一、VLAN 核心基礎(chǔ)概念1.1 什么是VLANVLANVirtual Local Area Network虛擬局域網(wǎng)是一種邏輯劃分的廣播域它在物理局域網(wǎng)基礎(chǔ)上通過交換機軟件邏輯將同一物理網(wǎng)絡(luò)劃分為多個相互隔離的虛擬網(wǎng)絡(luò)。簡單理解物理上是同一個局域網(wǎng)邏輯上分成多個獨立小局域網(wǎng)無需改動網(wǎng)線、設(shè)備硬件僅通過配置即可實現(xiàn)網(wǎng)絡(luò)隔離。1.2 VLAN 核心作用解決傳統(tǒng)局域網(wǎng)痛點傳統(tǒng)交換機所有端口默認屬于同一廣播域設(shè)備過多時會出現(xiàn)廣播風暴、網(wǎng)絡(luò)卡頓、安全隱患、無法精細化管理等問題VLAN完美解決以上問題隔離廣播域每個VLAN是獨立廣播域廣播流量僅在本VLAN內(nèi)傳播抑制廣播風暴提升網(wǎng)絡(luò)帶寬利用率。提升網(wǎng)絡(luò)安全性不同VLAN默認二層隔離無法直接互通可隔離敏感業(yè)務(wù)、用戶終端防止跨VLAN非法訪問。簡化網(wǎng)絡(luò)管理打破物理位置限制不同樓層、不同區(qū)域的設(shè)備可劃入同一VLAN適配企業(yè)部門、業(yè)務(wù)分組管理。靈活擴展網(wǎng)絡(luò)無需重新布線通過配置即可調(diào)整終端所屬網(wǎng)絡(luò)適配人員、業(yè)務(wù)變動。1.3 VLAN 核心特性二層隔離相同VLAN內(nèi)設(shè)備二層可互通不同VLAN設(shè)備二層完全隔離。獨立廣播域、獨立沖突域每個VLAN擁有專屬的廣播和沖突域。三層互通依賴路由不同VLAN想要通信必須通過三層設(shè)備三層交換機、路由器實現(xiàn)路由轉(zhuǎn)發(fā)。VLAN范圍標準VLAN ID 1-4094其中VLAN 1為默認VLAN所有交換機端口初始默認屬于VLAN 1。二、VLAN 劃分方式主流4種不同劃分方式適配不同場景其中基于端口劃分為企業(yè)最常用方式。2.1 基于端口劃分靜態(tài)VLAN手動將交換機固定端口綁定指定VLAN端口歸屬永久生效除非手動修改。優(yōu)點配置簡單、穩(wěn)定性強、運維方便。缺點終端更換端口后需要重新配置VLAN。適用場景企業(yè)固定工位、固定業(yè)務(wù)設(shè)備打印機、服務(wù)器、辦公終端。2.2 基于MAC地址劃分動態(tài)VLAN根據(jù)終端設(shè)備的MAC地址綁定VLAN終端接入任意交換機端口自動劃入對應(yīng)VLAN。優(yōu)點終端移動位置無需重新配置VLAN。缺點需要提前錄入所有設(shè)備MAC地址初始配置工作量大。適用場景移動辦公終端、企業(yè)流動設(shè)備。2.3 基于IP地址/子網(wǎng)劃分根據(jù)終端IP地址、網(wǎng)段自動劃分VLAN屬于三層VLAN劃分方式。優(yōu)點適配網(wǎng)段統(tǒng)一管理邏輯關(guān)聯(lián)性強。缺點依賴IP配置終端修改IP會導致VLAN歸屬異常。適用場景按業(yè)務(wù)網(wǎng)段分區(qū)的大型局域網(wǎng)。2.4 基于協(xié)議劃分根據(jù)終端運行的網(wǎng)絡(luò)協(xié)議IPv4、IPv6等劃分VLAN較少使用。三、交換機端口模式VLAN 核心端口類型交換機端口分為Access、Trunk、Hybrid三種模式是VLAN通信、跨交換機VLAN傳輸?shù)幕A(chǔ)。3.1 Access 接入端口作用連接終端設(shè)備電腦、打印機、攝像頭。特性僅屬于一個VLAN傳輸無標簽Untagged數(shù)據(jù)幀。工作機制接收終端數(shù)據(jù)時自動打上端口所屬VLAN標簽發(fā)送數(shù)據(jù)到終端時剝離VLAN標簽。