RCCP_T001_V2.61.ppt

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,正文,第一章,VLAN,技术,教学目标,通过本章学习使学员能够：,1,、掌握二层交换机中的,VLAN,基本配置；,2,、掌握,VLAN,间路由的基本配置；,3,、掌握,Private VLAN,的应用场合及配置；,4,、掌握,Super VLAN,的应用场合及配置。,本章内容,VLAN,基本配置,使用,SVI,实现,VLAN,间通信,使用单臂路由实现,VLAN,间通信,Private VLAN,原理与配置,Super VLAN,原理与配置,课程议题,VLAN,配置,交换网络中的问题,在交换机组成的校园网络里所有主机都在同一个广播域内,广播域,安全,广播,交换网络中的问题,通过,VLAN,技术可以对网络进行一个安全的隔离、分割广播域,VLAN 10,VLAN 40,VLAN 30,VLAN 20,VLAN,技术,1,2,3,4,交换机,广播帧,广播域,广播帧,广播域,VLAN,概述（,Virtual Local Area Network,）,VLAN,是划分出来的逻辑网络，是第二层网络。,VLAN,端口不受物理位置的限制。,VLAN,隔离广播域。,VLAN,技术的好处,通过在交换网络中的,VLAN,技术的实施，可以为网络带来很多诸如隔离广播、安全、负载分担等好处。,隔离广播：,在交换网络中，通过广播域的隔离，可以大大减少网络中泛洪的广播包，从而提高网络中的带宽利用率。,安全性：,通过在二层网络划分,VLAN,，可以实现在二层网络中不同,VLAN,间的数据隔离，。,故障隔离：,通过,VLAN,的划分，由于将设备划分到不同的广播域当中，可以减小网络故障的影响。,IEEE802.1Q,数据帧,标记协议标识（,TPID,）,:,固定值,0 x8100,表示该帧载有,802.1Q,标记信息,标记控制信息（,TCI,）,:,Priority,：,3,比特，表示优先级,Canonical format indicator,：,1,比特，表示总线型以太网、,FDDI,、令牌环网,VlanID,：,12,比特，表示,VID,，范围,1,4094,Trunk,端口工作原理,802.1Q,工作特点：,Trunk,上默认会转发交换机上存在的所有,VLAN,的数据。,交换机在从,Trunk,口转发数据前会在数据打上个,Tag,标签，在到达另一交换机后，再剥去此标签。,Native VLAN,：这类,VLAN,可以省略掉打标签的过程，但是网络中只能有一个,Native VLAN,，默认情况下，锐捷交换机上的,Native VLAN,是,VLAN 1,。,数据帧,Tag,标签,Trunk,Trunk,数据帧,A,B,配置,VLAN,创建,VLAN,步骤,1,：进入全局配置模式,Switch#,configure terminal,步骤,2,：创建,VLAN,Switch(config)#,vlan,vlan-id,步骤,3,：（可选）命名,VLAN,Switch(config-vlan)#,name,vlan-name,配置,VLAN,将端口加入,VLAN,步骤,1,：进入端口配置模式,Swtich(config)#,interface,interface,步骤,2,：将端口模式设置为接入端口,Switch(config-if)#,switchport mode access,步骤,3,：将端口添加到特定,VLAN,Switch(config-if)#,switchport access vlan,vlan-id,配置,VLAN,将端口加入,VLAN,示例：将端口,FastEthernet 0/1,加入,VLAN,Switch#configure terminal,Switch(config)#interface fastEthernet 0/1,Switch(config-if)#switchport mode access,Switch(config-if)#switchport access vlan 10,Switch(config-if)#end,配置,VLAN,将一组端口加入,VLAN,步骤,1,：进入到一组需要添加到,VLAN,的端口中,Swtich(config)#,interface range,interface-range,步骤,2,：将端口模式设置为接入端口,Switch(config-range-if)#,switchport mode access,步骤,3,：将一组端口划分到指定,VLAN,Switch(config-range-if)#,swtichport access vlan,vlan-id,配置,VLAN,将一组端口加入,VLAN,示例：将端口,fastEthernet 0/15,0/7,同时划分到,VLAN10,Switch#configure terminal,Switch(config)#interface range fastEthernet 0/1-5,0/7,Switch(config-if-range)#switchport mode access,Switch(config-if-range)#switchport access vlan 10,Switch(config-if-range)#exit,VLAN,配置,配置,Trunk,和,Native VLAN,将级联端口设置为,Trunk,步骤,1,：进入需要配置的端口,swtich(config)#,interface,interface,步骤,2,：将端口的模式设置为,Trunk,Switch(config-if)#,switchport mode trunk,配置,Native VLAN,步骤,1,：进入到需要配置的,Trunk,端口中,swtich(config)#,interface,interface,步骤,2,：配置,Trunk,的,Native VLAN,Switch(config-if)#,switchport trunk native vlan,vlan-id,配置,VLAN,配置,VLAN,许可列表,步骤,1,：进入全局配置模式,Switch#,configure