虛擬局域網(wǎng)的實現(xiàn)方法 - 全文

　　什么是虛擬局域網(wǎng)

　　虛擬局域網(wǎng)（VLAN）是一組邏輯上的設(shè)備和用戶，這些設(shè)備和用戶并不受物理位置的限制，可以根據(jù)功能、部門及應(yīng)用等因素將它們組織起來，相互之間的通信就好像它們在同一個網(wǎng)段中一樣，由此得名虛擬局域網(wǎng)。VLAN是一種比較新的技術(shù)，工作在OSI參考模型的第2層和第3層，一個VLAN就是一個廣播域，VLAN之間的通信是通過第3層的路由器來完成的。與傳統(tǒng)的局域網(wǎng)技術(shù)相比較，VLAN技術(shù)更加靈活，它具有以下優(yōu)點：網(wǎng)絡(luò)設(shè)備的移動、添加和修改的管理開銷減少；可以控制廣播活動；可提高網(wǎng)絡(luò)的安全性。

　　在計算機網(wǎng)絡(luò)中，一個二層網(wǎng)絡(luò)可以被劃分為多個不同的廣播域，一個廣播域?qū)?yīng)了一個特定的用戶組，默認情況下這些不同的廣播域是相互隔離的。不同的廣播域之間想要通信，需要通過一個或多個路由器。這樣的一個廣播域就稱為VLAN。

　　虛擬局域網(wǎng)的工作原理

　　虛擬局域網(wǎng)的主要思想是：所有計算機組成一個大的物理局域網(wǎng)，即傳統(tǒng)局域網(wǎng)；將所有計算機設(shè)備按照功能和需求劃分為若干組，每組劃分為一個邏輯網(wǎng)段，每個邏輯網(wǎng)段是1個虛擬局域網(wǎng)；一個傳統(tǒng)局域網(wǎng)可劃分為多個邏輯網(wǎng)段，即多個VLAN；VLAN中的站點是通過軟件定義而不是硬件定義；站點可在多個VLAN之間移動；一個VLAN中的廣播信息可以被該VLAN中的站點接收，該VLAN之外的站點接收不到該廣播信息，因此VLAN和傳統(tǒng)局域網(wǎng)一樣可以隔離廣播信息；連接在不同交換機上的站點可以使用VLAN技術(shù)組成一個或多個VLAN；VLAN中的站點之間通信時就像傳統(tǒng)局域網(wǎng)一樣；VLAN之間的相互通信必通過網(wǎng)絡(luò)層協(xié)議實現(xiàn)，不能直接相互通信。

　　采用VLAN技術(shù)可以很容易地解決前面提出的問題。例如，某個單位擁有財物、開發(fā)和辦公三個部門，出于安全和管理方面的考慮，希望每個部門的計算機可以無障礙通信，部門之間的通信則需要進行控制。由于地理位置和設(shè)備限制，辦公、開發(fā)和財物部門的共用相同交換機，建成為一個傳統(tǒng)局域網(wǎng)，如圖所示

　　采用VLAN技術(shù)可以容易地實現(xiàn)。根據(jù)需求，財物、開發(fā)和辦公三個部門個分配1個VLAN，把各個部門所屬的計算機站點劃分到對應(yīng)的邏輯網(wǎng)段中形成VLAN；VLAN之間不能互相訪問，隔離廣播信息；因此可以滿足該部門的用戶需求。

　　VLAN的劃分方法

　?。?）基于交換機端口劃分基于端口劃分虛擬網(wǎng)，就是按交換機端口定義虛擬網(wǎng)成員，每個端口只能屬于一個虛擬網(wǎng)，這是一種最通用也是簡單的方法。在配置完成后，再為交換機端口分配一個虛擬網(wǎng)，使交換機的端口成為某個虛擬網(wǎng)的成員。