3.2 Trunk 中繼端口作用連接交換機與交換機、交換機與路由器實現(xiàn)跨交換機同VLAN互通。特性可傳輸多個VLAN數(shù)據(jù)默認允許所有VLAN通行。工作機制傳輸數(shù)據(jù)時保留VLAN標簽Tagged僅默認VLANPVID數(shù)據(jù)為無標簽。核心協(xié)議IEEE 802.1Q通用VLAN封裝協(xié)議所有品牌設(shè)備通用。3.3 Hybrid 混合端口作用兼具Access和Trunk功能可同時傳輸帶標簽、無標簽數(shù)據(jù)。適用場景華為設(shè)備專屬模式多用于特殊業(yè)務(wù)隔離場景。3.4 核心概念PVID端口默認VLAN所有交換機端口都有默認PVID默認值為1。Access端口PVID就是其所屬VLANTrunk端口PVID為默認放行的無標簽VLAN。四、VLAN 基礎(chǔ)通信原理4.1 同VLAN通信二層互通無需路由同一VLAN內(nèi)的兩臺終端無論是否在同一交換機均可直接二層互通。通信流程終端發(fā)送數(shù)據(jù)→Access端口打VLAN標簽→Trunk端口帶標簽轉(zhuǎn)發(fā)→對端交換機識別標簽→剝離標簽轉(zhuǎn)發(fā)至目標終端全程僅交換機二層轉(zhuǎn)發(fā)無需三層設(shè)備。4.2 不同VLAN通信二層隔離必須路由不同VLAN屬于不同廣播域、不同網(wǎng)段二層絕對無法互通必須通過三層路由實現(xiàn)VLAN間通信這是核心考點。核心邏輯VLAN隔離是二層隔離三層路由可以跨越二層隔離實現(xiàn)跨VLAN數(shù)據(jù)轉(zhuǎn)發(fā)。五、VLAN間通信的三種實現(xiàn)方式重點VLAN間通信本質(zhì)為每個VLAN配置獨立網(wǎng)關(guān)通過三層設(shè)備進行跨網(wǎng)段轉(zhuǎn)發(fā)三種方式難度遞增、實用性遞增。5.1 方式一單臂路由路由器實現(xiàn)VLAN間通信1. 原理使用一臺路由器通過一個物理接口和交換機Trunk端口對接在路由器物理接口上配置多個子接口每個子接口對應(yīng)一個VLAN作為該VLAN的網(wǎng)關(guān)實現(xiàn)VLAN間路由轉(zhuǎn)發(fā)。2. 拓撲結(jié)構(gòu)終端VLAN2、VLAN3→交換機配置Trunk端口→路由器單物理接口多子接口3. 優(yōu)缺點優(yōu)點設(shè)備成本低無需三層交換機僅普通路由器二層交換機即可實現(xiàn)。缺點所有VLAN流量依賴單條物理鏈路易形成帶寬瓶頸穩(wěn)定性差僅適用于小型網(wǎng)絡(luò)。4. 核心配置思路交換機創(chuàng)建VLAN、接入端口設(shè)為Access模式、上聯(lián)路由器端口設(shè)為Trunk模式。路由器物理接口開啟802.1Q封裝配置多個子接口每個子接口配置對應(yīng)VLAN網(wǎng)關(guān)IP。5.2 方式二三層交換機SVI接口通信企業(yè)主流1. 原理三層交換機同時具備二層交換、三層路由功能為每個VLAN創(chuàng)建SVI交換虛擬接口SVI接口IP即為該VLAN的網(wǎng)關(guān)交換機內(nèi)部直接完成VLAN間路由轉(zhuǎn)發(fā)無需外接路由器。2. 核心優(yōu)勢對比單臂路由轉(zhuǎn)發(fā)速度快三層硬件轉(zhuǎn)發(fā)無鏈路瓶頸。穩(wěn)定性高內(nèi)部路由轉(zhuǎn)發(fā)規(guī)避單點鏈路故障。部署簡單無需額外路由器集成度高是企業(yè)網(wǎng)絡(luò)標準方案。3. 通信流程VLAN2終端發(fā)送數(shù)據(jù)→交換機二層轉(zhuǎn)發(fā)→VLAN2 SVI網(wǎng)關(guān)→三層交換機路由轉(zhuǎn)發(fā)→VLAN3 SVI網(wǎng)關(guān)→二層轉(zhuǎn)發(fā)至VLAN3終端。實操