实验三：练习一
练习名称
单交换机VLAN的划分
实验目的
1. 理解交换机VLAN技术
2. 掌握交换机划分VLAN的方法
工具信息
1. RMT 2.地址本
实验原理:
练习名称
单交换机VLAN的划分
1. VLAN的产生
以太网交换机在数据链路层上基于端口进行数据转发，使得冲突域被缩小到交换机的每一个端口，有效地提高了网络的利用率。但是，随着网络规模的增大，网络内主机数量
将急剧增加。如果这些主机都属于同一个局域网，也就是属于同一个广播域，那么网络中任一主机发送的广播报文将被转发给该广播域内所有主机，这样网络的利用率就会大大下降。网络中将传播过多的广播信息而引起的网络性能恶化的现象称为广播风暴。
怎么才能够避免这种情况的发生呢？首先想到的应该是减小广播域内的主机量，也就是将大的广播域隔离成多个较小的广播域，这样主机发送的广播报文就只能在自己所属的某一个小的广播域里传播，从而提高了整个网络的带宽利用率。最早用来隔离广播域的设备就是常见的路由器，但是路由器在处理数据报文时需要经过繁琐的软件处理，并且由于路由器其他功能的兼顾使得路由器的成本变得让一般局域网用户无法接受。经过一段时间的发展，出现了现在广泛应用的VLAN(Virtual Local Area Network，虚拟局域网)技术——一种专门为隔离二层广播报文设计的虚拟局域网技术。
路由器隔离广播域，是因为路由器的数据转发都在IP层进行，所以对于二层本地广播来说，它无法通过路由器。那么VLAN技术又是如何实现广播报文的隔离呢？在VLAN技术中，规定凡是具有VLAN功能的交换机在转发数据报文时，都需要确认该报文属于某一个VLAN，并且该报文只能被转发到属于同一个VLAN的端口或主机。即是说每一VLAN代表了一个广播域，不同的VLAN用户属于不同的广播域，它不能接收来自于不同VLAN用户的广播报文，如下图所示。
图3-1-1 交换机划分VLAN隔离广播域
虚拟局域网将一组位于不同物理网段上的用户在逻辑上划分在一个局域网内，在功能和操作上与传统LAN基本相同，可以提供一定范围内终端系统的互联。VLAN与传统的LAN相比，具有以下优势：
(1) 增加了网络连接的灵活性
借助VLAN技术，能将不同地点、不同网络、不同用户组合在一起，形成一个虚拟的网络环境，就像使用本地LAN一样方便、灵活、有效。VLAN可以降低移动或变更工作站地理位置的管理费用，特别是一些业务情况有经常性变动的公司使用了VLAN后，这部分管理费用大大降低。
(2) 控制网络上的广播
VLAN可以提供建立防火墙的机制，防止交换网络的过量广播。使用VLAN，可以将某个交换端口或用户赋予某一个特定的VLAN组，该VLAN组可以在一个交换网中或跨接多个交换机，在一个VLAN中的广播不会送到VLAN之外。同样，相邻的端口不会收到其他VLAN产生的广播。这样可以减少广播流量，释放带宽给用户应用，减少广播的产生。
(3) 增加网络的安全性
因为一个VLAN就是一个单独的广播域，VLAN之间相互隔离，这大大提高了网络的利用率，确保了网络的安全保密性。人们在LAN上经常传送一些保密的、关键性的数据。保密的数据应提供访问控制等安全手段。一个有效和容易实现的方法是将网络分成几个不同的广播组，网络管理员限制了VLAN中用户的数量，禁止未经允许而访问VLAN中的应用。交换端口可以基于应用类型和访问特权来进行分组，被限制的应用程序和资源一般置于安全性VLAN中。
2. VLAN工作原理演示
VLAN(Virtual Local Area Network)的中文名为“虚拟局域网”，注意不是“VPN”(虚拟专用网)。VLAN是一种将局域网设备从逻辑上划分(注意，不是从物理上划分)成一个个网段，从而实现虚拟工作组的新兴数据交换技术。这一新兴技术主要应用于交换机和路由器中，但主流应用还是在交换机之中。但又不是所有交换机都具有此功能，只有VLAN协议的第三层以上交换机才具有此功能，这一点可以查看相应交换机的说明书即可得知。
IEEE于1999年颁布了用以标准化VLAN实现方案的802.1Q协议标准草案。VLAN技术的出现，使得管理员根据实际应用需求，把同一物理局域网内的不同用户逻辑地划分成不同的广播域，每一个VLAN都包含一组有着相同需求的计算机工作站，与物理上形成的LAN有着相同的属性。由于它是从逻辑上划分，而不是从物理上划分，所以同一个VLAN内的各个工作站没有限制在同一个物理范围中，即这些工作站可以在不同物理LAN网段。由VLAN的特点可知，一个VLAN内部的广播和单播流量都不会转发到其他VLAN中，从而有助于控制流量、减少设备投资、简化网络管理、提高网络的安全性。
