早在1999年6月，VLAN的技术标准IEEE 802.1Q就由IEEE成员正式颁布实施，最早的VLNA技术由Cisco在1996年提出。
随着近几年的发展，VLAN技术得到了广泛的支持，广泛应用于大大小小的企业网络中，并且已经成为最流行的以太局域网技术。
本文将介绍交换机最常见的技术应用之一——VLAN技术，并以VLAN在中小型局域网络中的网络配置为例，简要介绍其配置方法。
01虚拟局域网基础
VLAN(虚拟局域网)的中文名字是虚拟局域网注意，不是虚拟专用网(虚拟专用网络)。
VLAN是一种新的数据交换技术，将局域网设备在逻辑上(注意，不是物理上)划分成网段，从而实现虚拟工作组。
这项新技术主要用于交换机和路由器，但主流应用仍在交换机。
但是并不是所有的交换机都有这个功能，只有VLAN协议第三层以上的交换机才有这个功能，查看相应交换机的说明书就可以知道。
1999年，IEEE颁布了802.1Q协议标准草案来规范VLAN的实现方案。
VLAN技术的出现，使得管理员可以根据实际应用需求，将同一物理局域网中的不同用户逻辑上划分到不同的广播域中。每个VLAN包含一组具有相同要求的计算机工作站，并且具有与物理形成的局域网相同的属性。
因为是逻辑划分，而不是物理划分，所以同一个VLAN中的工作站不局限于同一个物理范围，也就是说这些工作站可以在不同的物理局域网段。
根据VLAN的特点，一个VLAN中的广播和单播流量不会转发到其他VLAN，有助于控制流量，减少设备投资，简化网络管理，提高网络安全性。
交换技术的发展也加速了新交换技术的应用(VLAN)。
通过将企业网络划分为虚拟网络VLAN段，可以加强网络管理和安全性，并控制不必要的数据广播。
在共享网络中，物理网段是一个广播域。
在交换网络中，广播域可以是由一组随机选择的第2层网络地址(MAC地址)组成的虚拟网段。
这样，网络中工作组的划分就可以突破共享网络中的地理位置限制，完全按照管理职能来划分。
这种基于工作流的分组模式极大地提高了网络计划与重组的管理功能。同一VLAN中的工作站，无论它们实际连接到哪台交换机，都可以像在独立的交换机上一样相互通信。
同一个VLAN内的广播只能被VLAN的成员听到，不会传输到其他VLAN，可以很好的控制不必要的广播风暴的产生。
同时，如果没有路由，不同的VLAN无法相互通信，这增加了企业网络中不同部门之间的安全性。
网络管理员可以通过配置VLAN之间的路由来全面管理企业中不同管理单元之间的信息交换。
根据用户工作站的MAC地址，交换机被分为VLAN。
因此，用户可以在企业网络中自由移动，无论他们在哪里访问交换网络，他们都可以与VLAN中的其他用户自由通信。
VLAN可以由混合网络类型的设备组成，如10M以太网、100M以太网、令牌网、FDDI、CDDI等。可以是工作站、服务器、集线器、网络上行主干等。
VLAN的优点除了可以将网络划分为多个广播域，从而有效控制广播风暴的发生，使网络的拓扑结构非常灵活之外，还可以用来控制网络中不同部门、不同站点之间的相互访问。
VLAN是为解决以太网的广播问题和安全性而提出的协议。它在以太网帧的基础上增加了VLAN头，用VLAN ID把用户分成更小的工作组，并对用户进行限制不同工作组之间的相互访问。每个工作组都是一个虚拟局域网。
虚拟局域网的优点是可以限制广播范围，可以组成虚拟工作组来动态管理网络。
02计划划分方法
VLAN在交换机上的实现方法大致可以分为六类：
1.基于港口的VLAN划分这是最常用的VLAN划分方法，也是应用最广泛、最有效的方法。目前，大多数采用VLAN协议的交换机都提供这种VLAN配置方法。这种VLAN划分方法基于以太网交换机的交换端口。它将VLAN交换机上的物理端口和VLAN交换机内部的PVC(永久虚电路)端口分成若干组，每组形成一个虚拟网络，相当于一个独立的VLAN交换机。
