开篇一个真实的“办公室网络难题”假设你在一家公司当网络管理员公司有三类人财务部需要高度保密不能让别人看到他们的数据。技术部经常做测试会发大量广播包。访客区给客户提供Wi-Fi但绝不允许访问公司内部网络。如果不做任何处理所有人连在同一台交换机上结果就是技术部的广播包会吵到财务部拖慢网络。访客可能通过ARP欺骗等手段窃取财务数据。你想分网络只能再买三台交换机——花钱、占地方、布线麻烦。有没有一种办法只用一台交换机就能解决所有问题有答案就是——VLAN。第一部分VLAN是什么通俗定义VLAN全称Virtual Local Area Network中文叫虚拟局域网。它的核心思想是把一台物理交换机用软件方式“切成”多台逻辑交换机。物理上所有设备插在同一台交换机上逻辑上不同部门分别属于不同的“虚拟网络”彼此就像隔着一堵墙无法直接通信。你可以想象一栋大楼交换机没有VLAN所有房间门都开着谁都能串门谁喊一声广播全楼都听得见。有了VLAN大楼被隔成多个独立楼层VLAN 10、VLAN 20。财务在10楼技术在20楼虽然楼梯物理线缆共用但楼层之间装了门禁广播只在本楼层传跨楼层必须走专用通道路由器。第二部分VLAN解决了哪些核心问题作用一隔离广播域提升网络性能问题在传统局域网中任何设备发送一个广播包比如“谁有打印机”所有设备都会收到并处理设备越多网络越拥堵。VLAN解决每个VLAN是一个独立的广播域。VLAN10的广播不会传到VLAN20网络流量大幅减少整体速度提升。作用二增强安全性防止数据泄露问题同一交换机上的设备默认都能互相通信财务数据和访客流量混在一起隐患极大。VLAN解决不同VLAN之间默认不能直接通信必须经过路由器或防火墙才能互通。财务部VLAN和访客VLAN被物理隔离即使插在同一台交换机上也无法互相访问。作用三灵活管理降低硬件成本问题每个部门买一台新交换机布线复杂、端口浪费、扩展困难。VLAN解决一台交换机可以划分出多个VLAN员工换工位时不需要换网线管理员只需在后台修改端口所属的VLAN即可。后期扩展时直接把新交换机加入对应VLAN无需重复布线。第三部分VLAN的基础知识为了显得不那么水这里再补充几个关键的概念术语说明VLANID每个VLAN的数字编号范围1~4094。例如VLAN10、VLAN20。默认VLAN大部分交换机默认所有端口属于VLAN1如果不配置相当于没做隔离。Access端口连接电脑、打印机等终端设备的端口属于某一个VLAN只能收发该VLAN的数据。Trunk端口连接交换机之间的端口可以同时传输多个VLAN的数据通过标签Tag区分不同VLAN。第四部分一个真实的配置场景假设你有两台交换机Switch1和Switch2想把财务部和技术部分开//这是CLI配置脚本 交换机配置以华为/Cisco风格为例 1.创建VLAN Switch1(config)#vlan10 Switch1(config-vlan)#nameFinance Switch1(config)#vlan20 Switch1(config-vlan)#nameTech 2.将端口加入VLAN Switch1(config)#interfacegigabitEthernet0/1 Switch1(config-if)#switchportmodeaccess Switch1(config-if)#switchportaccessvlan10//财务电脑 Switch1(config)#interfacegigabitEthernet0/2 Switch1(config-if)#switchportmodeaccess Switch1(config-if)#switchportaccessvlan20//技术电脑 3.连接交换机之间的端口设为Trunk Switch1(config)#interfacegigabitEthernet0/24 Switch1(config-if)#switchportmodetrunk配置完成后VLAN10和VLAN20就像两台独立交换机互不干扰。第五部分常见误区误区正确理解VLAN就是子网IP段不是。VLAN是二层隔离子网是三层划分通常二者配合使用但VLAN本身不依赖IP。VLAN多了网络就更安全不一定。VLAN本身不加密只是隔离。跨VLAN通信需要通过防火墙做策略控制才能达到真正安全。没有路由器VLAN之间也能通不能。不同VLAN是二层隔离要通信必须经过路由器三层设备做路由转发。结尾一句话总结VLAN是用软件把一台交换机“分身”成多台逻辑交换机的技术让网络更安全、更快、更灵活而且不增加硬件成本。VLAN 间通信如何实现请见同作者下一篇文章
