第3章

局域網和虛擬局域網編著：

秦燊勞翠金

同一樓層、同一建筑方圓幾米到幾千米范圍之內的計算機通信網絡通常稱為局域網（LAN）。常見的局域網技術包括以太網Ethernet、令牌環TokenRing、光纖分布式數據接口FDDI等，以太網是一種基于CSMA/CD的共享通信介質的數據網絡通信技術，傳輸速率從早期的10Mbps的標準以太網，發展到了100Mbps的快速以太網、1Gbps的吉比特以太網和10Gbps的萬兆以太網，成為局域網技術的主流。3.1沖突域和廣播域早期采用同軸電纜或集線器組成的網絡屬于共享式以太網，網絡中的所有終端主機都處于同一沖突域中，網絡的帶寬是由接入的主機共享的，接入的主機越多，每臺主機獲得的帶寬就越少，沖突發生的頻率也越高。采用交換機組成的網絡則屬于交換式以太網，各端口處于不同沖突域中，各端口可同時轉發數據而不引發沖突，提高了轉發效率和轉發質量。交換機和集線器的沖突域不同，但它們的廣播域卻類似。不論是交換機還是集線器，它們的端口都處在各自的同一個廣播域中。一些不必要的廣播幀不但占用網絡資源，還影響到網絡安全；當有網絡設備發生故障，導致廣播幀不停發送時，更會導致廣播風暴，影響正常的網絡通信。因此，有必要按網絡規模和需求將廣播隔離在必要的范圍內。隔離廣播的一種方法是物理隔離，即將需要隔離廣播的網絡分別連接到不同的交換機，交換機再通過路由器連接到一起，實現不同網絡的互聯。這種情況下，當本地廣播包經過路由器時，路由器會將其攔截，實現了對本地廣播的隔離。但這種通過引入路由器隔離廣播的方法增加了成本；而且中低端路由器采用的是軟件轉發，轉發的性能不高，是高成本、低性能的方案，并不可取。隔離廣播的另一種方法是劃分虛擬局域網(VLAN)。下面，我們詳細學習VLAN的相關知識。3.2虛擬局域網

虛擬局域網（VLAN）技術是從邏輯上將一個局域網（LAN）劃分為多個邏輯上獨立的虛擬局域網（VLAN），從而達到隔離廣播的目的。IEEE802.1q協議規定了VLAN的實現方法，即在傳統的不帶VLAN標簽的數據幀上添加4個字節的802.1Q標簽，其中的12比特用于存放VLANID，標識不同的VLAN。12比特的取值范圍是0~4095，其中0和4095被保留，能分配給用戶使用的VLANID范圍是1~4094。

VLAN的類型有基于MAC地址的VLAN、基于IP子網的VLAN、基于協議的VLAN、基于端口的VLAN等。在還沒創建新VLAN之前，交換機的所有端口都默認屬于VLAN1，VLAN1是默認存在且不能被刪除的。下面通過案例來分析VLAN的劃分。

3.2.3華三設備配置VLAN

如圖3-5所示，在HCL中拖出兩臺S5820V2交換機和9臺PC搭建拓撲。學校一樓和二樓的交換機都連接了信工學院、機電學院和財務處的電腦，兩臺交換機的g1/0/1-g1/0/9端口劃分給信工學院，g1/0/10-g1/0/19端口劃分給機電學院，g1/0/20-g1/0/29劃分給財務處，樓層間兩臺交換機的fg1/0/53端口通過交叉線連接。