交换技术的发展，也加快了新的交换技术(VLAN)的应用速度。通过将企业网络划分为虚拟网络VLAN网段，可以强化网络管理和网络安全，控制不必要的数据广播。在共享网络中，一个物理的网段就是一个广播域。而在交换网络中，广播域可以是有一组任意选定的第二层网络地址(MAC地址)组成的虚拟网段。这样，网络中工作组的划分可以突破共享网络中的地理位置限制，而完全根据管理功能来划分。这种基于工作流的分组模式，大大提高了网络规划和重组的管理功能。在同一个VLAN中的工作站，不论它们实际与哪个交换机连接，它们之间的通讯就好像在独立的交换机上一样。同一个VLAN中的广播只有VLAN中的成员才能听到，而不会传输到其他的VLAN中去，这样可以很好的控制不必要的广播风暴的产生。同时，若没有路由的话，不同VLAN之间不能相互通讯，这样增加了企业网络中不同部门之间的安全性。网络管理员可以通过配置VLAN之间的路由来全面管理企业内部不同管理单元之间的信息互访。交换机是根据用户工作站的MAC地址来划分
VLAN的。所以，用户可以自由的在企业网络中移动办公，不论他在何处接入交换网络，他都可以与VLAN内其他用户自如通讯。
VLAN网络可以是有混合的网络类型设备组成，比如：10M以太网、100M以太网、令牌网、FDDI、CDDI等等，可以是工作站、服务器、集线器、网络上行主干等等。
VLAN的主要目的就是划分广播域，那么在建设网络时，如何确定这些广播域？根据物理端口、MAC地址、协议还是子网？其实到目前为止，上述参数都可以用来作为划分广播域的依据。
(1) 基于端口的VLAN划分
基于端口的VLAN划分方法是根据以太网交换机的端口来划分广播域的。也就是说，交换机某些端口连接的主机在一个广播域内，而另一些端口连接的主机在另一个广播域，VLAN和端口连接的主机无关，如下图和下表所示。
图3-1-2 端口连接
表3-1-1 端口与VLAN ID的对应列表
假设指定交换机的端口1和端口7属于VLAN2，端口2和端口10属于VLAN3，此时，主机A和主机C在同一VLAN，主机B和主机D在另一VLAN下。如果将主机A和主机B交换连接端口，则VLAN表仍然不变，而主机A变成与主机D在同一VLAN，而主机B和主机C在另一VLAN下。如果网络中存在多个交换机，还可以指定交换机1的端口和交换机2的端口属于同一VLAN，这样同样可以实现VLAN内部主机的通信，也隔离
广播报文的泛滥。所以这种VLAN划分方法的优点是定义VLAN成员非常简单，只要指定交换机的端口即可；但是如果VLAN用户离开原来的接入端口，而连接到新的交换机端口，就必须重新指定新连接的端口所属的VLAN ID。
(2) 基于MAC地址的VLAN划分
基于MAC地址的VLAN划分方法是根据连接在交换机上主机的MAC地址来划分广播域的。也就是说，某个主机属于哪一个VLAN只和它的MAC地址有关，和它连接在哪个端口或者IP地址都没有关系。这种方式的VLAN允许网络用户从一个物理位置移动到另一个物理位置时，自动保留其所属VLAN的成员身份。
这种划分VLAN的方法最大的优点在于当用户改变物理位置(改变接入端口)时，不用重新配置。因为它是基于用户，而不是基于交换机的端口。这种方法的缺点是初始化时，所有的用户都必须进行配置，如果有几百个甚至上千个用户的话，配置是非常累的，所以这种划分方法通常适用于小型局域网。而且这种划分的方法也导致了交换机执行效率的降低，因为在每一个交换机的端口都可能存在很多个VLAN组的成员，保存了许多用户的MAC地址，查询起来相当不容易。另外，对于使用笔记本电脑的用户来说，他们的网卡可能经常更换，这样VLAN就必须经常配置。
(3) 基于协议的VLAN划分
基于协议的VLAN划分方法是根据网络主机使用的网络协议来划分广播域的。VLAN按网络层协议来划分，可分为IP、IPX、DECnet、AppleTalk、Banyan等VLAN网络。也就是说，主机属于哪一个VLAN取决于它所运行的网络协议，而与其他因素没有关系。这种按网络层协议来组成的VLAN，可使广播域跨越多个VLAN交换机。这对于希望针对
具体应用和服务来组织用户的网络管理员来说是非常具有吸引力的。而且，用户可以在网络内部自由移动，但其VLAN成员身份仍然保留不变。
