supervlan学习Word文件下载.docx
- 文档编号:18332452
- 上传时间:2022-12-15
- 格式:DOCX
- 页数:13
- 大小:58.91KB
supervlan学习Word文件下载.docx
《supervlan学习Word文件下载.docx》由会员分享,可在线阅读,更多相关《supervlan学习Word文件下载.docx(13页珍藏版)》请在冰豆网上搜索。
由于需要一个个端口地指定,因此当网络中的计算机数目超过一定数字(比如数百台)后,设定操作就会变得烦杂无比。
并且,客户机每次变更所连端口,都必须同时更改该端口所属VLAN的设定——这显然不适合那些需要频繁改变拓补结构的网络。
动态VLAN
另一方面,动态VLAN则是根据每个端口所连的计算机,随时改变端口所属的VLAN。
这就可以避免上述的更改设定之类的操作。
动态VLAN可以大致分为3类:
l基于MAC地址的VLAN(MACBasedVLAN)
l基于子网的VLAN(SubnetBasedVLAN)
l基于用户的VLAN(UserBasedVLAN)
其间的差异,主要在于根据OSI参照模型哪一层的信息决定端口所属的VLAN。
基于MAC地址的VLAN,就是通过查询并记录端口所连计算机上网卡的MAC地址来决定端口的所属。
假定有一个MAC地址“A”被交换机设定为属于VLAN“10”,那么不论MAC地址为“A”的这台计算机连在交换机哪个端口,该端口都会被划分到VLAN10中去。
计算机连在端口1时,端口1属于VLAN10;
而计算机连在端口2时,则是端口2属于VLAN10。
由于是基于MAC地址决定所属VLAN的,因此可以理解为这是一种在OSI的第二层设定访问链接的办法。
但是,基于MAC地址的VLAN,在设定时必须调查所连接的所有计算机的MAC地址并加以登录。
而且如果计算机交换了网卡,还是需要更改设定。
基于子网的VLAN,则是通过所连计算机的IP地址,来决定端口所属VLAN的。
不像基于MAC地址的VLAN,即使计算机因为交换了网卡或是其他原因导致MAC地址改变,只要它的IP地址不变,就仍可以加入原先设定的VLAN。
因此,与基于MAC地址的VLAN相比,能够更为简便地改变网络结构。
IP地址是OSI参照模型中第三层的信息,所以我们可以理解为基于子网的VLAN是一种在OSI的第三层设定访问链接的方法。
基于用户的VLAN,则是根据交换机各端口所连的计算机上当前登录的用户,来决定该端口属于哪个VLAN。
这里的用户识别信息,一般是计算机操作系统登录的用户,比如可以是Windows域中使用的用户名。
这些用户名信息,属于OSI第四层以上的信息。
总的来说,决定端口所属VLAN时利用的信息在OSI中的层面越高,就越适于构建灵活多变的网络。
访问链接的总结
综上所述,设定访问链接的手法有静态VLAN和动态VLAN两种,其中动态VLAN又可以继续细分成几个小类。
其中基于子网的VLAN和基于用户的VLAN有可能是网络设备厂商使用独有的协议实现的,不同厂商的设备之间互联有可能出现兼容性问题;
因此在选择交换机时,一定要注意事先确认。
VLAN,是英文VirtualLocalAreaNetwork的缩写,中文名为"
虚拟局域网"
,VLAN是一种将局域网(LAN)设备从逻辑上划分(注意,不是从物理上划分)成一个个网段(或者说是更小的局域网LAN),从而实现虚拟工作组(单元)的数据交换技术。
VLAN这一新兴技术主要应用于交换机和路由器中,但目前主流应用还是在交换机之中。
不过不是所有交换机都具有此功能,只有三层以上交换机才具有此功能,这一点可以查看相应交换机的说明书即可得知。
VLAN的好处主要有三个:
(1)端口的分隔。
即便在同一个交换机上,处于不同VLAN的端口也是不能通信的。
这样一个物理的交换机可以当作多个逻辑的交换机使用。
(2)网络的安全。
不同VLAN不能直接通信,杜绝了广播信息的不安全性。
(3)灵活的管理。
更改用户所属的网络不必换端口和连线,只更改软件配置就可以了。
VLAN技术的出现,使得管理员根据实际应用需求,把同一物理局域网内的不同用户逻辑地划分成不同的广播域,每一个VLAN都包含一组有着相同需求的计算机工作站,与物理上形成的LAN有着相同的属性。
由于它是从逻辑上划分,而不是从物理上划分,所以同一个VLAN内的各个工作站没有限制在同一个物理范围中,即这些工作站可以在不同物理LAN网段。
由VLAN的特点可知,一个VLAN内部的广播和单播流量都不会转发到其他VLAN中,从而有助于控制流量、减少设备投资、简化网络管理、提高网络的安全性。
