交換機:VLAN支援

最近又要測試伺服器了，涉及到了一些伺服器方面的知識，順便補充下!

VLAN，是英文Virtual Local Area Network的縮寫，中文名為"虛拟區域網路"， VLAN是一種将區域網路（LAN）裝置從邏輯上劃分（注意，不是從實體上劃分）成一個個網段（或者說是更小的區域網路LAN），進而實作虛拟工作組（單元）的資料交換技術。

    VLAN這一新興技術主要應用于交換機和路由器中，但目前主流應用還是在交換機之中。不過不是所有交換機都具有此功能，隻有三層以上交換機才具有此功能，這一點可以檢視相應交換機的說明書即可得知。VLAN的好處主要有三個：

    (1)端口的分隔。即便在同一個交換機上，處于不同VLAN的端口也是不能通信的。這樣一個實體的交換機可以當作多個邏輯的交換機使用。

    (2)網絡的安全。不同VLAN不能直接通信，杜絕了廣播資訊的不安全性。

    (3)靈活的管理。更改使用者所屬的網絡不必換端口和連線，隻更改軟體配置就可以了。

    VLAN技術的出現，使得管理者根據實際應用需求，把同一實體區域網路内的不同使用者邏輯地劃分成不同的廣播域，每一個VLAN都包含一組有着相同需求的計算機工作站，與實體上形成的LAN有着相同的屬性。由于它是從邏輯上劃分，而不是從實體上劃分，是以同一個VLAN内的各個工作站沒有限制在同一個實體範圍中，即這些工作站可以在不同實體LAN網段。由VLAN的特點可知，一個VLAN内部的廣播和單點傳播流量都不會轉發到其他VLAN中，進而有助于控制流量、減少裝置投資、簡化網絡管理、提高網絡的安全性。 VLAN除了能将網絡劃分為多個廣播域，進而有效地控制廣播風暴的發生，以及使網絡的拓撲結構變得非常靈活的優點外，還可以用于控制網絡中不同部門、不同站點之間的互相通路。

IEEE于1999年頒布了用以标準化VLAN實作方案的802.1Q協定标準草案。VLAN技術的出現，使得管理者根據實際應用需求，把同一實體區域網路内的不同使用者邏輯地劃分成不同的廣播域，每一個VLAN都包含一組有着相同需求的計算機工作站，與實體上形成的LAN有着相同的屬性。由于它是從邏輯上劃分，而不是從實體上劃分，是以同一個VLAN内的各個工作站沒有限制在同一個實體範圍中，即這些工作站可以在不同實體LAN網段。由VLAN的特點可知，一個VLAN内部的廣播和單點傳播流量都不會轉發到其他VLAN中，進而有助于控制流量、減少裝置投資、簡化網絡管理、提高網絡的安全性。

　　交換技術的發展，也加快了新的交換技術（VLAN）的應用速度。通過将企業網絡劃分為虛拟網絡VLAN網段，可以強化網絡管理和網絡安全，控制不必要的資料廣播。在共享網絡中，一個實體的網段就是一個廣播域。而在交換網絡中，廣播域可以是有一組任意標明的第二層網絡位址（MAC位址）組成的虛拟網段。這樣，網絡中工作組的劃分可以突破共享網絡中的地理位置限制，而完全根據管理功能來劃分。這種基于工作流的分組模式，大大提高了網絡規劃和重組的管理功能。在同一個VLAN中的工作站，不論它們實際與哪個交換機連接配接，它們之間的通訊就好象在獨立的交換機上一樣。同一個VLAN中的廣播隻有VLAN中的成員才能聽到，而不會傳輸到其他的 VLAN中去，這樣可以很好的控制不必要的廣播風暴的産生。同時，若沒有路由的話，不同VLAN之間不能互相通訊，這樣增加了企業網絡中不同部門之間的安全性。網絡管理者可以通過配置VLAN之間的路由來全面管理企業内部不同管理單元之間的資訊互訪。交換機是根據使用者工作站的MAC位址來劃分VLAN的。是以，使用者可以自由的在企業網絡中移動辦公，不論他在何處接入交換網絡，他都可以與VLAN内其他使用者自如通訊。

　　VLAN網絡可以是有混合的網絡類型裝置組成，比如：10M以太網、100M以太網、令牌網、FDDI、CDDI等等，可以是工作站、伺服器、集線器、網絡上行主幹等等。

　　VLAN除了能将網絡劃分為多個廣播域，進而有效地控制廣播風暴的發生，以及使網絡的拓撲結構變得非常靈活的優點外，還可以用于控制網絡中不同部門、不同站點之間的互相通路。 　　VLAN是為解決以太網的廣播問題和安全性而提出的一種協定，它在以太網幀的基礎上增加了VLAN頭，用VLAN ID把使用者劃分為更小的工作組，限制不同工作組間的使用者互訪，每個工作組就是一個虛拟區域網路。虛拟區域網路的好處是可以限制廣播範圍，并能夠形成虛拟工作組，動态管理網絡。