这种方法的优点是用户的物理位置改变了，不需要重新配置所属的VLAN，而且可以根据协议类型来划分VLAN，这对网络管理者来说很重要，还有，这种方法不需要附加的帧标签来识别VLAN，这样可以减少网络的通信量。这种方法的缺点是效率低，因为检查每一个数据包的网络层地址是需要消耗处理时间的(相对于前面两种方法)，一般的交换机芯片都可以自动检查网络上数据包的以太网帧头，但要让芯片能检查IP帧头，需要更高的技术，同时也更费时。这种VLAN划分在实际应用中非常少，因为目前绝大多数都是IP协议的主机，其他协议的主机组件被IP协议主机代替，所以它很难将广播域划分得更小。
(4) 基于子网的VLAN划分
基于子网的VLAN划分方法是根据网络主机使用的IP地址所在的网络子网来划分广播域的。也就是说，IP地址为同一个子网的主机属于同一广播域，而与主机的其它因素没有任何关系。这种VLAN划分方法管理配置灵活，网络用户自由移动位置而不需重新配置主机或交换机，并且可以按照传输协议进行子网划分，从而实现针对具体应用服务来组织网络用户。但这种方法也有它不足的一面，为了判断用户属性，必须检查每一个数据包的网络层地址，这将耗费交换机不少的资源；并且同一个端口可能存在多个VLAN用户，这将导致广播报文的抑制效率有所下降。
(5) 按策略划分VLAN
基于策略组成的VLAN能实现多种分配方法，包括VLAN交换机端口、MAC地址、IP地址、网络层协议等。网络管理人员可根据自己的管理模式和本单位的需求来决定选择
哪种类型的VLAN。
(6) 按用户定义、非用户授权划分VLAN
基于用户定义、非用户授权来划分VLAN，是指为了适应特别的VLAN网络，根据具体的网络用户的特别要求来定义和设计VLAN，而且可以让非VLAN群体用户访问VLAN，但是需要提供用户密码，在得到VLAN管理的认证后才可以加入一个VLAN。
从上述几种VLAN划分方法的优缺点综合来看，基于端口划分VLAN是最普遍使用的方法之一，它也是目前所有交换机都支持的一种VLAN划分方法。有少量交换机支持MAC地址的VLAN划分。
实验步骤：
实验过程简介：
1. 划分VLAN及VLAN内成员端口。
2. 配置VLAN。
3. 验证同一VLAN内、不同VLAN内主机通信。
实验步骤
【实验说明】
实验开始前，首先使用分组切换器将实验主机切换到理论学习环境中；
将智能网络设备的网络结构切换到“网络结构四”；
主机A、B、C、D、E、F使用【快照】将Windows虚拟机恢复到“网络结构2”的状态。
1. 组建实验环境
(1) 参见实验一练习三方案一步骤1(1)的方法，禁用主机B、D、E的“本地连接”网卡。
(2) 参见实验一练习三方案一步骤1(2)的方法，将主机A、C、F设置为“自动获得IP地址” 的配置方式。
(3) 主机A、B、C、D、E、F在工具栏上单击【地址本】，对本机及本组其它主机进行地址扫描并记录IP地址信息。
(4) 验证主机A、B、C、D、E、F间是否能够正常通信：
在主机A上分别 ping 主机B、C、D、E、F；
在主机B上分别 ping 主机A、C、D、E、F；
在主机C上分别 ping 主机A、B、D、E、F；
在主机D上分别 ping 主机A、B、C、E、F；
在主机E上分别 ping 主机A、B、C、D、F；
在主机F上分别 ping 主机A、B、C、D、E。
● 观察实验现象，各主机间能ping通吗？简要的说明原因。
2. 划分VLAN实现交换机端口隔离
(1) 分别在主机A、B、C、D、E、F上启动RMT控制台，并选择合适的交换机。
(a) 在工具栏中单击【RMT】，弹出RMT界面。
(b) 在“Selected Network Interface”下拉列表框中选择有效的网络接口(主机A、C、F选择“本地连接”接口，主机B、D、E选择“外部连接”接口)。如下图所示：
图3-1-3 交换机网络接口选择
(c) 在“Discovered Switches”列表框中双击本组交换机，从而选中该交换机。
图3-1-4 选择交换机
(2) 启用交换机VLAN功能
(a) 选择“Switch Configuration”选项卡，并选择其下的“VLAN Configuration”
选项卡，可以观察交换机各端口的相关信息。如下图所示：
图3-1-5 RMT VLAN配置页签