VLAN除了能将网络划分为多个广播域,从而有效地控制广播风暴的发生,以及使网络的拓扑结构变得非常灵活的优点外,还可以用于控制网络中不同部门、不同站点之间的互相访问。
VLAN在交换机上的实现方法,可以大致划分为六类:
1.基于端口的VLAN
这是最常应用的一种VLAN划分方法,应用也最为广泛、最有效,目前绝大多数VLAN协议的交换机都提供这种VLAN配置方法。
这种划分VLAN的方法是根据以太网交换机的交换端口来划分的,它是将VLAN交换机上的物理端口和VLAN交换机内部的PVC(永久虚电路)端口分成若干个组,每个组构成一个虚拟网,相当于一个独立的VLAN交换机。
对于不同部门需要互访时,可通过路由器转发,并配合基于MAC地址的端口过滤。
对某站点的访问路径上最靠近该站点的交换机、路由交换机或路由器的相应端口上,设定可通过的MAC地址集。
这样就可以防止非法入侵者从内部盗用IP地址从其他可接入点入侵的可能。
从这种划分方法本身我们可以看出,这种划分的方法的优点是定义VLAN成员时非常简单,只要将所有的端口都定义为相应的VLAN组即可。
适合于任何大小的网络。
它的缺点是如果某用户离开了原来的端口,到了一个新的交换机的某个端口,必须重新定义。
2.基于MAC地址的VLAN
这种划分VLAN的方法是根据每个主机的MAC地址来划分,即对每个MAC地址的主机都配置他属于哪个组,它实现的机制就是每一块网卡都对应唯一的MAC地址,VLAN交换机跟踪属于VLANMAC的地址。
这种方式的VLAN允许网络用户从一个物理位置移动到另一个物理位置时,自动保留其所属VLAN的成员身份。
由这种划分的机制可以看出,这种VLAN的划分方法的最大优点就是当用户物理位置移动时,即从一个交换机换到其他的交换机时,VLAN不用重新配置,因为它是基于用户,而不是基于交换机的端口。
这种方法的缺点是初始化时,所有的用户都必须进行配置,如果有几百个甚至上千个用户的话,配置是非常累的,所以这种划分方法通常适用于小型局域网。
而且这种划分的方法也导致了交换机执行效率的降低,因为在每一个交换机的端口都可能存在很多个VLAN组的成员,保存了许多用户的MAC地址,查询起来相当不容易。
另外,对于使用笔记本电脑的用户来说,他们的网卡可能经常更换,这样VLAN就必须经常配置。
3.基于网络层协议的VLAN
VLAN按网络层协议来划分,可分为IP、IPX、DECnet、AppleTalk、Banyan等VLAN网络。
这种按网络层协议来组成的VLAN,可使广播域跨越多个VLAN交换机。
这对于希望针对具体应用和服务来组织用户的网络管理员来说是非常具有吸引力的。
而且,用户可以在网络内部自由移动,但其VLAN成员身份仍然保留不变。
这种方法的优点是用户的物理位置改变了,不需要重新配置所属的VLAN,而且可以根据协议类型来划分VLAN,这对网络管理者来说很重要,还有,这种方法不需要附加的帧标签来识别VLAN,这样可以减少网络的通信量。
这种方法的缺点是效率低,因为检查每一个数据包的网络层地址是需要消耗处理时间的(相对于前面两种方法),一般的交换机芯片都可以自动检查网络上数据包的以太网帧头,但要让芯片能检查IP帧头,需要更高的技术,同时也更费时。
当然,这与各个厂商的实现方法有关。
4.根据IP组播的VLAN
IP组播实际上也是一种VLAN的定义,即认为一个IP组播组就是一个VLAN。
这种划分的方法将VLAN扩大到了广域网,因此这种方法具有更大的灵活性,而且也很容易通过路由器进行扩展,主要适合于不在同一地理范围的局域网用户组成一个VLAN,不适合局域网,主要是效率不高。
5.按策略划分的VLAN
基于策略组成的VLAN能实现多种分配方法,包括VLAN交换机端口、MAC地址、IP地址、网络层协议等。
网络管理人员可根据自己的管理模式和本单位的需求来决定选择哪种类型的VLAN。
6.按用户定义、非用户授权划分的VLAN
基于用户定义、非用户授权来划分VLAN,是指为了适应特别的VLAN网络,根据具体的网络用户的特别要求来定义和设计VLAN,而且可以让非VLAN群体用户访问VLAN,但是需要提供用户密码,在得到VLAN管理的认证后才可以加入一个VLAN。
VLAN(VirtualLocalAreaNetwork)的中文名为"
。
VLAN是一种将局域网设备从逻辑上划分成一个个网段,从而实现虚拟工作组的新兴数据交换技术。
这一新兴技术主要应用于交换机和路由器中,但主流应用还是在交换机之中。
但又不是所有交换机都具有此功能,只有VLAN协议的第三层以上交换机才具有此功能,这一点可以查看相应交换机的说明书即可得知。