　?。?）基于MAC地址劃分

　　這種方法是按每個連接到交換機設(shè)備的物理地址（即MAC地址）定義虛擬網(wǎng)成員。當一個交換機端口上連接一臺集線器，在集線器上又連接了多臺設(shè)備，而這些設(shè)備需要劃入不同的虛擬網(wǎng)時，就可以使用這種方法定義虛擬網(wǎng)成員。因為它可以按用戶劃分，所以也把這種方法稱為基于用戶的虛擬網(wǎng)劃分。在使用基于MAC地址劃分時，一個交換機端El有可能屬于多個虛擬網(wǎng)，這樣端口就能接收多個虛擬網(wǎng)的廣播信息。

　　（3）基于第三層協(xié)議類型或地址劃分

　　這種方法允許按照網(wǎng)絡(luò)層協(xié)議類型組成VLAN，也可以按網(wǎng)絡(luò)地址（如TCP／IP的IP地址）定義虛擬網(wǎng)成員。這種方法的優(yōu)點是有利于組成基于應(yīng)用的虛擬網(wǎng)。

　?。?）基于MAC地址劃分

　　這種方法是按每個連接到交換機設(shè)備的物理地址（即MAC地址）定義虛擬網(wǎng)成員。當一個交換機端口上連接一臺集線器，在集線器上又連接了多臺設(shè)備，而這些設(shè)備需要劃入不同的虛擬網(wǎng)時，就可以使用這種方法定義虛擬網(wǎng)成員。因為它可以按用戶劃分，所以也把這種方法稱為基于用戶的虛擬網(wǎng)劃分。在使用基于MAC地址劃分時，一個交換機端El有可能屬于多個虛擬網(wǎng)，這樣端口就能接收多個虛擬網(wǎng)的廣播信息。

　?。?）基于第三層協(xié)議類型或地址劃分

　　這種方法允許按照網(wǎng)絡(luò)層協(xié)議類型組成VLAN，也可以按網(wǎng)絡(luò)地址（如TCP／IP的IP地址）定義虛擬網(wǎng)成員。這種方法的優(yōu)點是有利于組成基于應(yīng)用的虛擬網(wǎng)。

　　VLAN在交換機上的實現(xiàn)方法

　　1.基于端口的VLAN

　　這是最常應(yīng)用的一種VLAN劃分方法，應(yīng)用也最為廣泛、最有效，目前絕大多數(shù)VLAN協(xié)議的交換機都提供這種VLAN配置方法。這種劃分VLAN的方法是根據(jù)以太網(wǎng)交換機的交換端口來劃分的，它是將VLAN交換機上的物理端口和VLAN交換機內(nèi)部的PVC（永久虛電路）端口分成若干個組，每個組構(gòu)成一個虛擬網(wǎng)，相當于一個獨立的VLAN交換機。對于不同部門需要互訪時，可通過路由器轉(zhuǎn)發(fā)，并配合基于MAC地址的端口過濾。對某站點的訪問路徑上最靠近該站點的交換機、路由交換機或路由器的相應(yīng)端口上，設(shè)定可通過的MAC地址集。這樣就可以防止非法入侵者從內(nèi)部盜用IP地址從其他可接入點入侵的可能。

　　從這種劃分方法本身我們可以看出，這種劃分的方法的優(yōu)點是定義VLAN成員時非常簡單，只要將所有的端口都定義為相應(yīng)的VLAN組即可。適合于任何大小的網(wǎng)絡(luò)。它的缺點是如果某用戶離開了原來的端口，到了一個新的交換機的某個端口，必須重新定義。

　　2.基于MAC地址的VLAN

　　這種劃分VLAN的方法是根據(jù)每個主機的MAC地址來劃分，即對每個MAC地址的主機都配置他屬于哪個組，它實現(xiàn)的機制就是每一塊網(wǎng)卡都對應(yīng)唯一的MAC地址，VLAN交換機跟蹤屬于VLANMAC的地址。這種方式的VLAN允許網(wǎng)絡(luò)用戶從一個物理位置移動到另一個物理位置時，自動保留其所屬VLAN的成員身份。

