路由协议。
在配置模式下输入routerrip，则RIP被确定为路由协议。
配置与路由器直接相连的网络。
在配置模式下输入network网络地址。
如network139.10.0.0。
如有不同的网络地址与路由器相连，重复上述命令。
·配置允许在非广播型网络中进行RIP路由广播，在配置模式下输入neighbor相邻路由器相邻端口的IP地址。
②．配置IGRP协议
·启动IGRP路由协议。
在配置设置模式下输入routerigrp加上自治域号。
如routerigrp2。
只有同一自治域内的路由器才能交换路由信息。
·IGRP是将由network指定的子网在各端口中进行传送来交换路由信息，如果不指定子网，则路由器不会将该子网广播给其它路由器。
在配置模式下输入network加上子网号，配置参加动态路由的子网。
指定某路由器所知的IGRP路由信息广播给那些与其相邻接的路由器。
IGRP是一个广播型协议，为了使IGRP路由信息能在非广播型网络中传输，必须使用该设置，以允许路由器间在非广播型网络中交换路由信息。
广播型网络如以太网无须设置此项。
在配置模式下输入neighbor加上邻接路由器的相邻端口IP地址。
③．配置OSPF协议
·启用OSPF动态路由协议在配置模式下输入routerospf进程号。
如routerospf2。
·定义参与ospf的子网。
在配置
升级会员 