当不同部门需要相互访问时，可以通过路由器转发，配合基于MAC地址的端口过滤。设置MAC地址集，该地址集可以在到站点的访问路径上离站点最近的交换机、路由交换机或路由器的相应端口上传递。这可以防止非法入侵者从内部窃取IP地址，并从其他可访问的接入点入侵。
从这种划分方法本身我们可以看出，这种划分方法的优点是定义VLAN成员非常简单，只要将所有端口定义为对应的VLAN组即可。适用于任何规模的网络。它的缺点是，如果用户离开原来的端口，到达一个新交换机的端口，就必须重新定义。
2.基于MAC地址的VLAN划分。这种VLAN划分方法是基于每个主机 MAC地址，也就是每个有MAC地址的主机都配置了它属于哪个组。其实现机制是每个网卡对应一个唯一的MAC地址，VLAN交换机跟踪属于VLAN MAC的地址。
该VLAN允许网络用户在从一个物理位置移动到另一个物理位置时自动保留他们的VLAN成员资格。
从这种划分机制可以看出，这种VLAN划分方法的最大优点是当用户的物理位置移动，即从一台交换机移动到另一台交换机，VLAN不需要重新配置，因为它是基于用户的，而不是基于交换机的端口。
这种方法的缺点是所有用户都必须在初始化时进行配置。如果有几百个甚至上千个用户，配置是很累的，所以这种划分方式通常适用于小型局域网。
而且这种划分方式也导致了交换机执行效率的降低，因为每个交换机端口可能有很多VLAN组的成员，保存了很多用户的MAC地址，不容易查询。
此外，对于使用笔记本电脑的用户来说，他们的网卡可能会经常更换，因此VLAN必须经常配置。
3.基于网络层协议的VLAN划分VLAN根据网络层协议进行划分，可分为IP、IPX、DECnet、AppleTalk、Banyan等VLAN网络。
这种由网络层协议组成的VLAN使广播域能够跨越多个VLAN交换机。
这对于想要为特定应用和服务组织用户的网络管理员来说非常有吸引力。
此外，用户可以在网络内自由移动，但他们的VLAN会员身份保持不变。
这种方法的好处是用户的物理位置发生了变化，用户所属的VLAN不需要重新配置，可以根据协议类型划分VLAN，这对于网管来说非常重要。
此外，该方法不需要额外的帧标签来识别VLAN，可以减少网络流量。
这种方法的缺点是效率低，因为检查每个包的网络层地址需要处理时间(与前两种方法相比)。一般交换机芯片可以自动检查网络上数据包的以太网头，但是要让芯片检查ip头需要更高的技术和更多的时间。
当然，这和各个厂商的实现方式有关。
4.按IP组播划分VLAN IP组播实际上是VLAN的一个定义，即一个IP组播组就是一个VLAN。
这种划分方法将VLAN扩展到了广域网，因此这种方法具有更大的灵活性，并且很容易通过路由器进行扩展。主要适合不在同一地理区域的局域网用户组成VLAN，不适合局域网，主要是效率低。
5.根据策略划分VLANs。基于策略的VLAN可以实现多种分配方式，包括VLAN交换机端口、MAC地址、IP地址、网络层协议等。
网络管理人员可以根据自己的管理模式和自身需求决定选择哪种类型的VLAN。
6.按用户定义和非用户授权划分VLAN按用户定义和非用户授权划分VLAN，是指为了适应特殊的VLAN网络，根据特定网络用户的特殊要求来定义和设计VLAN，非VLAN集团用户可以访问VLAN，但需要提供用户密码，经过VLAN管理层认证后才能加入VLAN。
03VLAN的优势
任何一项新技术要想得到广泛的支持和应用，必然有一些关键的优势，VLAN技术也是如此。其优势主要体现在以下几个方面：