圖3-5樓層間兩臺華三交換機相連的網絡拓撲

1.各電腦的地址依圖所示配置。劃分vlan前，所有電腦都連接到了VLAN1，測試所有電腦都能互相ping通。

2.為加強安全，避免部門間廣播幀的干擾，決定將信工學院保留在VLAN1、機電學院劃分到VLAN10、財務處劃分到VLAN100。

3.為1樓交換機劃分VLAN，將各端口加入到相應VLAN中。命令如下：<H3C>system-view[H3C]sysnameSW1[SW1]vlan1//進入VLAN1配置視圖，VLAN1是默認存在且不能被刪除的，交換機的所有端口都默認屬于VLAN1[SW1-vlan1]namexinGong//將VLAN1命名為xinGong[SW1-vlan1]quit//返回系統視圖[SW1]vlan10//創建VLAN10[SW1-vlan10]namejiDian//將VLAN10命名為jiDian[SW1-vlan10]quit[SW1]vlan100[SW1-vlan100]namecaiWu[SW1-vlan100]quit[SW1]interfacerangeGigabitEthernet1/0/1toGigabitEthernet1/0/9//進入批量端口g1/0/1-g1/0/9的端口配置視圖[SW1-if-range]portlink-typeaccess//將端口g1/0/1-g1/0/9的類型配置為access，這些端口默認屬于VLAN1[SW1-if-range]quit[SW1]interfacerangeGigabitEthernet1/0/10toGigabitEthernet1/0/19//進入批量端口g1/0/10-g1/0/19的端口配置視圖[SW1-if-range]portlink-typeaccess//將端口g1/0/10-g1/0/19的類型配置為access[SW1-if-range]portaccessvlan10//將端口g1/0/10-g1/0/19劃分給VLAN10[SW1-if-range]quit[SW1]interfacerangeGigabitEthernet1/0/20toGigabitEthernet1/0/29[SW1-if-range]portlink-typeaccess[SW1-if-range]portaccessvlan100[SW1-if-range]quit

4.為2樓交換機劃分VLAN，按規劃將相應端口加入到相應VLAN中。配置命令與1樓交換機配置命令相同。

5.查看交換機SW2的VLAN信息，命令如下：SW2#displayvlanbrief可以看到用于連接信工學院電腦的g1/0/1-g1/0/9端口屬于VLAN1、用于連接一樓交換機的fg1/0/53端口也屬于VLAN1等信息。

6.通過在電腦上執行ping測試，檢測1樓和2樓間只有屬于VLAN1的信工學院電腦能互通，1樓和2樓間機電學院的電腦不能互通，1樓和2樓間財務處的電腦也不能互通。3.3跨交換機的VLAN連接

“劃分VLAN”的案例中，一樓和二樓交換機之間通過屬于VLAN1的Access類型的端口相連，只有VLAN1的流量通過，其它VLAN的流量無法通過。若要使其它VLAN的流量也能跨越交換機在樓層間傳輸，需要為每個VLAN都增加一根網線，網線兩端的端口都設為Access模式，并把相應端口劃分給該VLAN。這樣的話，有幾個VLAN要跨越交換機傳輸，交換機間就需要有幾根連線。大量VLAN的情況下，這種做法是不現實的。那么，交換機間的一根網線能否同時允許各VLAN通過呢？答案是肯定的。這就需要用到交換機端口的一種稱為Trunk的模式了。之前介紹的Access模式的端口只能屬于某一個VLAN，只有該VLAN能通過該端口，其它VLAN是無法通過的，這種模式的端口通常用來連接電腦；Trunk模式的端口則可設置成允許部分VLAN或所有VLAN都通過，這種模式的端口通常用于交換機間的互連。3.3.3華三設備配置Trunk1.將一樓交換機SW1的端口fg1/0/53設置為trunk類型,命令如下：[SW1]interfaceFortyGigE1/0/53//進入fg1/0/53端口配置視圖[SW1-FortyGigE1/0/53]portlink-typetrunk//將端口fg1/0/53設置為trunk類型[SW1-FortyGigE1/0/53]porttrunkpermitvlanall//允許所有VLAN通過[SW1-FortyGigE1/0/53]quit[SW1]displayporttrunk//查看trunk類型的端口InterfacePVIDVLANPassingFGE1/0/5311,10,100可以看到端口FGE1/0/53的類型為trunk，VLAN1是本征VLAN，允許通過的VLAN有VLAN1、VLAN10和VLAN100。2.二樓交換機的配置和測試與一樓交換機的配置和測試命令一樣。3.在電腦上進行ping測試，觀察各部門內部的電腦可以跨樓層互通。3.4VLAN同步及動態注冊

