VLAN簡介及優(yōu)點
虛擬局域網(wǎng)(VLAN)，是指網(wǎng)絡中的站點不拘泥于所處的物理位置，而可以根據(jù)需要靈活地加入不同的邏輯子網(wǎng)中的一種網(wǎng)絡技術。
基于交換式以太網(wǎng)的虛擬局域網(wǎng)在交換式以太網(wǎng)中，利用VLAN技術，可以將由交換機連接成的物理網(wǎng)絡劃分成多個邏輯子網(wǎng)。也就是說，一個虛擬局域網(wǎng)中的站點所發(fā)送的廣播數(shù)據(jù)包將僅轉(zhuǎn)發(fā)至屬于同一VLAN的站點。
在交換式以太網(wǎng)中，各站點可以分別屬于不同的虛擬局域網(wǎng)。構成虛擬局域網(wǎng)的站點不拘泥于所處的物理位置，它們既可以掛接在同一個交換機中，也可以掛接在不同的交換機中。虛擬局域網(wǎng)技術使得網(wǎng)絡的拓撲結構變得非常靈活，例如位于不同樓層的用戶或者不同部門的用戶可以根據(jù)需要加入不同的虛擬局域網(wǎng)。
劃分虛擬局域網(wǎng)主要出于三種考慮：
第一是基于網(wǎng)絡性能的考慮。對于大型網(wǎng)絡，現(xiàn)在常用的Windows NetBEUI是廣播協(xié)議，當網(wǎng)絡規(guī)模很大時，網(wǎng)上的廣播信息會很多，會使網(wǎng)絡性能惡化，甚至形成廣播風暴，引起網(wǎng)絡堵塞。那怎么辦呢?可以通過劃分很多虛擬局域網(wǎng)而減少整個網(wǎng)絡范圍內(nèi)廣播包的傳輸，因為廣播信息是不會跨過VLAN的，可以把廣播限制在各個虛擬網(wǎng)的范圍內(nèi)，用術語講就是縮小了廣播域，提高了網(wǎng)絡的傳輸效率，從而提高網(wǎng)絡性能。
第二是基于安全性的考慮。因為各虛擬網(wǎng)之間不能直接進行通訊，而必須通過路由器轉(zhuǎn)發(fā)，為高級的安全控制提供了可能，增強了網(wǎng)絡的安全性。在大規(guī)模的網(wǎng)絡，比如說大的集團公司，有財務部、采購部和客戶部等，它們之間的數(shù)據(jù)是保密的，相互之間只能提供接口數(shù)據(jù)，其它數(shù)據(jù)是保密的。我們可以通過劃分虛擬局域網(wǎng)對不同部門進行隔離。
第三是基于組織結構上考慮。同一部門的人員分散在不同的物理地點，比如集團公司的財務部在各子公司均有分部，但都屬于財務部管理，雖然這些數(shù)據(jù)都是要保密的，但需統(tǒng)一結算時，就可以跨地域(也就是跨交換機)將其設在同一虛擬局域網(wǎng)之中，實現(xiàn)數(shù)據(jù)安全和共享。采用虛擬局域網(wǎng)有如下優(yōu)勢：抑制網(wǎng)絡上的廣播風暴；增加網(wǎng)絡的安全性；集中化的管理控制。
基于交換式的以太網(wǎng)要實現(xiàn)虛擬局域網(wǎng)主要有三種途徑：基于端口的虛擬局域網(wǎng)、基于MAC地址(網(wǎng)卡的硬件地址)的虛擬局域網(wǎng)和基于IP地址的虛擬局域網(wǎng)。
(1)基于端口的虛擬局域網(wǎng)
基于端口的虛擬局域網(wǎng)是最實用的虛擬局域網(wǎng)，它保持了最普通常用的虛擬局域網(wǎng)成員定義方法，配置也相當直觀簡單，就局域網(wǎng)中的站點具有相同的網(wǎng)絡地址，不同的虛擬局域網(wǎng)之間進行通信需要通過路由器。采用這種方式的虛擬局域網(wǎng)其不足之處是靈活性不好。例如，當一個網(wǎng)絡站點從一個端口移動到另外一個新的端口時，如果新端口與舊端口不屬于同一個虛擬局域網(wǎng)，則用戶必須對該站點重新進行網(wǎng)絡地址配置，否則，該站點將無法進行網(wǎng)絡通信。在基于端口的虛擬局域網(wǎng)中，每個交換端口可以屬于一個或多個虛擬局域網(wǎng)組，比較適用于連接服務器。