(b) 在“VLAN Ability”中选中“Port-based VLAN”单选按钮。弹出“Warning”对话框，如下图所示：
注：如果“Port-based VLAN”单选按钮已被选中，则直接进行步骤3的操作。
图3-1-6 VLAN类型切换提示
(c) 单击“Warning”对话框的“OK”按钮，再单击“VLAN Configuration”选项卡的“Apply”按钮，这时会弹出“Information”提示框。如下图所示：
图3-1-7 操作完成提示
(d) 单击“OK”按扭，完成交换机VLAN功能的启用。
(3) 在交换机上划分VLAN
(a) 选择“Switch Configuration”选项卡，并选择其下的“Port-Based VLAN Configuration”选项卡。在“VLAN Table”列表中可以发现交换机上默认的VLAN为01，并且交换机的所有端口都被划分到了VLAN 1中。如下图所示：
图3-1-8 交换机端口VLAN默认配置
(b) 将主机A、C、F所连接的端口(端口01、02、03)和端口07划分到VLAN2：
(i) 在主机A的“VLAN Table”列表中单击鼠标右键，在弹出的快捷菜单中单击“Add”菜单项，在“Port-Based VLAN Configuration”对话框中选中“01”和“07”，如下图所示：
图3-1-9 划分VLAN
单击“Port-Based VLAN Configuration”对话框的“OK”按钮，则交换机的01、07端口被划分到VLAN 2中。
(ii) 在主机C的“VLAN Table”列表中选中“VLAN No.”为“02”的条目，单击鼠标右键，在弹出的快捷菜单中单击“Edit”菜单项(如下图所示)，在“Port-Based VLAN Configuration”对话框中选中“02”。使用同样的方法，在主机F的“Port-Based VLAN Configuration”对话框中选中“03”。
图3-1-10 VLAN端口添加
(c) 将主机B、D、E所连接的端口(端口04、05、06)划分到VLAN3：
(i) 在主机B的“VLAN Table”列表中单击鼠标右键，在弹出的快捷菜单中单击“Add”菜单项，在“Port-Based VLAN Configuration”对话框中选中“04”。
(ii) 在主机D的“VLAN Table”列表中选中“VLAN No.”为“03”的条目，单击鼠标右键，在弹出的快捷菜单中单击“Edit”菜单项，在“Port-Based VLAN Configuration”对话框中选中“05”。使用同样的方法，在主机E的“Port-Based VLAN
Configuration”对话框中选中“06”。
(d) 下图表示正确划分VLAN的显示结果：
图3-1-11 VLAN划分结果
3. 验证VLAN的划分
(1) 验证同一VLAN中的两台实验主机能否通信。
在主机A上分别 ping 主机C、F；
在主机B上分别 ping 主机D、E；
在主机C上分别 ping 主机A、F；
在主机D上分别 ping 主机B、E；
在主机E上分别 ping 主机B、D；
在主机F上分别 ping 主机A、C。
● 上面的操作能ping通吗？说明原因。
(2) 验证不同VLAN中的两台实验主机能否通信。
在主机A上分别 ping 主机B、D、E；
在主机B上分别 ping 主机A、C、F；
在主机C上分别 ping 主机B、D、E；
在主机D上分别 ping 主机A、C、F；
在主机E上分别 ping 主机A、C、F；
在主机F上分别 ping 主机B、D、E。
● 上面的操作能ping通吗？说明原因。
(3) 参照实验一练习三方案一步骤3(6)的方法恢复交换机为初始状态。
练习二：
练习名称
跨交换机VLAN的划分
实验目的
1. 理解跨交换机划分VLAN的原理
2. 掌握跨交换机划分VLAN的方法
工具信息
无练习名称
跨交换机VLAN的划分
实验原理：
标签VLAN是基于交换机端口的另外一种类型，主要用于实现跨交换机的相同VLAN内主机之间可以直接访问，同时对不同VLAN的主机进行隔离，起到数据安全的传输。标签VLAN遵循了IEEE802.1Q协议的标准。
在利用配置了标签VLAN的接口进行数据传输时，需要在数据帧添加4个字节的802.1Q标签信息，用于标志该数据帧属于哪一个VLAN，以便于对端交换机接收到的数据帧后进行准确的过滤。