terminal,步骤,2,：进入需要配置为,Trunk,的端口,Switch(config)#,interface,interface,步骤,3,：,定义该端口模式为,Trunk,Switch(config-range-if)#,switchport mode trunk,步骤,4,：,定义,Trunk,的,VLAN,列表,Switch(config-if)#,switchport trunk allowed vlan,all,|,add,|,remove,|,except,vlan-list,配置,VLAN,查看、删除,VLAN,删除,VLAN,Switch(config)#no vlan,VLAN-id,验证配置信息,Switch#show interfaces fastethernet0/20 switchport,Interface Switchport Mode Access Native Protected VLAN lists,-,Fa0/20 Enabled Trunk 1 1 Enabled 1,3-4094,Switch#show vlan,VLAN Name Status Ports,-,1 default active Fa0/1,Fa0/2,Fa0/3,Fa0/4,课程议题,SVI,实现,VLAN,间通信,划分,VLAN,的问题,划分,VLAN,的问题,在交换机上划分,VLAN,后，带来了隔离广播、提高安全性、隔离故障的好处，但是，问题是不同,VLAN,之间无法通过二层设备互相通信。,解决办法,通过三层设备实现,VLAN,间路由。,F0/3,F0/1,F0/2,SVI,实现不同,VLAN,间相互通信,三层交换机上配置,SVI,接口地址,各,VLAN,中主机将三层交换机上相应,VLAN,的,SVI,接口地址作为本,VLAN,网关,数据到达三层交换机后利用路由功能转发到其他,VLAN,配置,SVI,步骤,1,开启路由功能（默认）,Switch(config)#,ip routing,步骤,2,创建,VLAN,Switch(config)#,vlan,vlan-id,步骤,3,进入,VLAN,的,SVI,接口配置模式,Switch(config)#,interface vlan,vlan-id,步骤,4,给,SVI,接口配置,IP,地址,Switch(config-if)#,ip address,ip-address mask,配置,SVI,示例,Switch#,configure terminal,Switch(config)#,vlan 10,Switch(config-vlan),exit,Switch(config)#,vlan 20,Switch(config-vlan)#,exit,Switch(config)#,interface vlan 10,Switch(config-if)#,ip address 192.168.1.1 255.255.255.0,Switch(config-if)#,no shutdown,Switch(config)#,interface vlan 20,Switch(config-if)#,ip address 192.168.2.1 255.255.255.0,Switch(config-if)#,no shutdown,课程议题,使用单臂路由,实现,VLAN,间通信,路由器实现,VLAN,间路由,在路由器上为每个,VLAN,划分一个子接口,每个子接口配置,IP,地址，作为相应,VLAN,的网关,利用路由器的路由功能，实现不同子接口数据的转发,缺点是：部署不灵活，形成网络瓶颈。,单臂路由配置,步骤,1,：创建以太网子接口,Router(config),#interface,interface,.,sub-port,步骤,2,：为子接口封装,802.1q,协议，并指定接口所属的,VLAN,Router(config-subif),#encapsulation dot1q,vlan-id,步骤,3,：为子接口配置,IP,地址,Router(config-subif),#ip address,ip-address,mask-address,步骤,4,：启用子接口,Router(config-subif),#no shutdown,单臂路由配置示例,Router(config)#,interface fastEthernet 0/0.1,Router(config-subif)#,encapsulation dot1q 10,Router(config-subif)#,ip address 192.168.1.1 255.255.255.0,Router(config-subif)#,no shutdown,Router(config-subif)#,exit,Router(config)#,interface fastEthernet 0/0.2,Router(config-subif)#,encapsulation dot1q 20,Router(config-subif)#,ip address 192.168.2.1 255.255.255.0,Router(config-subif)#,no shutdown,Router(config-subif)#,end,课程议题,Private VLAN,划分,VLAN,的问题,可分配的,VLAN,编号是,1-4094,，需要划分更多的,VLAN,怎么办,每一个,VLAN,都划分一个子网，当划分多个,VLAN,时，导致地址的浪费,F0/1,F0/2,F0/3,Private VLAN,Private VLAN,（私有,VLAN,，,PVLAN,）,是能够为相同,VLAN,内不同端口提供隔离的,VLAN,。,F0/1,F0/2,F0/3,Pravite VLAN,的组成,PVLAN,可以将一个,VLAN,的二层广播域划分成多个子域，每个子域都由一对,VLAN,组成：,Primary VLAN,（主,VLAN,）和,Secondary VLAN,（辅助,VLAN,组成）。