(2) 基于MAC地址的虛擬局域網(wǎng)
在基于MAC地址的虛擬局域網(wǎng)中，交換機對站點的MAC地址和交換機端口進行跟蹤，在新站點入網(wǎng)時根據(jù)需要將其劃歸至某一個虛擬局域網(wǎng)，而無論該站點在網(wǎng)絡中怎樣移動，由于其MAC地址保持不變，因此用戶不需要進行網(wǎng)絡地址的重新配置。這種虛擬局域網(wǎng)技術的不足之處是在站點入網(wǎng)時，需要對交換機進行比較復雜的手工配置，以確定該站點屬于哪一個虛擬局域網(wǎng)。
(3)基于IP地址的虛擬局域網(wǎng)
1、控制廣播風暴
一個VLAN就是一個邏輯廣播域，通過對VLAN的創(chuàng)建，隔離了廣播，縮小了廣播范圍，可以控制廣播風暴的產(chǎn)生。
2、提高網(wǎng)絡整體安全性
通過路由訪問列表和MAC地址分配等VLAN劃分原則，可以控制用戶訪問權限和邏輯網(wǎng)段大小，將不同用戶群劃分在不同VLAN，從而提高交換式網(wǎng)絡的整體性能和安全性。
3、網(wǎng)絡管理簡單、直觀
對于交換式以太網(wǎng)，如果對某些用戶重新進行網(wǎng)段分配，需要網(wǎng)絡管理員對網(wǎng)絡系統(tǒng)的物理結構重新進行調(diào)整，甚至需要追加網(wǎng)絡設備，增大網(wǎng)絡管理的工作量。而對于采用VLAN技術的網(wǎng)絡來說，一個VLAN可以根據(jù)部門職能、對象組或者應用將不同地理位置的網(wǎng)絡用戶劃分為一個邏輯網(wǎng)段。在不改動網(wǎng)絡物理連接的情況下可以任意地將工作站在工作組或子網(wǎng)之間移動。利用虛擬網(wǎng)絡技術，大大減輕了網(wǎng)絡管理和維護工作的負擔，降低了網(wǎng)絡維護費用。在一個交換網(wǎng)絡中，VLAN提供了網(wǎng)段和機構的彈性組合機制。
三層交換技術
傳統(tǒng)的路由器在網(wǎng)絡中有路由轉(zhuǎn)發(fā)、防火墻、隔離廣播等作用，而在一個劃分了VLAN以后的網(wǎng)絡中，邏輯上劃分的不同網(wǎng)段之間通信仍然要通過路由器轉(zhuǎn)發(fā)。由于在局域網(wǎng)上，不同VLAN之間的通信數(shù)據(jù)量是很大的，這樣，如果路由器要對每一個數(shù)據(jù)包都路由一次，隨著網(wǎng)絡上數(shù)據(jù)量的不斷增大，路由器將不堪重負，路由器將成為整個網(wǎng)絡運行的瓶頸。
在這種情況下，出現(xiàn)了第三層交換技術，它是將路由技術與交換技術合二為一的技術。三層交換機在對第一個數(shù)據(jù)流進行路由后，會產(chǎn)生一個MAC地址與IP地址的映射表，當同樣的數(shù)據(jù)流再次通過時，將根據(jù)此表直接從二層通過而不是再次路由，從而消除了路由器進行路由選擇而造成網(wǎng)絡的延遲，提高了數(shù)據(jù)包轉(zhuǎn)發(fā)的效率，消除了路由器可能產(chǎn)生的網(wǎng)絡瓶頸問題?？梢?，三層交換機集路由與交換于一身，在交換機內(nèi)部實現(xiàn)了路由，提高了網(wǎng)絡的整體性能。
在以三層交換機為核心的千兆網(wǎng)絡中，為保證不同職能部門管理的方便性和安全性以及整個網(wǎng)絡運行的穩(wěn)定性，可采用VLAN技術進行虛擬網(wǎng)絡劃分。VLAN子網(wǎng)隔離了廣播風暴，對一些重要部門實施了安全保護；且當某一部門物理位置發(fā)生變化時，只需對交換機進行設置，就可以實現(xiàn)網(wǎng)絡的重組，非常方便、快捷，同時節(jié)約了成本。