在多臺交換機需要配置相同VLAN信息的網絡環境中，可采用VTP、GVRP或MVRP等協議進行交換機間VLAN的同步、簡化操作步驟。VTP協議（VLANTrunkProtocol）是思科的私有協議。需要共享和同步VLAN信息的思科交換機可組成一個VTP域（VTPDomain），VTP域中一臺交換機上的VLAN創建或修改信息可自動同步到其它交換機上。VLAN信息的同步需要借助Trunk鏈路傳播VTP通告來實現，VTP通告攜帶32位的修訂號（Revision）來代表修訂級別，修訂號的初始值是0，它會不斷增加，新修訂號的VLAN信息會覆蓋舊修訂號的VLAN信息。

與思科VTP協議類似的有IEEE定義的國際標準協議GVRP（GARPVLANRegistrationProtocol，GARPVLAN注冊協議）、華為的私有協議VCMP（VLANCentralManagementProtocol，VLAN集中管理協議）等。GVRP是GARP（GenericAttributeRegistrationProtocol，通用屬性注冊協議）的一個應用，GARP是一個通用協議的模板，用于屬性的動態注冊和注銷，GVRP則用于VLAN信息的動態注冊和注銷。

與GVRP協議相比，VCMP只能同步VLAN配置，而不能將端口動態地劃分到VLAN，即通過VCMP創建的VLAN是靜態VLAN，而通過GVRP創建的VLAN是動態VLAN。

GARP的升級版是MRP（MultipleRegistrationProtocol，多屬性注冊協議），相應的，GVRP的升級版是MVRP（MultipleVLANRegistrationProtocol，多VLAN注冊協議）。MVRP可兼容GVRP。3.4.3華三設備配置MVRPGARP的升級版是MRP（MultipleRegistrationProtocol，多屬性注冊協議），相應的，GVRP的升級版是MVRP（MultipleVLANRegistrationProtocol，多VLAN注冊協議）。MVRP可兼容GVRP。如圖3-8所示，在HCL中搭建拓撲。圖3-8華三交換機配置MVRP的網絡拓撲

一、基本配置

1.各PC的地址按拓撲中的規劃進行配置。

2.在SW1和SW3上創建VLAN10，將g1/0/1端口加入VLAN10；將交換機間的鏈路設置為trunk鏈路，允許所有vlan通過。命令如下：<H3C>system-view//SW1的配置[H3C]sysnameSW1[SW1]vlan10[SW1-vlan10]portGigabitEthernet1/0/1[SW1-vlan10]quit[SW1]interfaceGigabitEthernet1/0/48[SW1-GigabitEthernet1/0/48]portlink-typetrunk[SW1-GigabitEthernet1/0/48]porttrunkpermitvlanall[SW1-GigabitEthernet1/0/48]quit<H3C>system-view//SW2的配置[H3C]sysnameSW2[SW2]interfaceGigabitEthernet1/0/47[SW2-GigabitEthernet1/0/47]portlink-typetrunk[SW2-GigabitEthernet1/0/47]porttrunkpermitvlanall[SW2-GigabitEthernet1/0/47]quit[SW2]interfaceGigabitEthernet1/0/48[SW2-GigabitEthernet1/0/48]portlink-typetrunk[SW2-GigabitEthernet1/0/48]porttrunkpermitvlanall[SW2-GigabitEthernet1/0/48]quit<H3C>system-view//SW3的配置[H3C]sysnameSW3[SW3]vlan10[SW3-vlan10]portGigabitEthernet1/0/1[SW3-vlan10]quit[SW3]interfaceGigabitEthernet1/0/48[SW3-GigabitEthernet1/0/48]portlink-typetrunk[SW3-GigabitEthernet1/0/48]porttrunkpermitvlanall[SW3-GigabitEthernet1/0/48]quit