开篇一个真实的“办公室网络难题”假设你在一家公司当网络管理员公司有三类人财务部需要高度保密不能让别人看到他们的数据。技术部经常做测试会发大量广播包。访客区给客户提供Wi-Fi但绝不允许访问公司内部网络。如果不做任何处理所有人连在同一台交换机上结果就是技术部的广播包会吵到财务部拖慢网络。访客可能通过ARP欺骗等手段窃取财务数据。你想分网络只能再买三台交换机——花钱、占地方、布线麻烦。有没有一种办法只用一台交换机就能解决所有问题有答案就是——VLAN。第一部分VLAN是什么通俗定义VLAN全称Virtual Local Area Network中文叫虚拟局域网。它的核心思想是把一台物理交换机用软件方式“切成”多台逻辑交换机。物理上所有设备插在同一台交换机上逻辑上不同部门分别属于不同的“虚拟网络”彼此就像隔着一堵墙无法直接通信。你可以想象一栋大楼交换机没有VLAN所有房间门都开着谁都能串门谁喊一声广播全楼都听得见。有了VLAN大楼被隔成多个独立楼层VLAN 10、VLAN 20。财务在10楼技术在20楼虽然楼梯物理线缆共用但楼层之间装了门禁广播只在本楼层传跨楼层必须走专用通道路由器。第二部分VLAN解决了哪些核心问题作用一隔离广播域提升网络性能问题在传统局域网中任何设备发送一个广播包比如“谁有打印机”所有设备都会收到并处理设备越多网络越拥堵。VLAN解决每个VLAN是一个独立的广播域。VLAN10的广播不会传到VLAN20网络流量大幅减少整体速度提升。作用二增强安全性防止数据泄露问题同一交换机上的设备默认都能互相通信财务数据和访客流量混在一起隐患极大。VLAN解决不同VLAN之间默认不能直接通信必须经过路由器或防火墙才能互通。财务部VLAN和访客VLAN被物理隔离即使插在同一台交换机上也无法互相访问。作用三灵活管理降低硬件成本问题每个部门买一台新交换机布线复杂、端口浪费、扩展困难。VLAN解决一台交换机可以划分出多个VLAN员工换工位时不需要换网线管理员只需在后台修改端口所属的VLAN即可。后期扩展时直接把新交换机加入对应VLAN无需重复布线。第三部分VLAN的基础知识为了显得不那么水这里再补充几个关键的概念术语说明VLANID每个VLAN的数字编号范围1~4094。例如VLAN10、VLAN20。默认VLAN大部分交换机默认所有端口属于VLAN1如果不配置相当于没做隔离。Access端口连接电脑、打印机等终端设备的端口属于某一个VLAN只能收发该VLAN的数据。Trunk端口连接交换机之间的端口可以同时传输多个VLAN的数据通过标签Tag区分不同VLAN。第四部分一个真实的配置场景假设你有两台交换机Switch1和Switch2想把财务部和技术部分开//这是CLI配置脚本 交换机配置以华为/Cisco风格为例 1.创建VLAN Switch1(config)#vlan10 Switch1(config-vlan)#nameFinance Switch1(config)#vlan20 Switch1(config-vlan)#nameTech 2.将端口加入VLAN Switch1(config)#interfacegigabitEthernet0/1 Switch1(config-if)#switchportmodeaccess Switch1(config-if)#switchportaccessvlan10//财务电脑 Switch1(config)#interfacegigabitEthernet0/2 Switch1(config-if)#switchportmodeaccess Switch1(config-if)#switchportaccessvlan20//技术电脑 3.连接交换机之间的端口设为Trunk Switch1(config)#interfacegigabitEthernet0/24 Switch1(config-if)#switchportmodetrunk配置完成后VLAN10和VLAN20就像两台独立交换机互不干扰。第五部分常见误区误区正确理解VLAN就是子网IP段不是。VLAN是二层隔离子网是三层划分通常二者配合使用但VLAN本身不依赖IP。VLAN多了网络就更安全不一定。VLAN本身不加密只是隔离。跨VLAN通信需要通过防火墙做策略控制才能达到真正安全。没有路由器VLAN之间也能通不能。不同VLAN是二层隔离要通信必须经过路由器三层设备做路由转发。结尾一句话总结VLAN是用软件把一台交换机“分身”成多台逻辑交换机的技术让网络更安全、更快、更灵活而且不增加硬件成本。VLAN 间通信如何实现请见同作者下一篇文章