交換機充當?shù)慕巧?br />
交換機的好處在于其可以隔離沖突域，每個端口就是一個沖突域，因此在一個端口單獨接計算機的時候，該計算機是不會與其它計算機產(chǎn)生沖突的，也就是帶寬是獨享的，交換機能做到這一點關鍵在于其內(nèi)部的總線帶寬是足夠大的，可以滿足所有端口的全雙工狀態(tài)下的帶寬需求，并且通過類似電話交換機的機制保護不同的數(shù)據(jù)包能夠到達目的地，可以把HUB和交換機比喻成單排街道與高速公路。
IP廣播是屬于OSI的第三層，是基于TCP/IP協(xié)議的，其產(chǎn)生和原理這里就不多講了，大家可以看看TCP/IP協(xié)議方面的書籍。交換機是無法隔離廣播的，就像HUB無法隔離沖突域一樣，因為其是工作在OSI第二層的，無法分析IP包，但我們可以使用路由器來隔離廣播域，路由器的每個端口可以看成是一個廣播域，一個端口的廣播無法傳到另外一個端口（特殊設置除外），因此在規(guī)模較大，機器較多的情況下我們可以使用路由器來隔離廣播。
下面開始歸入正題。
通常，只有通過劃分子網(wǎng)才可以隔離廣播，但是VLAN的出現(xiàn)打破了這個定律，用二層的東西解決三層的問題很是奇怪，但是的確做到了。VLAN中文叫做虛擬局域網(wǎng)，它的作用就是將物理上互連的網(wǎng)絡在邏輯上劃分為多個互不相干的網(wǎng)絡，這些網(wǎng)絡之間是無法通訊的，就好像互相之間沒有連接一樣，因此廣播也就隔離開了。
VLAN的實現(xiàn)原理非常簡單，通過交換機的控制，某一VLAN成員發(fā)出的數(shù)據(jù)包交換機只發(fā)個同一VLAN的其它成員，而不會發(fā)給該VLAN成員以外的計算機。
使用VLAN的目的不僅僅是隔離廣播，還有安全和管理等方面的應用，例如將重要部門與其它部門通過VLAN隔離，即使同在一個網(wǎng)絡也可以保證他們不能互相通訊，確保重要部門的數(shù)據(jù)安全；也可以按照不同的部門、人員，位置劃分VLAN，分別賦給不同的權限來進行管理。
VLAN的劃分有很多種，我們可以按照IP地址來劃分，按照端口來劃分、按照MAC地址劃分或者按照協(xié)議來劃分，常用的劃分方法是將端口和IP地址結合來劃分VLAN，某幾個端口為一個VLAN，并為該VLAN配置IP地址，那么該VLAN中的計算機就以這個地址為網(wǎng)關，其它VLAN則不能與該VLAN處于同一子網(wǎng)。
如果兩臺交換機都有同一VLAN的計算機，怎么辦呢，我們可以通過VLAN Trunk來解決。
如果交換機1的VLAN1中的機器要訪問交換機2的VLAN1中的機器，我們可以把兩臺交換機的級聯(lián)端口設置為Trunk端口，這樣，當交換機把數(shù)據(jù)包從級聯(lián)口發(fā)出去的時候，會在數(shù)據(jù)包中做一個標記（TAG），以使其它交換機識別該數(shù)據(jù)包屬于哪一個VLAN，這樣，其它交換機收到這樣一個數(shù)據(jù)包后，只會將該數(shù)據(jù)包轉(zhuǎn)發(fā)到標記中指定的VLAN，從而完成了跨越交換機的VLAN內(nèi)部數(shù)據(jù)傳輸。VLAN Trunk目前有兩種標準，ISL和802.1q，前者是Cisco專有技術，后者則是IEEE的國際標準，除了Cisco兩者都支持外，其它廠商都只支持后者。