3.進行跨交換機的屬于VLAN10的PC互ping測試，在PC1上ping192.168.1.20，發現無法ping通。

4.查看SW1、SW2、SW3的VLAN信息，命令如下：[SW1]displayvlan//查看SW1的VLAN信息TotalVLANs:2TheVLANsinclude:1(default),10[SW1]displayvlan10Taggedports:GigabitEthernet1/0/48Untaggedports:GigabitEthernet1/0/1[SW2]displayvlan//查看SW2的VLAN信息TotalVLANs:1TheVLANsinclude:1(default)[SW3]displayvlan//查看SW3的VLAN信息TotalVLANs:2TheVLANsinclude:1(default),10[SW3]displayvlan10Taggedports:GigabitEthernet1/0/48Untaggedports:GigabitEthernet1/0/1可以看到，SW1和SW3都有VLAN10，但中間的SW2上沒有VLAN10，SW2收到VLAN10的數據幀時，無法找到轉發的出端口，故將其丟棄，導致兩臺PC無法ping通。解決方法是在SW2上增加VLAN10。

二、開啟MVRP

1.在各交換機上開啟MVRP功能，在Trunk端口上啟用MVRP協議，命令如下：[SW1]mvrpglobalenable//SW1的配置[SW1]interfaceGigabitEthernet1/0/48[SW1-GigabitEthernet1/0/48]mvrpenable[SW1-GigabitEthernet1/0/48]quit[SW2]mvrpglobalenable//SW2的配置[SW2]interfacerangeGigabitEthernet1/0/47GigabitEthernet1/0/48[SW2-if-range]mvrpenable[SW2-if-range]quit[SW3]mvrpglobalenable//SW3的配置[SW3]interfaceGigabitEthernet1/0/48[SW3-GigabitEthernet1/0/48]mvrpenable[SW3-GigabitEthernet1/0/48]quit

2.查看SW2上的VLAN信息，命令如下：[SW2]displayvlanTotalVLANs:2TheVLANsinclude:1(default),10[SW2]displayvlandynamicDynamicVLANs:1ThedynamicVLANsinclude:10[SW2]displayvlan10Taggedports:GigabitEthernet1/0/47GigabitEthernet1/0/48Untaggedports:None可以看到，SW2學到了VLAN10，其上的trunk端口g1/0/47和g1/0/48也都將VLAN10列入了允許通行的列表。

3.在PC1上ping192.168.1.20，可以ping通了。原因是SW2上學到了VLAN10，其上的trunk端口g1/0/47和g1/0/48都可以對VLAN10進行轉發了。

三、MVRP端口的Nomal模式與GVRP類似，MVRP端口注冊模式也分為Normal、Fixed和Forbidden三種。其中Normal模式是缺省模式，Normal模式允許該端口動態注冊或注銷VLAN、傳播動態VLAN和靜態VLAN信息。下面觀察Nomal模式的注冊過程。1.在SW1上創建VLAN20，在SW1、SW2、SW3上查看VLAN信息。命令如下：[SW1]vlan20//在SW1上創建VLAN20[SW1-vlan20]portGigabitEthernet1/0/2[SW1]displayvlan//在SW1上查看VLAN信息TotalVLANs:3TheVLANsinclude:1(default),10,20[SW1]displayvlandynamicNodynamicVLANexists.[SW1]displayporttrunkInterfacePVIDVLANPassingGE1/0/4811,10,20[SW2]displayvlan//在SW2上查看VLAN信息TotalVLANs:3TheVLANsinclude:1(default),10,20[SW2]displayvlandynamicDynamicVLANs:2ThedynamicVLANsinclude:10,20[SW2]displayporttrunkInterfacePVIDVLANPassingGE1/0/4711,10,20GE1/0/4811,10[SW3]displayvlan//在SW3上查看VLAN信息TotalVLANs:3TheVLANsinclude:1(default),10,20[SW3]displayvlandynamicDynamicVLANs:1ThedynamicVLANsinclude:20

[SW3]displayporttrunkInterfacePVIDVLANPassingGE1/0/4811,10,20

可以看到：SW1的g1/0/48、SW2的g1/0/47，SW3的g1/0/48都將VLAN20列入了允許通行VLAN；SW2的g1/0/48沒有將VLAN20作為允許通行VLAN。