　　

    VLAN在交換機上的實作方法，可以大緻劃分為六類:

    1. 基于端口的VLAN

    這是最常應用的一種VLAN劃分方法，應用也最為廣泛、最有效，目前絕大多數VLAN協定的交換機都提供這種VLAN配置方法。這種劃分VLAN的方法是根據以太網交換機的交換端口來劃分的，它是将VLAN交換機上的實體端口和VLAN交換機内部的PVC（永久虛電路）端口分成若幹個組，每個組構成一個虛拟網，相當于一個獨立的VLAN交換機。

    對于不同部門需要互訪時，可通過路由器轉發，并配合基于MAC位址的端口過濾。對某站點的通路路徑上最靠近該站點的交換機、路由交換機或路由器的相應端口上，設定可通過的MAC位址集。這樣就可以防止非法入侵者從内部盜用IP位址從其他可接入點入侵的可能。

    從這種劃分方法本身我們可以看出，這種劃分的方法的優點是定義VLAN成員時非常簡單，隻要将所有的端口都定義為相應的VLAN組即可。适合于任何大小的網絡。它的缺點是如果某使用者離開了原來的端口，到了一個新的交換機的某個端口，必須重新定義。

    2. 基于MAC位址的VLAN

    這種劃分VLAN的方法是根據每個主機的MAC位址來劃分，即對每個MAC位址的主機都配置他屬于哪個組，它實作的機制就是每一塊網卡都對應唯一的MAC位址，VLAN交換機跟蹤屬于VLAN MAC的位址。這種方式的VLAN允許網絡使用者從一個實體位置移動到另一個實體位置時，自動保留其所屬VLAN的成員身份。

    由這種劃分的機制可以看出，這種VLAN的劃分方法的最大優點就是當使用者實體位置移動時，即從一個交換機換到其他的交換機時，VLAN不用重新配置，因為它是基于使用者，而不是基于交換機的端口。這種方法的缺點是初始化時，所有的使用者都必須進行配置，如果有幾百個甚至上千個使用者的話，配置是非常累的，是以這種劃分方法通常适用于小型區域網路。而且這種劃分的方法也導緻了交換機執行效率的降低，因為在每一個交換機的端口都可能存在很多個VLAN組的成員，儲存了許多使用者的MAC位址，查詢起來相當不容易。另外，對于使用筆記本電腦的使用者來說，他們的網卡可能經常更換，這樣VLAN就必須經常配置。

    3. 基于網絡層協定的VLAN

    VLAN按網絡層協定來劃分，可分為IP、IPX、DECnet、AppleTalk、Banyan等VLAN網絡。這種按網絡層協定來組成的VLAN，可使廣播域跨越多個VLAN交換機。這對于希望針對具體應用和服務來組織使用者的網絡管理者來說是非常具有吸引力的。而且，使用者可以在網絡内部自由移動，但其VLAN成員身份仍然保留不變。

    這種方法的優點是使用者的實體位置改變了，不需要重新配置所屬的VLAN，而且可以根據協定類型來劃分VLAN，這對網絡管理者來說很重要，還有，這種方法不需要附加的幀标簽來識别VLAN，這樣可以減少網絡的通信量。這種方法的缺點是效率低，因為檢查每一個資料包的網絡層位址是需要消耗處理時間的(相對于前面兩種方法)，一般的交換機晶片都可以自動檢查網絡上資料包的以太網幀頭，但要讓晶片能檢查IP幀頭，需要更高的技術，同時也更費時。當然，這與各個廠商的實作方法有關。

     4. 根據IP多點傳播的VLAN

    IP 多點傳播實際上也是一種VLAN的定義，即認為一個IP多點傳播組就是一個VLAN。這種劃分的方法将VLAN擴大到了廣域網，是以這種方法具有更大的靈活性，而且也很容易通過路由器進行擴充，主要适合于不在同一地理範圍的區域網路使用者組成一個VLAN，不适合區域網路，主要是效率不高。

    5. 按政策劃分的VLAN

    基于政策組成的VLAN能實作多種配置設定方法，包括VLAN交換機端口、MAC位址、IP位址、網絡層協定等。網絡管理人員可根據自己的管理模式和本機關的需求來決定選擇哪種類型的VLAN 。

    6. 按使用者定義、非使用者授權劃分的VLAN