基于交換式以太網(wǎng)的虛擬局域網(wǎng)在交換式以太網(wǎng)中，利用VLAN技術，可以將由交換機連接成的物理網(wǎng)絡劃分成多個邏輯子網(wǎng)。也就是說，一個虛擬局域網(wǎng)中的站點所發(fā)送的廣播數(shù)據(jù)包將僅轉(zhuǎn)發(fā)至屬于同一VLAN的站點。
在交換式以太網(wǎng)中，各站點可以分別屬于不同的虛擬局域網(wǎng)。構成虛擬局域網(wǎng)的站點不拘泥于所處的物理位置，它們既可以掛接在同一個交換機中，也可以掛接在不同的交換機中。虛擬局域網(wǎng)技術使得網(wǎng)絡的拓撲結構變得非常靈活，例如位于不同樓層的用戶或者不同部門的用戶可以根據(jù)需要加入不同的虛擬局域網(wǎng)。
劃分虛擬局域網(wǎng)主要出于三種考慮：
第一是基于網(wǎng)絡性能的考慮。對于大型網(wǎng)絡，現(xiàn)在常用的Windows NetBEUI是廣播協(xié)議，當網(wǎng)絡規(guī)模很大時，網(wǎng)上的廣播信息會很多，會使網(wǎng)絡性能惡化，甚至形成廣播風暴，引起網(wǎng)絡堵塞。那怎么辦呢?可以通過劃分很多虛擬局域網(wǎng)而減少整個網(wǎng)絡范圍內(nèi)廣播包的傳輸，因為廣播信息是不會跨過VLAN的，可以把廣播限制在各個虛擬網(wǎng)的范圍內(nèi)，用術語講就是縮小了廣播域，提高了網(wǎng)絡的傳輸效率，從而提高網(wǎng)絡性能。
第二是基于安全性的考慮。因為各虛擬網(wǎng)之間不能直接進行通訊，而必須通過路由器轉(zhuǎn)發(fā)，為高級的安全控制提供了可能，增強了網(wǎng)絡的安全性。在大規(guī)模的網(wǎng)絡，比如說大的集團公司，有財務部、采購部和客戶部等，它們之間的數(shù)據(jù)是保密的，相互之間只能提供接口數(shù)據(jù)，其它數(shù)據(jù)是保密的。我們可以通過劃分虛擬局域網(wǎng)對不同部門進行隔離。
第三是基于組織結構上考慮。同一部門的人員分散在不同的物理地點，比如集團公司的財務部在各子公司均有分部，但都屬于財務部管理，雖然這些數(shù)據(jù)都是要保密的，但需統(tǒng)一結算時，就可以跨地域(也就是跨交換機)將其設在同一虛擬局域網(wǎng)之中，實現(xiàn)數(shù)據(jù)安全和共享。采用虛擬局域網(wǎng)有如下優(yōu)勢：抑制網(wǎng)絡上的廣播風暴；增加網(wǎng)絡的安全性；集中化的管理控制。
基于交換式的以太網(wǎng)要實現(xiàn)虛擬局域網(wǎng)主要有三種途徑：基于端口的虛擬局域網(wǎng)、基于MAC地址(網(wǎng)卡的硬件地址)的虛擬局域網(wǎng)和基于IP地址的虛擬局域網(wǎng)。
(1)基于端口的虛擬局域網(wǎng)
基于端口的虛擬局域網(wǎng)是最實用的虛擬局域網(wǎng)，它保持了最普通常用的虛擬局域網(wǎng)成員定義方法，配置也相當直觀簡單，就局域網(wǎng)中的站點具有相同的網(wǎng)絡地址，不同的虛擬局域網(wǎng)之間進行通信需要通過路由器。采用這種方式的虛擬局域網(wǎng)其不足之處是靈活性不好。例如，當一個網(wǎng)絡站點從一個端口移動到另外一個新的端口時，如果新端口與舊端口不屬于同一個虛擬局域網(wǎng)，則用戶必須對該站點重新進行網(wǎng)絡地址配置，否則，該站點將無法進行網(wǎng)絡通信。在基于端口的虛擬局域網(wǎng)中，每個交換端口可以屬于一個或多個虛擬局域網(wǎng)組，比較適用于連接服務器。
(2) 基于MAC地址的虛擬局域網(wǎng)