2.在SW3上創建VLAN20,SW2的g1/0/48作為VLAN聲明沿途交換機的入端口，將注冊VLAN20，并將該VLAN加入該端口允許通行的VLAN列表中。命令如下：[SW3]vlan20//在SW3上創建VLAN20[SW3-vlan20]portGigabitEthernet1/0/2[SW3-vlan20]quit[SW2]displayporttrunk//在SW2上查看trunk端口信息InterfacePVIDVLANPassingGE1/0/4711,10,20GE1/0/4811,10,20

可以看到，在SW3上創建VLAN20后,SW2的g1/0/48端口學到和注冊了該VLAN、并將其加入到了該端口允許通行的VLAN列表中。

四、MVRP端口的fixed注冊模式

Fixed模式的端口禁止該端口動態注冊或注銷VLAN，只傳播靜態VLAN信息，不傳播動態VLAN信息。下面加以驗證。

1.將SW1的Trunk端口g1/0/48修改為Fixed注冊模式，命令如下：[SW1]interfaceGigabitEthernet1/0/48[SW1-GigabitEthernet1/0/48]mvrpregistrationfixed[SW1-GigabitEthernet1/0/48]quit

2.在SW3上添加VLAN30，命令如下：[SW3]vlan30[SW3-vlan30]quit

3.在SW3、SW2、SW1上查看VLAN信息，命令如下：[SW3]displayvlan//在SW3上查看VLAN信息TotalVLANs:4TheVLANsinclude:1(default),10,20,30[SW2]displayvlan//在SW2上查看VLAN信息TotalVLANs:4TheVLANsinclude:1(default),10,20,30[SW2]displayvlandynamicDynamicVLANs:3ThedynamicVLANsinclude:10,20,30[SW1]displayvlan//在SW1上查看VLAN信息TotalVLANs:3TheVLANsinclude:1(default),10,20[SW1]displayvlandynamicNodynamicVLANexists.

4.查看SW1的MVRP統計信息,命令如下：[SW1]displaymvrprunning-statusRegistrationType:Fixed

5.查看SW1的trunk信息，命令如下：[SW1]displayporttrunkInterfacePVIDVLANPassingGE1/0/4811,10,20可以看到，SW2學到了VLAN30，SW1沒有學到VLAN30。這是因為Fixed模式只傳播靜態VLAN，不傳播動態VLAN。

五、MVRP端口的Forbidden注冊模式Forbidden模式的端口禁止該端口動態注冊或注銷VLAN，不傳播VLAN1以外的任何的VLAN信息。將SW1的g1/0/48改為Forbidden模式的命令如下：[SW1]interfaceGigabitEthernet1/0/48[SW1-GigabitEthernet1/0/48]mvrpregistrationforbidden3.5Hybrid端口和PrivateVLAN技術

小區寬帶采用LAN方式接入時，為了保障接入用戶的隱私、安全和便于管理計費，可通過劃分VLAN對各接入用戶進行隔離，并為每個VLAN分配一個網段，但這樣做IP地址消耗過大；另根據IEEE802.1q協議，可用的VLAN數只有4094個，若為每個用戶劃分一個VLAN，VLAN的數量是遠遠不夠的。

所以需要有技術將一個VLAN再次細分成多個VLAN，對上層屏蔽下層的VLAN，讓接入層的VLAN對運營商屏蔽，讓運營商只看到匯聚層的VLAN。同時，讓上層主端口的VLANIF地址和下層各從端口所連接電腦的地址處于同一網段，以節省地址空間。

Hybrid端口技術、PrivateVLAN（PVLAN，專用虛擬局域網）技術、MultiplexVLAN（MUX，復合VLAN）技術等，都能較好的實現相關功能。3.5.2華三交換機配置PrivateVLAN

Hybrid也是華三交換機的私有端口類型，通過PrivateVLAN技術可對華三交換機的端口執行Hybrid批處理。

在HCL中搭建如圖3-10所示拓撲，通過PrivateVLAN技術實現既讓PC1和PC2二層隔離，又讓PC1和PC2都能訪問SW2。配置完成后可查看配置文件，觀察華三PrivateVLAN技術與端口Hybrid批處理的關系。圖中標注的Hybrid端口信息是PrivateVLAN執行批處理的結果。圖3-10華三交換機配置PrivateVLAN的網絡拓撲