广播域
什么是广播域、冲突域
冲突域(collisiondomain),所有直接连接在一起的,而且必须竞争以太网总线的节点都可以认为是处在同一个冲突域中,广播域(broadcastdomain),广播域是一个逻辑上的计算机组,该组内的所有计算机都会收到同样的广播信息。
冲突域和广播域这2个都是局域网的知识.所谓的冲突域,我用最简单的比方告诉你,比方你在一个小区里面,这个小区有5个住户,但是你们公用一条路出去,而且这条路每次只能一个住户使用,每个人要出去的时间都是不确定的,正如局域网谁要发送数据是不确定的一样.随时都有可能发生冲突,这样的一个区域就叫做冲突域。
广播域那就更好理解了,就是在一个区域里面,就比如中学生做广播体操,在操场的那个区域里面,每个人在那个时候都能听见广播,即使你不想听但是也是能听得到,这样的区域就叫成广播域。
(广播域会造成带宽的浪费,当然路由器能解决这个问题.)。
冲突域:
在同一个冲突域中的每一个节点都能收到所有被发送的帧
广播域:
网络中能接收任一设备发出的广播帧的所有设备的集合
冲突域是基于第一层(物理层)
广播域是机于第二层(数据链路层)
广播域就是说如果站点发出一个广播信号后能接收到这个信号的范围。
通常来说一个局域网就是一个广播域。
一个站点向另一个站点发出信号。
除目的站点外,有多少站点能收到这个信号。
这些站点就构成一个冲突域。
HUB所有端口都在同一个广播域,冲突域内。
Swith所有端口都在同一个广播域内,而每一个端口就是一个冲突域。
冲突域(物理分段):
连接在同一导线上的所有工作站的集合,或者说是同一物理网段上所有节点的集合或以太网上竞争同一带宽的节点集合。
这个域代表了冲突在其中发生并传播的区域,这个区域可以被认为是共享段。
在OSI模型中,冲突域被看作是第一层的概念,连接同一冲突域的设备有Hub,Reperter或者其他进行简单复制信号的设备。
也就是说,用Hub或者Repeater连接的所有节点可以被认为是在同一个冲突域内,它不会划分冲突域。
而第二层设备(网桥,交换机)第三层设备(路由器)都可以划分冲突域的,当然也可以连接不同的冲突域。
简单的说,可以将Repeater等看成是一根电缆,而将网桥等看成是一束电缆。
接收同样广播消息的节点的集合。
如:
在该集合中的任何一个节点传输一个广播帧,则所有其他能收到这个帧的节点都被认为是该广播帧的一部分。
由于许多设备都极易产生广播,所以如果不维护,就会消耗大量的带宽,降低网络的效率。
由于广播域被认为是OSI中的第二层概念,所以象Hub,交换机等第一,第二层设备连接的节点被认为都是在同一个广播域。
而路由器,第三层交换机则可以划分广播域,即可以连接不同的广播域。
注:
一个VLAN是一个广播域,VLAN可以隔离广播,划分VLAN的其中的一个目的就是隔离广播。
下面我将这三种网络设备打个通俗的比喻来帮助理解:
局域网好比一栋大楼,每个人(好比主机)有自己的房间(房间就好比网卡,房号就是物理地址,即MAC地址),里面的人(主机)人手一个对讲机,由于工作在同一频道,所以一个人说话,其他人都能听到,这就是广播(向所有主机发送信息包),只有目标才会回应,其他人虽然听见但是不理(丢弃包),而这些能听到广播的所有对讲机设备就够成了一个广播域。
而这些对讲机就是集线器(HUB),每个对讲机都像是集线器上的端口,大家都知道对讲机在说话时是不能收听的,必须松开对讲键才能收听,这种同一时刻只能收或者发的工作模式就是半双工。
而且对讲机同一时刻只能有一个人说话才能听清楚,如果两个或者更多的人一起说就会产生冲突,都没法听清楚,所以这就构成了一个冲突域。
广播域(Broadcastdomain):
网络中的一组设备的集合。
即同一广播包能到达的所有设备成为一个广播域。
当这些设备中的一个发出一个广播时,所有其他的设备都能接收到这个广播帧。
HUB和SWITCH的所有端口都是在一个广播域里,路由器上的每个端口自成一个广播域。
有一天楼里的人受不了这种低效率的通信了,所以升级了设备,换成每人一个内线电话(交换机SWITCH,每个电话都相当于交换机上的一个端口),每人都有一个内线号码(逻辑地址即IP地址)。
(这里要额外说一下IP地址和MAC地址转译的问题,常见的二层交换机只识别MAC地址,它内置一个MAC地址表,并不断维护和更新它,来确定哪个端口对应那台主机的MAC地址,而我们所用的通信软件都是基于IP的,IP地址和MAC地址的转换工作,就由ARP地址解析协议来完成。
)在最开始时,没人知道哪个号码对应哪个人,所以要想打电话给某个人得先广播一下:
“xxx,你的号码是多少?