对于主机来说，它是不需要知道VLAN的存在的。主机发出的报文都是无标签的；交换机接收到这样的报文之后，根据配置规则(如端口信息)判断出报文所属VLAN进行处理。如果报文需要通过另外一台交换机发送，则该报文必须通过Trunk链路传输到另外一台交换机上。为了保证其它交换机正确处理报文的VLAN信息，在Trunk链路上发送的报文都带上了VLAN标签。
当交换机最终确定报文发送端口后，将报文发送给主机之前，将VLAN的标签从以太网帧中删除，这样主机接收到的报文都是不带VLAN的标签的以太网帧。
所以，一般情况下，Trunk链路上传送的都是带标签的帧，接入链路上传送的都是无标签的帧。这样做的最终结果是：网络中配置的VLAN可以被所有的交换机正确处理，而主机不需要了解VLAN信息。
标签VLAN能使在同一VLAN里的计算机系统能跨交换机进行相互通信，而在不同的VLAN里的计算机系统不能进行相互通信。
实验步骤：
实验过程简介
1. 按照实验拓扑图连接硬件设备。
2. 各主机配置相同网段的IP地址。
3. 划分VLAN及VLAN内成员端口。
4. 配置VLAN。
5. 验证跨交换机同一VLAN内主机通信。
6. 配置Trunk。
7. 查询VLAN信息并分析。
8. 验证跨交换机同一VLAN内主机通信。
9. 保存当前配置信息。
10. 查询当前配置信息。
11. 实验环境恢复。
实验步骤
【实验说明】
实验开始前，首先使用分组切换器将实验主机切换到实践操作环境中；
主机A、B、C、D、E、F使用【快照】将Windows虚拟机恢复到“网络结构1”的状态；
本练习将主机A、B、C、D、E、F作为一组进行实验。
1. 依照拓扑图进行设备连接
主机A通过直连线连接到交换机1的F0/1口；
主机B通过直连线连接到交换机1的F0/2口；
主机C通过直连线连接到交换机1的F0/3口；
主机D通过直连线连接到交换机2的F0/1口；
主机E通过直连线连接到交换机2的F0/2口；
主机F通过直连线连接到交换机2的F0/3口；
交换机1的F0/4口通过直连线连接到交换机2的F0/4口；
主机A将配置线的RJ45端连接到交换机1的Console口，COM端连接到主机A的COM口；
主机D将配置线的RJ45端连接到交换机2的Console口，COM端连接到主机D的COM口。
2. 各主机配置IP地址
主机A配置IP地址为192.168.0.1，子网掩码为255.255.255.0，无默认网关；
主机B配置IP地址为192.168.0.2，子网掩码为255.255.255.0，无默认网关；
主机C配置IP地址为192.168.0.3，子网掩码为255.255.255.0，无默认网关；
主机D配置IP地址为192.168.0.4，子网掩码为255.255.255.0，无默认网关；
主机E配置IP地址为192.168.0.5，子网掩码为255.255.255.0，无默认网关；
主机F配置IP地址为192.168.0.6，子网掩码为255.255.255.0，无默认网关。
3. 配置超级终端并启动设备
(1) 配置超级终端
主机A、主机D选择“开始->所有程序->附件->通讯->超级终端”，打开超级终端。
主机A、主机D配置超级终端实例名称。
主机A、主机D配置COM口属性。
(2) 交换机上电启动
将交换机1、交换机2的电源线连接到电源。
主机A、主机D的超级终端显示设备自检信息。
交换机1、交换机2自检结束后，提示“System coldstart.”。
4. VLAN配置
(1) 进入全局配置模式
主机A、主机D进入特权用户模式。
Ruijie> enable
主机A、主机D进入全局配置模式。
Ruijie# configure
(2) 创建VLAN
主机A、D创建VLAN10与VLAN20。
Ruijie(config)# vlan 10
Ruijie(config-vlan)# vlan 20
Ruijie(config)# exit
(3) 向VLAN中添加成员端口
主机A添加主机A、主机B所在的交换机端口到VLAN10；
主机D添加主机D、主机E所在的交换机端口到VLAN10。
Ruijie(config)# interface FastEthernet 0/1
Ruijie(config-if)# switchport mode access
