4.6. 虚拟局域网(VLAN)

4.6. 虚拟局域网(VLAN)
	第 4 章网络设置

4.6.1. 虚拟局域网简介

虚拟局域网概念

VLAN（Virtual Local Area Network）即虚拟局域网，是一种通过将局域网内的设备逻辑地而不是物理地划分成一个个网段从而实现虚拟工作组的新兴技术。
虚拟局域网的优点
1. 限制广播域。广播域被限制在一个VLAN内，节省了带宽，提高了网络处理能力。
2. 增强局域网的安全性。不同VLAN内的报文在传输时是相互隔离的，即一个VLAN内的用户不能和其它VLAN内的用户直接通信，如果不同VLAN要进行通信，则需要通过路由器或三层交换机等网络设备。
3. 灵活构建虚拟工作组。用VLAN可以划分不同的用户到不同的工作组，同一工作组的用户也不必局限于某一固定的物理范围，网络构建和维护更方便灵活。
4. 可启用DHCP服务给不同的VLAN网段分配各自的IP地址池，对网络客户机自动分配IP地址，有效地防止网络上计算机配置地址的冲突。
5. 局域网内所有客户机都可采用PPPoE 拨号到网关通过网关的实现共享上网，用户只需设置拨号账户即可方便入网。

4.6.2. 路由上划分VLAN

有如下网络拓扑图：

图 4.36. 某公司的网络拓扑图

中继接口使用 802.11q 封装，允许所有VLAN访问，在这种情况下，交换机上不需要设置默认路由。

海蜘蛛路由的LAN口主IP地址为192.168.0.254，并建立了4个逻辑VLAN，和交换机上的VLAN相对应。

DHCP服务器对VLAN-1/2/3/4 提供IP分配，每个VLAN获取对应网段的地址，即：

VLAN-1 下的机器获得 192.168.1.0/255.255.255.0 段的IP
VLAN-2 下的机器获得 192.168.2.0/255.255.255.0 段的IP
VLAN-3 下的机器获得 192.168.3.0/255.255.255.0 段的IP
VLAN-4 下的机器获得 192.168.4.0/255.255.255.0 段的IP

4.6.2.1.1. 路由器设置

划分vlan

“网络设置”->“VLAN 虚拟局域网”，新增VLAN网段，配置如下图所示：

图 4.37. VLAN网段配置

	提示
	这里VLAN_ID号必须大于1小于4095 。VLAN_ID与交换机上划分的VLAN_ID号需一一对应。在这种方法下不需要在海蜘蛛上添加静态路由和VLAN网络地址。

4.6.2.1.2. 交换机设置

        此为H3C S3600交换机的设置
DIS current-configuration
#
 sysname SystemTest
#
radius scheme system
#
domain system
#
local-user admin
 password simple admin
 service-type telnet
 level 3
 local-user sxy
 password simple sxy
 service-type telnet
#
vlan 1
#
vlan 100
 description Test1
#
vlan 200
 description Test2
#
vlan 300
 description Test3
#
vlan 400
 description Test4
#
interface Vlan-interface1
 ip address 192.168.0.1 255.255.255.0
#
interface Vlan-interface100
 ip address 192.168.1.1 255.255.255.0
#
interface Vlan-interface200
 ip address 192.168.2.1 255.255.255.0
#
interface Vlan-interface300
 ip address 192.168.3.1 255.255.255.0
#
interface Vlan-interface400
 ip address 192.168.4.1 255.255.255.0
#
interface Aux1/0/0
#
interface Ethernet1/0/1
 port access vlan 100
#
interface Ethernet1/0/2
 port access vlan 100
#
interface Ethernet1/0/3
 port access vlan 100
#
interface Ethernet1/0/4
 port access vlan 100
#
interface Ethernet1/0/5
 port access vlan 100
#
interface Ethernet1/0/6
 port access vlan 100
#
interface Ethernet1/0/7
 port access vlan 200
#
interface Ethernet1/0/8
 port access vlan 200
#
interface Ethernet1/0/9
 port access vlan 200
#
interface Ethernet1/0/10
 port access vlan 200
#
interface Ethernet1/0/11
 port access vlan 200
#
interface Ethernet1/0/12
 port access vlan 200
#
interface Ethernet1/0/13
 port access vlan 300
#
interface Ethernet1/0/14
 port access vlan 300
#
interface Ethernet1/0/15
 port access vlan 300
#
interface Ethernet1/0/16
 port access vlan 300
#
interface Ethernet1/0/17
 port access vlan 300
#
interface Ethernet1/0/18
 port access vlan 300
#
interface Ethernet1/0/19
 port access vlan 400
#
interface Ethernet1/0/20
 port access vlan 400
#
interface Ethernet1/0/21
 port access vlan 400
#
interface Ethernet1/0/22
 port access vlan 400
#
interface Ethernet1/0/23
 port access vlan 400
#
interface Ethernet1/0/24
 port link-type trunk
 port trunk permit vlan 1 100 200 300 400
#
interface GigabitEthernet1/1/1
#
interface GigabitEthernet1/1/2
#
interface GigabitEthernet1/1/3
#
interface GigabitEthernet1/1/4
#
 undo irf-fabric authentication-mode
#
interface NULL0
##
 voice vlan mac-address 0001-e300-0000 mask ffff-ff00-0000
#
user-interface aux 0 7
user-interface vty 0
 authentication-mode none
 user privilege level 3
 history-command max-size 20
 idle-timeout 6 0
 screen-length 30
 protocol inbound telnet
user-interface vty 1 4
#
return

4.6.2.1.3. 测试

使用ping测试工具来测试VLAN划分后网络连接是否正常,这里以192.168.2.0网段为例

检查客户机IP地址设置是否正确

图 4.38. 客户机IP地址实例
客户机是否可以ping通网关

图 4.39. 客户机ping网关

若ping的通，则VLAN配置成功；若ping不通网关，测试客户机是否可以ping通交换机VLAN接口IP地址

图 4.40. 客户机ping交换机vlan接口IP地址

这里一般都可以ping通，若ping不通，检查物理线路连接；若ping的通，测试是否可以ping通中继接口IP

图 4.41. 客户机ping中继接口IP地址

若ping不通，通过以下方法检测：

1.检查是否在交换机上配置了中继口以及中继口是否设置了允许所有VLAN通过

2.物理网络连接是否正确，路由与三层交换机之间不能存在其它硬件设配（集线器、网桥、交换机、路由器等等）
默认情况下，路由允许各VLAN之间访问，下面以访问VLAN3网段为例

图 4.42. 客户机ping 交换机 VLAN3 接口的IP地址

图 4.43. 客户机ping VLAN3 网段中某一个客户机的IP地址

若不通，检测客户机是否开启了防火墙。


4.5. 自定义路由表		4.7. 透明网桥