　　由這種劃分的機制可以看出，這種VLAN的劃分方法的最大優(yōu)點就是當用戶物理位置移動時，即從一個交換機換到其他的交換機時，VLAN不用重新配置，因為它是基于用戶，而不是基于交換機的端口。這種方法的缺點是初始化時，所有的用戶都必須進行配置，如果有幾百個甚至上千個用戶的話，配置是非常累的，所以這種劃分方法通常適用于小型局域網(wǎng)。而且這種劃分的方法也導(dǎo)致了交換機執(zhí)行效率的降低，因為在每一個交換機的端口都可能存在很多個VLAN組的成員，保存了許多用戶的MAC地址，查詢起來相當不容易。另外，對于使用筆記本電腦的用戶來說，他們的網(wǎng)卡可能經(jīng)常更換，這樣VLAN就必須經(jīng)常配置。

　　3.基于網(wǎng)絡(luò)層協(xié)議的VLAN

　　VLAN按網(wǎng)絡(luò)層協(xié)議來劃分，可分為IP、IPX、DECnet、AppleTalk、Banyan等VLAN網(wǎng)絡(luò)。這種按網(wǎng)絡(luò)層協(xié)議來組成的VLAN，可使廣播域跨越多個VLAN交換機。這對于希望針對具體應(yīng)用和服務(wù)來組織用戶的網(wǎng)絡(luò)管理員來說是非常具有吸引力的。而且，用戶可以在網(wǎng)絡(luò)內(nèi)部自由移動，但其VLAN成員身份仍然保留不變。

　　這種方法的優(yōu)點是用戶的物理位置改變了，不需要重新配置所屬的VLAN，而且可以根據(jù)協(xié)議類型來劃分VLAN，這對網(wǎng)絡(luò)管理者來說很重要，還有，這種方法不需要附加的幀標簽來識別VLAN，這樣可以減少網(wǎng)絡(luò)的通信量。這種方法的缺點是效率低，因為檢查每一個數(shù)據(jù)包的網(wǎng)絡(luò)層地址是需要消耗處理時間的（相對于前面兩種方法），一般的交換機芯片都可以自動檢查網(wǎng)絡(luò)上數(shù)據(jù)包的以太網(wǎng)幀頭，但要讓芯片能檢查IP幀頭，需要更高的技術(shù)，同時也更費時。當然，這與各個廠商的實現(xiàn)方法有關(guān)。

　　4.根據(jù)IP組播的VLAN

　　IP組播實際上也是一種VLAN的定義，即認為一個IP組播組就是一個VLAN。這種劃分的方法將VLAN擴大到了廣域網(wǎng)，因此這種方法具有更大的靈活性，而且也很容易通過路由器進行擴展，主要適合于不在同一地理范圍的局域網(wǎng)用戶組成一個VLAN，不適合局域網(wǎng)，主要是效率不高。

　　5.按策略劃分的VLAN

　　基于策略組成的VLAN能實現(xiàn)多種分配方法，包括VLAN交換機端口、MAC地址、IP地址、網(wǎng)絡(luò)層協(xié)議等。網(wǎng)絡(luò)管理人員可根據(jù)自己的管理模式和本單位的需求來決定選擇哪種類型的VLAN。

　　6.按用戶定義、非用戶授權(quán)劃分的VLAN

　　基于用戶定義、非用戶授權(quán)來劃分VLAN，是指為了適應(yīng)特別的VLAN網(wǎng)絡(luò)，根據(jù)具體的網(wǎng)絡(luò)用戶的特別要求來定義和設(shè)計VLAN，而且可以讓非VLAN群體用戶訪問VLAN，但是需要提供用戶密碼，在得到VLAN管理的認證后才可以加入一個VLAN。

　　虛擬局域網(wǎng)三種實現(xiàn)方式

　　第一種實現(xiàn)方式：以端口為中心的虛擬局域網(wǎng)

