一文讀懂虛擬局域網(wǎng)(VLAN)技術(shù)

　　什么是虛擬局域網(wǎng)(VLAN)，以及為什么使用它?

　　從技術(shù)上講，VLAN也稱為虛擬局域網(wǎng)。這項(xiàng)技術(shù)可以在邏輯上將一個或多個物理局域網(wǎng)劃分和隔離為多個廣播域。每個廣播域被視為一個VLAN。一般情況下，只有同一VLAN下的設(shè)備才能互相通信。為什么要使用VLAN?在VLAN出現(xiàn)之前，指定的網(wǎng)絡(luò)上只有一個廣播域，稱為LAN(局域網(wǎng))。正如下面的LAN應(yīng)用拓?fù)渌�示，為了與主機(jī)B進(jìn)行通信，主機(jī)A將向同一局域網(wǎng)上的所有交換機(jī)和其他主機(jī)廣播其ARP(地址解析協(xié)議)請求。

　　然而，當(dāng)網(wǎng)絡(luò)受到主機(jī)和交換機(jī)的轟炸時，很可能會導(dǎo)致廣播風(fēng)暴。因此，主機(jī)的CPU和整個網(wǎng)絡(luò)的帶寬將被大量消耗。為了解決這個問題，VLAN出現(xiàn)了。

　　通過配置VLAN，可以將網(wǎng)絡(luò)劃分為不同的廣播域。一個網(wǎng)段上的工作站發(fā)出的數(shù)據(jù)包通過網(wǎng)橋或交換機(jī)進(jìn)行轉(zhuǎn)發(fā)，網(wǎng)橋或交換機(jī)不會轉(zhuǎn)發(fā)沖突，而是廣播到各個網(wǎng)絡(luò)設(shè)備。這簡化了LAN引起的許多潛在復(fù)雜情況，包括網(wǎng)絡(luò)流量過多和沖突。這樣，將大大節(jié)省網(wǎng)絡(luò)資源和帶寬，提高網(wǎng)絡(luò)靈活性和性能。

　　VLAN類型

　　通常有五種基本VLAN類型：基于端口的VLAN、基于MAC地址的VLAN、基于IP子網(wǎng)的VLAN、基于協(xié)議的VLAN和基于策略的VLAN。

　　基于端口的VLAN

　　基于端口的VLAN，也稱為基于接口的VLAN，是一種網(wǎng)絡(luò)管理員可以為每個交換機(jī)端口手動分配VLAN的技術(shù)。適合小型網(wǎng)絡(luò)，無需頻繁更改網(wǎng)絡(luò)基礎(chǔ)設(shè)施。

　　基于MAC地址的VLAN

　　基于MAC地址的VLAN是指根據(jù)幀的源MAC地址來劃分VLAN。應(yīng)用該技術(shù)可以大大提高網(wǎng)絡(luò)的安全性和靈活性。即使用戶經(jīng)常改變物理位置，網(wǎng)絡(luò)管理員也不需要重新配置VLAN。

　　基于IP子網(wǎng)的VLAN

　　基于IP子網(wǎng)的VLAN可以根據(jù)設(shè)備的IP子網(wǎng)分配VLAN。對于移動性和簡化管理要求較高、安全性要求較低的公網(wǎng)來說，這將是一種有效的解決方案。通過該技術(shù)，用戶在IP改變后可以自動加入新的VLAN ID。

　　基于協(xié)議的VLAN

　　基于協(xié)議的VLAN適用于多種協(xié)議的網(wǎng)絡(luò)，可以根據(jù)協(xié)議類型和幀的封裝格式來劃分VLAN。

　　基于策略的VLAN

　　基于策略的VLAN可以描述為上述內(nèi)容的組合。其可以根據(jù)MAC地址和IP地址的組合等策略分配VLAN。通過策略組合來實(shí)現(xiàn)VLAN間的訪問控制，網(wǎng)絡(luò)的安全性和靈活性將大大增強(qiáng)。

　　VLAN是如何工作的?