1.在SW1上配置PrivateVLAN，命令如下：<H3C>system-view[H3C]sysnameSW1[SW1]vlan2to3[SW1]vlan10[SW1-vlan10]private-vlanprimary//將VLAN10的類型配置為Primary[SW1-vlan10]private-vlansecondary23//將VLAN2和VLAN3的類型配置為Secondary。完成以上配置后，“SecondaryVLAN2和3”與“PrimaryVLAN10”建立了映射關系。SecondaryVLAN與PrimaryVLAN能互訪，SecondaryVLAN之間互相隔離、不能互訪。[SW1-vlan10]quit[SW1]interfaceGigabitEthernet1/0/3[SW1-GigabitEthernet1/0/3]portprivate-vlan10promiscuous//參數promiscuous的作用是將端口配置成上行端口（位于上層）。本命令執行的批處理是將本端口設置為Hybrid端口，端口的本征VLAN設置為VLAN10。允許通過的VLAN包括VLAN10、VLAN2和VLAN3，并且是去掉標簽后不帶標簽通過。即PrimaryVLAN10和SecondaryVLAN2、VLAN3都作為Hybrid端口G1/0/3的UntaggedVLAN。當上行端口只對應一個PrimaryVLAN時使用promiscuous模式，當上行端口對應多個PrimaryVLAN時使用trunkpromiscuous模式。此處g1/0/3只對應一個PrimaryVLAN，所以使用promiscuous模式。[SW1-GigabitEthernet1/0/3]quit[SW1]intGigabitEthernet1/0/1[SW1-GigabitEthernet1/0/1]portaccessvlan2[SW1-GigabitEthernet1/0/1]portprivate-vlanhost//參數host的作用是將端口配置成下行端口（位于下層）。本命令執行的批處理是將本端口設置為Hybrid端口，端口的本征VLAN設置為VLAN2。允許通過的VLAN包括VLAN10和VLAN2，并且是去掉標簽后不帶標簽通過。即SecondaryVLAN2和對應的PrimaryVLAN10作為Hybrid端口G1/0/1的UntaggedVLAN。當下行端口只對應一個SecondaryVLAN時使用host模式，當下行端口對應多個SecondaryVLAN時使用trunkhost模式。此處g1/0/1只對應一個SecondaryVLAN，所以使用host模式。[SW1-GigabitEthernet1/0/1]quit

[SW1]intGigabitEthernet1/0/2[SW1-GigabitEthernet1/0/2]portaccessvlan3[SW1-GigabitEthernet1/0/2]portprivate-vlanhost//參數host的作用是將端口配置成下行端口（位于下層）。本命令執行的批處理是將本端口設置為Hybrid端口，端口的本征VLAN設置為VLAN3。允許通過的VLAN包括VLAN10和VLAN3，并且是去掉標簽后不帶標簽通過。即SecondaryVLAN3和對應的PrimaryVLAN10作為Hybrid端口G1/0/1的UntaggedVLAN。[SW1-GigabitEthernet1/0/2]quit

2.查看配置完PrivateVLAN后交換機自動執行的批處理結果。命令如下:[SW1]dispcurrent-configurationinterfaceGigabitEthernet1/0/1portlink-typehybridundoporthybridvlan1porthybridvlan210untaggedporthybridpvidvlan2portprivate-vlanhostinterfaceGigabitEthernet1/0/2portlink-typehybridundoporthybridvlan1porthybridvlan310untaggedporthybridpvidvlan3portprivate-vlanhostinterfaceGigabitEthernet1/0/3portlink-typehybridundoporthybridvlan1porthybridvlan2to310untaggedporthybridpvidvlan10portprivate-vlan10promiscuous

3.查看PrimaryVLAN和SecondaryVLAN的映射關系,命令如下：[SW1]displ