”“我的号码是xxxx”。
这样你就有了目标的号码,所有的内线号码就是通过这种方式不断加入电话簿中(交换机的MAC地址表),下次可以直接拨到他的分机号码上去而不用广播了。
大家都知道电话是点对点的通信设备,不会影响到其他人,起冲突的只会限制在本地,一个电话号码的线路相当于一个冲突域,只有再串连分机时,分机和主机之间才会有冲突的发生,这个冲突不会影响到外面其他的电话。
而电话号码就像是交换机上的端口号,也就是说交换机上每个端口自成一个冲突域,所以整个大的冲突域被分割成若干的小冲突域了。
而且,电话在接听的同时可以说话,这样的工作模式就是全双工。
这就是交换机比集线器性能更好的原因之一。
对冲突域、广播域的再理解对冲突域、广播域的再理解
集线器-------集线器也叫Hub,工作在物理层(最底层),没有相匹配的软件系统,是纯硬件设备。
集线器主要用来连接计算机等网络终端。
集线器为共享式带宽,连接在集线器上的任何一个设备发送数据时,其他所有设备必须等待,此设备享有全部带宽,通讯完毕,再由其他设备使用带宽。
正因此,集线器连接了一个冲突域的网络。
所有设备相互交替使用,就好象大家一起过一根独木桥一样。
集线器不能判断数据包的目的地和类型,所以如果是广播数据包也依然转发,而且所有设备发出数据以广播方式发送到每个接口,这样集线器也连接了一个广播域的网络。
交换机-------交换机Switch,工作在数据链路层(第二层),稍微高端一点的交换机都有一个操作系统来支持。
和集线器一样主要用于连接计算机等网络终端设备。
交换机比集线器更加先进,允许连接在交换机上的设备并行通讯,好比高速公路上的汽车并行行使一般,设备间通讯不会再发生冲突,因此交换机打破了冲突域,交换机每个接口是一个冲突域,不会与其他接口发生通讯冲突。
并且有系统的交换机可以记录MAC地址表,发送的数据不会再以广播方式发送到每个接口,而是直接到达目的接口,节省了接口带宽。
但是交换机和集线器一样不能判断广播数据包,会把广播发送到全部接口,所以交换机和集线器一样连接了一个广播域网络。
高端一点的交换机不仅可以记录MAC地址表,还可以划分VLAN(虚拟局域网)来隔离广播,但是VLAN间也同样不能通讯。
要使VLAN间能够通讯,必须有三层设备介入。
集线器:
纯硬件、用于连接网络终端、不能打破冲突域和广播域。
交换机:
拥有软件系统、用于连接网络终端、能够打破冲突域,但是不能分割广播域。
广播域(BroadcastDomain)是一个逻辑上的计算机组,该组内的所有计算机都会收到同样的广播信息。
冲突域:
广播域:
冲突域是基于第一层(物理层)
广播域是基于第二层(链路层)
广播域就是说如果站点发出一个广播信号后能接收到这个信号的范围。
广播域内所有的设备都必须监听所有的广播包,如果广播域太大了,用户的带宽就小了,并且需要处理更多的广播,网络响应时间将会长到让人无法容忍的地步。
HUB(集线器)所有端口都在同一个广播域,冲突域内。
所以HUB不能分割冲突域和广播域。
默认情况下Switch所有端口都在同一个广播域内,而每一个端口就是一个冲突域。
所以交换机能分割冲突域,但分割不了广播域。
Vlan技术可以隔离广播域。
Router的每个端口属于不同的广播域。
也可以这么理解。
HUB属于第一层设备所以分割不了冲突域,交换机和网桥属于第二层设备所以能分割冲突域,路由器属于第三层设备,所以既能分割冲突域又能分割广播域。
冲突域消耗带宽浪费资源,比如A,B,C三台主机处于同一个冲突域,若A和B在同一时刻发送数据,则同时延迟一段时间后再各自发送。
这明显浪费了时间和带宽。
SuperVLAN概念
SuperVLAN又称为VLAN聚合(VLANAggregation),其原理是一个SuperVLAN包含多个SubVLAN,每个SubVLAN是一个广播域,不同SubVLAN之间二层相互隔离。