　　以端口為中心的虛擬局域網(wǎng)中，虛擬局域網(wǎng)交換機的一個端口就是一個虛擬局域網(wǎng)，雖有連接在這個端口上的主機都在同一個虛擬局域網(wǎng)中。很顯然，這回使得我們的管理工作更加的容易，而且網(wǎng)絡(luò)運行也會更加的有效。

　　具體來說，這種實現(xiàn)方式有如下的優(yōu)點：

　　1、數(shù)據(jù)不會泄露到其他域

　　由于一個交換機端口就是一個獨立的局域網(wǎng)。所以，當數(shù)據(jù)在網(wǎng)絡(luò)中傳輸?shù)臅r候，交換機就不會把數(shù)據(jù)包轉(zhuǎn)發(fā)給其他的端口中。這就可以保證數(shù)據(jù)包只在自己的虛擬局域網(wǎng)中傳輸。若需要發(fā)送到其他的虛擬局域網(wǎng)中，則交換機也是先把數(shù)據(jù)發(fā)送給路由器，然后，再由路由器發(fā)送給交換機中其他的端口?？梢姡远丝跒橹行牡奶摂M局域網(wǎng)，可以有效的避免網(wǎng)絡(luò)偵聽，從而比其他的實現(xiàn)方式具有更高的安全性。

　　2、用戶由端口分配，虛擬局域網(wǎng)易于管理

　　相對于其他方式來說，以端口為中心的虛擬局域網(wǎng)中，一個交換機的端口就表示一個虛擬局域網(wǎng)。這種特性，便于我們對局域網(wǎng)進行設(shè)置與管理。因為一個端口上的主機都在一個虛擬局域網(wǎng)中，如此的話，就不需要我們做過多的配置，就可以實現(xiàn)虛擬局域網(wǎng)。而相對于其他實現(xiàn)方式來說，都需要進行一些比較繁瑣的設(shè)置，因為他們往往兩個甚至更多以上的端口是同一個虛擬局域網(wǎng)。

　　這種方式雖然易于管理，提供了比較高的安全性能，但是，其也有一些比較致命的缺陷。主要的缺陷就是不夠靈活，當用戶變動位置的時候，這種實現(xiàn)方式的變化就會比較大。如現(xiàn)在由于要開發(fā)一個產(chǎn)品，為此質(zhì)量、銷售、生產(chǎn)、采購等等組成一個臨時的項目小組，負責這個產(chǎn)品的開發(fā)。為了提高產(chǎn)品開發(fā)效率，所以把他們臨時搬到會議室進行工作。如此地理位置的變動后，他們連接的網(wǎng)線也要變了。若采用其他的實現(xiàn)方式，如動態(tài)的虛擬局域網(wǎng)，根據(jù)主機的MAC地址來判斷該用戶是屬于哪個虛擬局域網(wǎng)中，則不用進行其他的配置，就可以連接到他們以前的虛擬局域網(wǎng)中。而采用以端口為中心的虛擬局域網(wǎng)，由于會議室中網(wǎng)線的端口沒有進行調(diào)整過，則他們就不屬于他們以前的局域網(wǎng)中。這就會給他們的日常工作帶來比較大的影響。

　　第二種實現(xiàn)方式：靜態(tài)的虛擬局域網(wǎng)

　　靜態(tài)的虛擬局域網(wǎng)與以端口為中心的虛擬局域網(wǎng)類似。靜態(tài)的虛擬局域網(wǎng)是在交換機上靜態(tài)的配置，可以讓一個或者幾個交換機的端口為一個虛擬局域網(wǎng)。這些端口將一直保持著這種配置，除非網(wǎng)絡(luò)管理員人為的去改變他們?？梢?，這跟上面的這種實現(xiàn)方式的差異，主要在于前者一個端口就是一個虛擬局域網(wǎng)，而后者的話，可以通過配置實現(xiàn)幾個端口是同一個虛擬局域網(wǎng)。這種差異，可以減少當用戶位置改變時或者當公司組織結(jié)構(gòu)發(fā)生改變時的管理成本。