在基于MAC地址的虛擬局域網(wǎng)中，交換機對站點的MAC地址和交換機端口進行跟蹤，在新站點入網(wǎng)時根據(jù)需要將其劃歸至某一個虛擬局域網(wǎng)，而無論該站點在網(wǎng)絡中怎樣移動，由于其MAC地址保持不變，因此用戶不需要進行網(wǎng)絡地址的重新配置。這種虛擬局域網(wǎng)技術的不足之處是在站點入網(wǎng)時，需要對交換機進行比較復雜的手工配置，以確定該站點屬于哪一個虛擬局域網(wǎng)。
(3)基于IP地址的虛擬局域網(wǎng)
在基于IP地址的虛擬局域網(wǎng)中，新站點在入網(wǎng)時無需進行太多配置，交換機則根據(jù)各站點網(wǎng)絡地址自動將其劃分成不同的虛擬局域網(wǎng)。在三種虛擬局域網(wǎng)的實現(xiàn)技術中，基于IP地址的虛擬局域網(wǎng)智能化程度最高，實現(xiàn)起來也最復雜。
1、控制廣播風暴
一個VLAN就是一個邏輯廣播域，通過對VLAN的創(chuàng)建，隔離了廣播，縮小了廣播范圍，可以控制廣播風暴的產(chǎn)生。
2、提高網(wǎng)絡整體安全性
通過路由訪問列表和MAC地址分配等VLAN劃分原則，可以控制用戶訪問權限和邏輯網(wǎng)段大小，將不同用戶群劃分在不同VLAN，從而提高交換式網(wǎng)絡的整體性能和安全性。
3、網(wǎng)絡管理簡單、直觀
對于交換式以太網(wǎng)，如果對某些用戶重新進行網(wǎng)段分配，需要網(wǎng)絡管理員對網(wǎng)絡系統(tǒng)的物理結構重新進行調(diào)整，甚至需要追加網(wǎng)絡設備，增大網(wǎng)絡管理的工作量。而對于采用VLAN技術的網(wǎng)絡來說，一個VLAN可以根據(jù)部門職能、對象組或者應用將不同地理位置的網(wǎng)絡用戶劃分為一個邏輯網(wǎng)段。在不改動網(wǎng)絡物理連接的情況下可以任意地將工作站在工作組或子網(wǎng)之間移動。利用虛擬網(wǎng)絡技術，大大減輕了網(wǎng)絡管理和維護工作的負擔，降低了網(wǎng)絡維護費用。在一個交換網(wǎng)絡中，VLAN提供了網(wǎng)段和機構的彈性組合機制。
三層交換技術
傳統(tǒng)的路由器在網(wǎng)絡中有路由轉(zhuǎn)發(fā)、防火墻、隔離廣播等作用，而在一個劃分了VLAN以后的網(wǎng)絡中，邏輯上劃分的不同網(wǎng)段之間通信仍然要通過路由器轉(zhuǎn)發(fā)。由于在局域網(wǎng)上，不同VLAN之間的通信數(shù)據(jù)量是很大的，這樣，如果路由器要對每一個數(shù)據(jù)包都路由一次，隨著網(wǎng)絡上數(shù)據(jù)量的不斷增大，路由器將不堪重負，路由器將成為整個網(wǎng)絡運行的瓶頸。
在這種情況下，出現(xiàn)了第三層交換技術，它是將路由技術與交換技術合二為一的技術。三層交換機在對第一個數(shù)據(jù)流進行路由后，會產(chǎn)生一個MAC地址與IP地址的映射表，當同樣的數(shù)據(jù)流再次通過時，將根據(jù)此表直接從二層通過而不是再次路由，從而消除了路由器進行路由選擇而造成網(wǎng)絡的延遲，提高了數(shù)據(jù)包轉(zhuǎn)發(fā)的效率，消除了路由器可能產(chǎn)生的網(wǎng)絡瓶頸問題?？梢?，三層交換機集路由與交換于一身，在交換機內(nèi)部實現(xiàn)了路由，提高了網(wǎng)絡的整體性能。