SuperVLAN可以配置三层接口,SubVLAN不能配置三层接口。
当SubVLAN内的用户需要进行三层通信时,将使用SuperVLAN三层接口的IP地址作为网关地址,这样多个SubVLAN共用一个IP网段,从而节省了IP地址资源。
同时,为了实现不同SubVLAN间的三层互通及SubVLAN与其他网络的互通,需要利用ARP代理功能。
通过ARP代理可以进行ARP请求和响应报文的转发与处理,从而实现了二层隔离端口间的三层互通。
supervlan是节省IP地址的.可以让不同VLAN的网关使用同一个IP.而这个IP就是SUPERVLAN的IP,它是逻辑上的VLAN,它是不需要把端口加到这个VLAN里的,下面的不同的VLAN都可以看做是它的子VLAN,这些子VLAN是物理的,要加端口才能激活的.只要有一个子VLAN是激活的,那么SUPERVLAN就是激活的.
PVLAN是节省VLAN数的.PVLAN把一个VLAN划分成若干个子VLAN,每个VLAN都是物理的,都是要加入实际的端口才能激活的.
两者是有区别的,应用在不同场合.当目前已经用的比较少了,因为有更先进的QinQ技术,可以给一个数据打2层的VLAN标记.
supervlan可以实现同一个VLAN内的端口间的隔离
当然,前提是交换机支持VLAN聚合。
现在一般的三层交换机都支持,对用户作用也很大。
一旦我们使用VLAN聚合功能,就允许客户端在同一子网里使用不同的广播域,但是这些客户端使用的还是同一个路由接口,从而达到增强IP地址利用率的目的。
可以跟VLAN做比较,通常一个VLAN,一个子网,也即一个广播域,一个路由接口(本文中谈的都是三层VLAN),而VLAN聚合则把一个子网段分成地址段,即几个广播域,IP地址和路由接口都不变,至于子网段之间的通讯与否,可以根据需要设置。
使用VLAN聚合时,超VLAN可以定义一个任意IP地址,但是没有自己的成员端口,端口都是指定在子VLAN中。
子VLAN作为超VLAN的成员,并没有自己的IP地址,而是使用超VLAN的IP地址作为自己的路由接口地址。
通常,客户端都是指定在子VLAN内,我们可以在子VLAN中有选择的分配给一些地址段,前提是这些地址段必须在超VLAN的子网范围内,以便于我们更好的管理IP地址。
当然,根据需要,我们可以控制各子VLAN之间是否需要通讯。
我们平时使用时,子VLAN可以很小,但是必须要为今后网络的扩容而且不重新定义子网的情况留下空间,
假如不使用VLAN聚合,即通常使用VLAN的情况,每个VLAN需要一个路由接口地址,并且需要大的子网。
结果是不能有效的利用IP地址,造成浪费。
VLAN聚合是VLAN的一项比较独特的功能,在使用中有如下特性:
●所有广播包和未知流量都局限在子VLAN内部,不会跨越子VLAN边界。
子VLAN内部的所有流量只在子VLAN内部交换,这样可以有效的隔离子VLAN之间的流量。
●客户端即主机都放置在子VLAN内。
在超VLAN的路由接口地址范围内,每台主机可以任意设置一个IP地址。
在子VLAN内的每台主机的子网掩码都是和超VLAN定义的子网掩码相同,并且他们的路由地址即网关就是超VLAN的路由接口地址。
●子VLAN之间的所有流量都是通过超VLAN来路由的。
例如,在子VLAN间不会有ICMP重定向产生,因为超VLAN为子VLAN进行了路由。
当一个子VLAN加入到超VLAN中时,在IP arp表中会自动加入一个arp表项,这就使得IP单播包可以穿越子VLAN。
为安全起见,我们可以关闭掉这项功能。
●当超VLAN启用组播路由协议时,子VLAN间的IP组播流量将被路由。
当然,VLAN聚合也有
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- supervlan 学习
![提示](https://static.bdocx.com/images/bang_tan.gif)