　　VLAN內(nèi)通信

　　VLAN內(nèi)通信是指同一網(wǎng)段、同一VLAN內(nèi)的用戶之間的通信。此類VLAN一般應(yīng)用于兩種場景：同一設(shè)備的VLAN內(nèi)通信和多個設(shè)備的VLAN內(nèi)通信。無論哪種類型，整個傳輸過程主要經(jīng)過以下兩個步驟：

　　1、源主機(jī)發(fā)出的ARP請求：在發(fā)送之前，源主機(jī)會將自己的IP地址與指定的IP地址進(jìn)行比較。如果源主機(jī)發(fā)現(xiàn)其在同一網(wǎng)段，則獲取目的主機(jī)的MAC地址，并將獲得的MAC地址填充到幀的目的字段MAC地址中。反之，則需要將廣播包發(fā)送到網(wǎng)關(guān)。源主機(jī)將使用網(wǎng)關(guān)的MAC地址作為其目的MAC地址。

　　2、設(shè)備間通信時添加和刪除VLAN標(biāo)簽：幀在交換機(jī)中處理時，需要攜帶VLAN標(biāo)簽。

　　VLAN間通信

　　由于廣播報(bào)文被限制在同一VLAN內(nèi)，不同VLAN內(nèi)的主機(jī)無法直接進(jìn)行二層通信。因此，可以通過將網(wǎng)絡(luò)流量從一個VLAN轉(zhuǎn)發(fā)到另一個VLAN的VLAN間路由來解決這一問題。可以使用三個選項(xiàng)來啟用不同VLAN之間的路由：

　　具有獨(dú)立物理接口的VLAN間路由

　　這種VLAN間路由方式是將每個VLAN的附加端口與路由器連接。每個VLAN需要路由器上有一個物理端口，這導(dǎo)致路由器的成本很高。因此，這種VLAN間路由由于成本高、擴(kuò)展性差，已經(jīng)很少使用。

　　單臂路由器VLAN間路由

　　這種類型的VLAN路由可以通過一個物理接口實(shí)現(xiàn)VLAN之間的流量轉(zhuǎn)發(fā)。將路由器和交換機(jī)之間的連接配置為中繼鏈路后，路由器可以在中繼接口上接收來自所連接交換機(jī)的帶有VLAN標(biāo)記的幀，并通過同一接口將路由的數(shù)據(jù)包轉(zhuǎn)發(fā)到帶有VLAN標(biāo)記的目的地。

　　使用第三層交換機(jī)進(jìn)行VLAN間路由

　　最后一種方法是使用具有路由功能的第三層交換機(jī)。用戶需要為每個VLAN創(chuàng)建一個SVI(交換機(jī)虛擬接口)并為其配置IP地址。此IP地址可用作計(jì)算機(jī)的默認(rèn)網(wǎng)關(guān)。這樣，來自一個VLAN的報(bào)文將被發(fā)送到SVI，并路由到其他VLAN，實(shí)現(xiàn)VLAN間的通信。

　　VLAN的優(yōu)點(diǎn)

　　減少廣播域的大小

　　通過限制廣播域，可以防止VLAN上的終端監(jiān)聽或接收不適合其的廣播。而且，如果VLAN之間沒有連接路由器，則某個VLAN的終端無法與其他VLAN的終端通信。網(wǎng)絡(luò)上廣播域的限制顯著減少了流量。

　　增強(qiáng)網(wǎng)絡(luò)安全性

　　VLAN創(chuàng)建的虛擬邊界只能被路由器跨越。因此，可以使用基于路由器的標(biāo)準(zhǔn)安全措施來限制對VLAN的訪問。此外，VLAN還可以通過數(shù)據(jù)包過濾來增強(qiáng)網(wǎng)絡(luò)安全性。網(wǎng)絡(luò)管理員控制每個端口及其允許使用的任何資源，將具有敏感數(shù)據(jù)的組與網(wǎng)絡(luò)的其余部分分開，并減少機(jī)密信息泄露的機(jī)會。

　　易于管理

　　VLAN使網(wǎng)絡(luò)管理更加容易，因?yàn)榫哂邢嗨凭W(wǎng)絡(luò)需求的用戶共享相同的VLAN。當(dāng)有新交換機(jī)提供時，可以在交換機(jī)的Web管理頁面快速添加或更改網(wǎng)絡(luò)節(jié)點(diǎn)。為特定VLAN配置的所有策略和過程都會在分配端口時實(shí)施。IT人員還可以通過為其指定適當(dāng)?shù)拿�稱來輕松識別VLAN的功能。

　　使管理其他設(shè)備變得容易

　　VLAN簡化了項(xiàng)目和應(yīng)用管理，并聚合用戶和網(wǎng)絡(luò)設(shè)備以支持業(yè)務(wù)或地理需求。擁有單獨(dú)的功能可以更輕松地管理項(xiàng)目或使用專用應(yīng)用，并且可以根據(jù)功能而不是位置對設(shè)備進(jìn)行邏輯分組。