　　如有家企業(yè)，隨著公司規(guī)模的擴大，產(chǎn)品研發(fā)部門人數(shù)也隨之增加。后來研發(fā)部門下面分成了兩個組，一個是產(chǎn)品開發(fā)組，另外一個是供應(yīng)商開發(fā)組。他們雖然在兩個不同的辦公室，但是都屬于同一個部門。而現(xiàn)在產(chǎn)品開發(fā)組的網(wǎng)絡(luò)通過集線器連接到交換機的一個端口上;供應(yīng)商開發(fā)組的網(wǎng)路連接到另外一個端口上。若是采用以端口為中心的實現(xiàn)方式的話則可能就需要額外的添加一個額外的物理層局域網(wǎng)交換機，把他們兩個組的網(wǎng)絡(luò)連接到同一個虛擬局域網(wǎng)中。但是，若采用靜態(tài)的虛擬局域網(wǎng)的話，則不需要添置其他的硬件設(shè)備，而只需要在虛擬局域網(wǎng)交換機上，把他們所連接的兩個端口設(shè)置為同一個虛擬局域網(wǎng)即可。很明顯，靜態(tài)虛擬局域網(wǎng)能夠比較適應(yīng)組織結(jié)構(gòu)的變動，它應(yīng)對這種情況的管理成本相對比較低廉一些。

　　但是，靜態(tài)局域網(wǎng)他也有一定的缺陷。主要在于對一些移動用戶無法作出靈活的調(diào)整。如現(xiàn)在財務(wù)經(jīng)理有一臺筆記本電腦，當開部門管理層會議的時候，財務(wù)經(jīng)理需要在會議室中連接到他所在的網(wǎng)絡(luò)，訪問其他財務(wù)人員的共享文件。同理，產(chǎn)品研發(fā)部門經(jīng)理也需要訪問他們部門的共享文件。但是，根據(jù)靜態(tài)虛擬局域網(wǎng)的特征，會議室的網(wǎng)線所連接端口在同一時間中只能屬于同一個虛擬局域網(wǎng)。除非在會議室中部屬很多的網(wǎng)線并且分屬于不同的端口;或者說當用戶改變的時候網(wǎng)絡(luò)管理員手工的更改端口配置。但是，無論是哪一種實現(xiàn)方式，其管理成本都是比較高的，管理工作量也比較大。

　　第三種實現(xiàn)方式：動態(tài)的虛擬局域網(wǎng)

　　當企業(yè)員工在公司內(nèi)部到處走動，在任何一個位置上都能夠連接到自己所在的虛擬局域網(wǎng)的話，則采用動態(tài)的虛擬局域網(wǎng)是最佳的選擇。其實，隨著無線網(wǎng)絡(luò)在公司內(nèi)部的普及，這種需求對于企業(yè)來說，也越來越普遍。

　　這種實現(xiàn)方式的好處就是可以應(yīng)對用戶位置的地理變化。當用戶在公司內(nèi)部移動時，我們網(wǎng)絡(luò)管理員基本上不用為他們做額外的配置與管理。虛擬局域網(wǎng)交換機會根據(jù)用戶主機的MAC地址或者IP地址，來自我的進行調(diào)整。

　　不過這種方式也有一個比較大的缺陷，就是前期的維護工作量比較大。如在虛擬局域網(wǎng)配置的時候，要把公司所有主機的MAC地址跟其所屬的虛擬局域網(wǎng)對應(yīng)起來。當公司中新添加主機的時候，也需要調(diào)整交換機中的這個對應(yīng)表。天下沒有白吃的午餐。要在后續(xù)的維護工作中省心的話，則在前期虛擬局域網(wǎng)規(guī)劃中，就要多花點功夫了。