|
|
知识路径： > 计算机软件与网络基础知识 > 数据通信与计算机网络 > 常用的协议标准 >
|
|
相关知识点：23个
|
|
|
|
|
虚拟局域网（Virtual Local Area Network，VLAN）是由一些主机、交换机或路由器等组成的一个虚拟的局域网。虚拟局域网超越了传统的局域网的物理位置局限，终端系统可以分布于网络中不同的地理位置，但都属于同一逻辑广播域。
|
|
|
|
|
|
管理员能够很容易地控制不同VLAN间的互相访问能力，可以将同一部门或属于同一访问功能组的用户划分在同一VLAN中，VLAN内的用户之间可以通过交换机或路由器相互连通。网络管理员甚至还可以通过VLAN的安全访问列表来控制不同VLAN之间的访问。
|
|
|
|
VLAN能够对广播信息进行有效的控制，最大限度地减少对终端工作站、网络服务器和处理关键业务数据的骨干部分的性能影响。采用VLAN还便于管理的更改，而整个网络范围内与用户增加、移动和物理位置变更相关的对管理工作的要求，也大为减少。这从很大程度上方便了网络系统的安全访问控制管理。
|
|
|
|
通过VLAN运行机制，可以给网络安全带来很多好处，如信息只到达应该到达的地点，因此可防止大部分基于网络监听的入侵手段；通过VLAN设置的访问控制，也使在虚拟网外的网络结点不能直接访问虚拟网内结点。但是，VLAN技术也带来了新的问题：执行虚拟网交换的设备越来越复杂，从而成为被攻击的对象；基于网络广播原理的入侵监控技术在高速交换网络内需要特殊的设置；基于MAC的VLAN不能防止MAC欺骗攻击，因此采用基于MAC的VLAN划分将面临假冒MAC地址的攻击。因此，VLAN的划分最好基于交换机端口，但这要求整个网络桌面使用交换端口或每个交换端口所在的网段机器均属于相同的VLAN。
|
|
|
|
如果一个VLAN跨越多个交换机，则属于同一VLAN的工作站要通过Trunk（干道）线路互相通信。Trunk是一种封装技术，它是一条点到点的链路，主要功能就是仅通过一条链路就可以连接多个交换机从而扩展已配置的多个VLAN。还可以采用通过Trunk技术和上级交换机级连的方式来扩展端口的数量，达到近似堆叠的功能，节省了网络硬件的成本，从而扩展整个网络。Trunk承载的VLAN范围，默认是1~1005，用户可以修改，但必须有一个Trunk协议。使用Trunk时，相邻端口上的协议要一致。
|
|
|
|
|
|
|
|
（1）按交换机端口号划分。将交换设备端口进行分组来划分VLAN，例如，一个交换设备上的端口1、2、5、7所连接的客户工作站可以构成VLANA，而端口3、4、6、8则构成VLAN B等。在最初的实现中，VLAN是不能跨越交换设备的，后来进一步的发展使得VLAN可以跨越多个交换设备。目前，按端口号划分VLAN仍然是构造VLAN的一个最常用的方法。这种方法比较简单并且非常有效。但仅靠端口分组而定义VLAN将无法使得同一个物理分段（或交换端口）同时参与到多个VLAN中，而且更重要的是当一个客户站从一个端口移至另一个端口时，网管人员将不得不对VLAN成员进行重新配置。
|
|
|
|
（2）按MAC地址划分。由网管人员指定属于同一个VLAN中的各客户端的MAC地址。由于MAC地址是固化在网卡中的，故移至网络中另外一个地方时将仍然保持其原先的VLAN成员身份而无须网管人员对之进行重新的配置，从这个意义讲，用MAC地址定义的VLAN可以看成是基于用户的VLAN。另外，在这种方式中，同一个MAC地址可以处于多个VLAN中。这种方法的缺点是所有的用户在最初都必须被配置到（手工方式）至少一个VLAN中，只有在这种手工配置之后方可实现对VLAN成员的自动跟踪。
|
|
|
|
（3）按第三层协议划分。在决定VLAN成员身份时，主要考虑协议类型（支持多协议的情况下）或网络层地址（如TCP/IP网络的子网地址）。这种类型的VLAN划分需要将子网地址映射到VLAN，交换设备则根据子网地址而将各机器的MAC地址同一个VLAN联系起来。交换设备将决定不同网络端口上连接的机器属于同一个VLAN。在第三层定义VLAN有许多优点。首先，可以根据协议类型进行VLAN的划分，这对于那些基于服务或基于应用VLAN策略的网管人员无疑是极具吸引力的。其次，用户可以自由地移动他们的机器而无需对网络地址进行重新配置，并且在第三层上定义VLAN将不再需要报文标识，从而可以消除因在交换设备之间传递VLAN成员信息而花费的开销。与前两种方法相比，第三层VLAN方法的最大缺点就是性能问题。对报文中的网络地址进行检查将比对帧中的MAC地址进行检查开销更大。正是由于这个原因，使用第三层协议进行VLAN划分的交换设备一般都比使用第二层协议的交换设备更慢。但第三层交换机的出现，大大改善了VLAN成员间的通信效率。
|
|
|
|
（4）IP组播VLAN。在这种方法中，各站点可以自由地动态决定（通过编程的方法）参加到哪一个或哪一些IP组播组中。一个IP组播组实际上是用一个D类地址表示的，当向一个组播组发送一个IP报文时，此报文将被传送到此组中的各个站点处。从这个意义上讲，可以将一个IP组播组看成是一个VLAN。但此VLAN中的各个成员都只具有临时性的特点。由IP组播定义VLAN的动态特性可以达到很高的灵活性，并且借助于路由器，这种VLAN可以很容易地扩展到整个WAN上。
|
|
|
|
（5）基于策略的VLAN。基于策略的方法允许网络管理员使用任何VLAN策略的组合来创建满足其需求的VLAN。通过VLAN策略把设备指定给VLAN，当一个策略被指定到一个交换机时，该策略就在整个网络上应用，而设备被置入VLAN中。从设备发出的帧总是经过重新计算，以使VLAN成员身份能随着设备产生的流量类型而改变。基于策略的VLAN可以使用上面提到的任一种划分VLAN的方法，并可以把不同方法组合成一种新的策略来划分VLAN。
|
|
|
|
（6）按用户定义、非用户授权划分。基于用户定义、非用户授权来划分VLAN是指为了适应特别的VLAN网络，根据特殊的网络用户的特殊要求来定义和设计VLAN，而且可以让非VLAN群体用户访问VLAN，但是需要提供用户密码，在得到VLAN管理的认证后才可以加入一个VLAN。
|
|
|
|
：在上述6种划分方法中，各方法的侧重点不同，所达到的效果也不尽相同。目前在网络产品中融合多种划分VLAN的方法，以便根据实际情况寻找最合适的途径。同时，随着管理软件的发展，VLAN的划分逐渐趋向于动态化。
|
|
|