Ruijie(config-if)# switchport access vlan 10
Ruijie(config-if)# exit
Ruijie(config)# interface FastEthernet 0/2
Ruijie(config-if)# switchport mode access
Ruijie(config-if)# switchport access vlan 10
Ruijie(config-if)# exit
主机A添加主机C所在的交换机端口到VLAN20；
主机D添加主机F所在的交换机端口到VLAN20。
Ruijie(config)# interface FastEthernet 0/3
Ruijie(config-if)# switchport mode access
Ruijie(config-if)# switchport access vlan 20
Ruijie(config-if)# exit
(4) 配置Trunk前验证
跨交换机同一VLAN内的主机通信：
主机A ping 主机D；
主机A ping 主机E；
主机B ping 主机D；
主机B ping 主机E；
主机C ping 主机F；
主机D ping 主机A；
主机D ping 主机B；
主机E ping 主机A；
主机E ping 主机B；
主机F ping 主机C。
● 各主机间能够相互通信吗？为什么？
(5) 配置Trunk
主机A、主机D进入到交换机级联端口的端口配置视图。
Ruijie(config)# interface FastEthernet 0/4
主机A、主机D配置该端口为Trunk。
Ruijie(config-if)# switchport mode trunk
注：配置该Trunk口可以通过的VLAN报文的步骤省略，该交换机trunk口缺省配置是包含所有vlan，如果需要对其进行增减配置可以使用“switchport trunk allowed vlan add/remove VLAN_ID”命令实现。
主机A、主机D返回全局配置模式。
Ruijie(config)# exit
(6) 配置Trunk后验证
跨交换机同一VLAN内的主机通信：
主机A ping 主机D；
主机A ping 主机E；
主机B ping 主机D；
主机B ping 主机E；
主机C ping 主机F；
主机D ping 主机A；
主机D ping 主机B；
主机E ping 主机A；
主机E ping 主机B；
主机F ping 主机C。
● 各主机间能够相互通信吗？为什么？
(7) 保存当前配置信息
主机A、主机D返回特权模式
Ruijie(config)# exit
主机A、主机D保存当前配置信息。
Ruijie# write
(8) 查询当前配置信息
主机A、主机D查询当前配置信息。
Ruijie# show running-config
显示信息形式如下：
......
vlan 10
......
vlan 20
......
interface FastEthernet0/1
switchport access vlan 10
......
interface FastEthernet0/2
switchport access vlan 10
......
interface FastEthernet0/3
switchport access vlan 20
......
interface FastEthernet0/4
switchport mode trunk
......
由如上信息可以分析出：交换机1、交换机2划分了2个VLAN，分别为VLAN10与VLAN20；交换机端口F0/1、F0/2属于VLAN10，端口F0/3属于VLAN20，端口类型都为Access；交换机1、交换机2端口F0/4的端口类型为trunk，该trunk口允许所有VLAN的报文通过。
5. 环境恢复
(1) 主机A
Ruijie# rm config.text
Ruijie# reload
Processed with reload? [no]yes
(2) 主机D
Ruijie# rm config.text
Ruijie# reload
Processed with reload? [no]yes
因篇幅问题不能全部显示，请点此查看更多更全内容