1.增加网络连接的灵活性。借助VLAN技术，可以将不同的地方、不同的网络、不同的用户组合起来，形成一个虚拟的网络环境，就像使用局域网一样方便、灵活、有效。
VLAN可以降低移动或改变工作站地理位置的管理成本，尤其是一些经营状况变化频繁的公司使用VLAN后，这部分管理成本大大降低。
2.控制网络上的广播VLAN可以提供一种建立防火墙的机制，以防止交换网络中的过度广播。通过VLAN，可以将交换机端口或用户分配到特定的VLAN组，该组可以在一个交换机网络中或跨多个交换机，VLAN中的广播不会发送到VLAN之外。
同样，相邻端口也不会接收到来自其它VLAN的广播。这可以减少广播流量，为用户应用程序释放带宽，并减少广播的生成。
3.增加网络的安全性因为VLAN是一个独立的广播域，VLAN之间相互隔离，大大提高了网络的利用率，保证了网络的安全性和保密性。
人们经常在局域网上传输一些机密和重要的数据。
应为机密数据提供访问控制和其他安全措施。
一种简单有效的方法是将网络分成几个不同的广播组。网络管理员限制VLAN的用户数量，并禁止未经授权访问VLAN的应用程序。
可以根据应用程序类型和访问权限对交换机端口进行分组，受限的应用程序和资源通常放在安全VLAN中。
04VLAN网络配置示例
为了给你一个真正学习配置实例的机会，这里以VLAN配置中型局域网的典型实例来介绍VLAN最常用的按端口配置的方法。
一个公司大概有100台电脑，主要使用网络的部门有：生产部(20)、财务部(15)、人事部(8)、信息中心(12)。
网络的基本结构如下：全网主干使用三台网管交换机(分别命名为switch1、 SWITCh2和Switch3)，每台交换机根据需要连接若干个集线器，主要面向非VLAN用户，如行政文件和临时用户等。)，还有一个路由器。整个网络通过路由器连接到外部互联网。
连接的用户主要分布在四个部分，分别是：生产部、财务部、信息中心和人事部。将主要的四个用户分别划分到VLAN，以保证相应部门的网络资源不被窃取或破坏。
为了满足公司相应网络资源的安全需求，特别是对于财务部门、人事部门等敏感部门，网络上的信息不不希望太多人随便进出，所以公司采用VLAN方法来解决上述问题。通过VLAN分部，该公司公司的主要网络可以分为四个主要部分：生产部、财务部、人事部和信息中心。对应的VLAN组命名为Prod、Fina、Huma和Info，每个VLAN组对应的网段如下表所示。
编号VLAN名称港口编号2产品开关1 2-21 3金融开关h2 2-16 4 huma开关h3 2-9 5信息开关h3 10-21
【注意】交换机的VLAN号之所以以2'是交换机有一个默认的VLAN，也就是VLAN 1'包括连接到交换机的所有用户。
VLAN配置过程实际上非常简单，只有两步：
(1)说出每个VLAN集团的名称；
(2)将相应的VLAN对应到相应的交换机端口。
以下是具体的配置过程：
步骤1:设置超级终端，连接交换机，并通过超级终端配置交换机的VLAN。连接成功后，将出现如下所示的主配置界面(交换机之前已经完成了基本信息的配置):
1个用户现在在管理控制台上处于活动状态。用户界面菜单[M]菜单[K]命令行[I] IP配置输入选择：
[注意]超级终端是通过使用Windows系统附带的超级终端(Hypertrm)程序实现的。详见相关资料。
第二步：点击K 键并选择[K]命令行主界面菜单中的选项进入如下命令行配置界面：
与交换机的CLI会话已打开。
要结束CLI会话，请输入[Exit ]。
这时，我们已经进入了交换机的普通用户模式，就像路由器一样。该模式只能查看当前配置，不能更改配置，可以使用的命令有限。所以我们必须进入特权模式
第三步：输入特权模式命令启用在'提示上一步，进入特权模式。命令格式是启用然后您将进入交换机配置的特权模式提示符：