在以三層交換機為核心的千兆網(wǎng)絡中，為保證不同職能部門管理的方便性和安全性以及整個網(wǎng)絡運行的穩(wěn)定性，可采用VLAN技術進行虛擬網(wǎng)絡劃分。VLAN子網(wǎng)隔離了廣播風暴，對一些重要部門實施了安全保護；且當某一部門物理位置發(fā)生變化時，只需對交換機進行設置，就可以實現(xiàn)網(wǎng)絡的重組，非常方便、快捷，同時節(jié)約了成本。
交換機充當?shù)慕巧?br />
交換機的好處在于其可以隔離沖突域，每個端口就是一個沖突域，因此在一個端口單獨接計算機的時候，該計算機是不會與其它計算機產(chǎn)生沖突的，也就是帶寬是獨享的，交換機能做到這一點關鍵在于其內(nèi)部的總線帶寬是足夠大的，可以滿足所有端口的全雙工狀態(tài)下的帶寬需求，并且通過類似電話交換機的機制保護不同的數(shù)據(jù)包能夠到達目的地，可以把HUB和交換機比喻成單排街道與高速公路。
IP廣播是屬于OSI的第三層，是基于TCP/IP協(xié)議的，其產(chǎn)生和原理這里就不多講了，大家可以看看TCP/IP協(xié)議方面的書籍。交換機是無法隔離廣播的，就像HUB無法隔離沖突域一樣，因為其是工作在OSI第二層的，無法分析IP包，但我們可以使用路由器來隔離廣播域，路由器的每個端口可以看成是一個廣播域，一個端口的廣播無法傳到另外一個端口（特殊設置除外），因此在規(guī)模較大，機器較多的情況下我們可以使用路由器來隔離廣播。
下面開始歸入正題。
通常，只有通過劃分子網(wǎng)才可以隔離廣播，但是VLAN的出現(xiàn)打破了這個定律，用二層的東西解決三層的問題很是奇怪，但是的確做到了。VLAN中文叫做虛擬局域網(wǎng)，它的作用就是將物理上互連的網(wǎng)絡在邏輯上劃分為多個互不相干的網(wǎng)絡，這些網(wǎng)絡之間是無法通訊的，就好像互相之間沒有連接一樣，因此廣播也就隔離開了。
VLAN的實現(xiàn)原理非常簡單，通過交換機的控制，某一VLAN成員發(fā)出的數(shù)據(jù)包交換機只發(fā)個同一VLAN的其它成員，而不會發(fā)給該VLAN成員以外的計算機。
使用VLAN的目的不僅僅是隔離廣播，還有安全和管理等方面的應用，例如將重要部門與其它部門通過VLAN隔離，即使同在一個網(wǎng)絡也可以保證他們不能互相通訊，確保重要部門的數(shù)據(jù)安全；也可以按照不同的部門、人員，位置劃分VLAN，分別賦給不同的權限來進行管理。
VLAN的劃分有很多種，我們可以按照IP地址來劃分，按照端口來劃分、按照MAC地址劃分或者按照協(xié)議來劃分，常用的劃分方法是將端口和IP地址結合來劃分VLAN，某幾個端口為一個VLAN，并為該VLAN配置IP地址，那么該VLAN中的計算機就以這個地址為網(wǎng)關，其它VLAN則不能與該VLAN處于同一子網(wǎng)。
如果兩臺交換機都有同一VLAN的計算機，怎么辦呢，我們可以通過VLAN Trunk來解決。
如果交換機1的VLAN1中的機器要訪問交換機2的VLAN1中的機器，我們可以把兩臺交換機的級聯(lián)端口設置為Trunk端口，這樣，當交換機把數(shù)據(jù)包從級聯(lián)口發(fā)出去的時候，會在數(shù)據(jù)包中做一個標記（TAG），以使其它交換機識別該數(shù)據(jù)包屬于哪一個VLAN，這樣，其它交換機收到這樣一個數(shù)據(jù)包后，只會將該數(shù)據(jù)包轉(zhuǎn)發(fā)到標記中指定的VLAN，從而完成了跨越交換機的VLAN內(nèi)部數(shù)據(jù)傳輸。VLAN Trunk目前有兩種標準，ISL和802.1q，前者是Cisco專有技術，后者則是IEEE的國際標準，除了Cisco兩者都支持外，其它廠商都只支持后者。