#c onfig t输入配置命令，每行一个。以CNTL/Z(配置)结尾#
第四步：为了安全和方便，让为三台交换机命名，并设置特权模式的登录口令。
仅以开关1为例进行介绍。配置代码如下：
(配置)#主机名交换机1交换机1(配置)#启用密码级别15 XXXXXX交换机1(配置)#
[注意]特权模式密码必须是4~8个字符。注意，这里输入的密码是直接明文显示的，所以要保密。密码权限由开关的级别决定。级别1是进入命令行界面的密码。也就是说，为一级设置密码后，下次连接交换机输入K时，会要求输入密码，也就是一级设置的密码。第15级是特权模式密码，在输入启用命令。
步骤5:设置VLAN名称。由于四个VLAN属于不同的交换机，VLAN命名命令是交换机1、交换机2、交换机3、上配置的vlan号码名称VLAN名称。弗兰诺的密码。2、3、4、5是
交换机1(配置)#vlan 2名称产品交换机h2(配置)#vlan 3名称最终交换机h3(配置)#vlan 4名称Huma交换机h3(配置)#vlan 5名称信息
[注意]上述配置是根据表1中的规则进行的。
步骤6:在上一步中，我们为每台交换机配置了VLAN组。现在，这些VLANs应该对应于表1中指定的交换机端口号。命令对应的端口号是VLAN-会员静态/动态VLAN数在这个命令中，你必须选择静态还有动态分配方法，但通常你选择静态VLAN端口号应用程序配置如下：
(1).名为的交换机的VLAN端口号；开关1 配置如下：
开关1(配置)#int e0/2 Switch1(配置如果)# VLAN-成员资格静态2开关1(配置-if)#int e0/3 Switch1(配置-if)#int e0/4 Switch1(配置如果)# VLAN-成员资格静态2 ……开关1(配置-if)#int e0/20开关(配置如果)# VLAN-成员资格静态2开关1(配置-if)#int e0/21 Switch1(配置
【注】‘int’是"界面"命令缩写，是接口的意思'E0/3 是以太网0/2 '的缩写，代表交换机的0号模块2号端口。
(2).名为switch2 的交换机的虚拟局域网端口号配置如下：
Switch2(配置)#int e0/2 Switch2(配置如果)# VLAN-成员静态3 Switch2(配置-if)#int e0/3 Switch2(配置如果)# VLAN-成员静态3 Switch2(配置-if)#int e0/4 Switch2
(3).名为switch3 的交换机的虚拟局域网端口号配置如下（它包括两个虚拟局域网组的配置),先看VLAN 4号（胡玛语)的配置代码：
Switch3(配置)#int e0/2 Switch3(配置-if)#vlan成员静态4 Switch3(配置-if)#int e0/3 Switch3(配置-if)#vlan成员静态4 Switch3(配置-if)#int e0/4 Switch3
下面是VLAN5(信息)的配置代码：
Switch3(配置)#int e0/10 Switch3(配置如果)# VLAN-成员资格静态5 Switch3(配置-if)#int e0/11 Switch3(配置如果)# VLAN-成员资格静态5 Switch3(配置-if)#int e0/12 Switc010-310
好了，我们已经按表一要求把虚拟局域网都定义到了相应交换机的端口上了。为了验证我们的配置，可以在特权模式使用'显示虚拟局域网命令显示出刚才所做的配置，检查一下是否正确。
以上是就交换机的虚拟局域网配置进行介绍了，至于不同交换机的区别具体的参照有关说明书即可。
审核编辑：李倩
标签：VLAN交换机网络