,Secondary VLAN,F0/2,F0/1,Secondary VLAN,Primary VLAN,Pravite VLAN,的组成,主,VLAN,：,主,VLAN,是,PVLAN,的高级,VLAN,，每个,PVLAN,中只有一个主,VLAN,。,辅助,VLAN,：,辅助,VLAN,是,PVLAN,中的子,VLAN,，并且映射到一个主,VLAN,。每台接入设备都连接到辅助,VLAN,。,隔离,VLAN,（,Isolated VLAN,）：,同一个隔离,VLAN,中的端口互相不能进行二层通信，一个私有,VLAN,域中只有一个隔离,VLAN,。,团体,VLAN,（,Community VLAN,）：,同一个团体,VLAN,中的端口可以进行二层通信，但是不能与其他团体,VLAN,中的端口进行二层通信，一个私有,VLAN,中可以有多个团体,VLAN,。,Pravite VLAN,的端口类型,混杂端口（,Promiscuous Port,）：混杂端口为主,VLAN,中的端口，可以与任意端口通信，包括同一个,PVLAN,中的隔离端口和团体端口。,隔离端口（,Isolated Port,）：隔离端口为隔离,VLAN,中的端口，隔离端口只能与混杂端口进行通信。,团体端口（,Community Port,）：团体端口为团体,VLAN,中的端口，同一个团体,VLAN,中的团体端口之间可以互相通信，并且团体端口可以与混杂端口通信，但是不能与其他团体,VLAN,的端口进行通信。,Private VLAN,的实现,主,VLAN,中的混杂端口用于连接到网关设备，可以和本,VLAN,中所有端口通信,隔离,VLAN,中的各端口均为隔离端口，互相不可通信，也不可与其他隔离,VLAN,或团体,VLAN,通信,团体,VLAN,中的端口均为团体端口，可与本团体端口通信，不可与其他团体端口或隔离端口通信,配置,Private VLAN,配置,Private VLAN,主要包括以下几个步骤：,配置主,VLAN,与辅助,VLAN,关联辅助,VLAN,到主,VLAN,将辅助,VLAN,映射到主,VLAN,的,3,层接口,配置主机端口,配置混杂端口,配置,Private VLAN,配置主,VLAN,与辅助,VLAN,步骤,1,：,进入配置模式,Switch#configure terminal,步骤,2,：进入,VLAN,配置模式,Switch(config)#vlan,vid,步骤,3,：配置私有,VLAN,类型,Switch(config-vlan)#private-vlan community|isolated|primary,在,802.1q VLAN,中，有成员端口的,VLAN,不能配置为私有,VLAN,。,VLAN 1,不能配置为私有,VLAN,。,配置,Private VLAN,关联辅助,VLAN,到主,VLAN,步骤,1,：进入主,VLAN,的,VLAN,配置模式,Switch(config)#,vlan,p_vid,步骤,2,：关联辅助,VLAN,到主,VLAN,Switch(config-vlan)#,private-vlan association,add,|,remove,svlist,将辅助,VLAN,映射到主,VLAN,的三层接口,步骤,1,：进入主,VLAN,的,VLAN,接口模式,Switch(config)#,interface vlan,p_vid,步骤,2,：映射辅助,VLAN,到主,VLAN,的三层接口,Switch(config-if)#,private-vlan mapping,add,|,remove,svlist,配置,Private VLAN,配置主机端口,步骤,1,：,进入主机端口,Switch(config)#,interface,port-type port,步骤,2,：配置端口为主机端口,Switch(config-if)#,switchport mode private-vlan host,步骤,3,：关联主机端口到,PVLAN,Switch(config-if)#,switchport,private-vlan,host-association,p_vid s_vid,配置混杂端口,步骤,1,：进入主机端口,Switch(config)#,interface,interface,步骤,2,：配置端口为混杂端口,Switch(config-if)#,switchport mode private-vlan promiscuous,步骤,3,：配置混杂端口所在的主,VLAN,以及关联的辅助,VLAN,Switch(config-if)#,switchport private-vlan mapping,p_vid,add,|,remove,svlist,配置,Private VLAN,配置,Private VLAN,注意事项,一个,Private VLAN,处于,Active,状态必须满足下列条件：,具有主,VLAN,具有辅助,VLAN,辅助,VLAN,和主,VLAN,进行关联,主,VLAN,内有混杂端口,配置,Private VLAN,示例,配置,Private VLAN,示例,Swich#,configure terminal,Switch(config)#,vlan 10,Switch(config-vlan)#,private-vlan primary,Switch(config-vlan)#,exit,Switch(config)#,vlan 20,Switch(config-vlan)#,private-vlan community,Switch(config-vlan)#,exit,Switch(config)#,vlan 30,Switch(config-vlan)#,private-vlan isolated,Switch(config-vlan)#,exit,Switch(config)#,vlan 10,Switch(config-vlan)#,private-vlan association add 20,30,Switch(config-vlan)#,exit,配置,Private VLAN,示例,Switch(config)#,interface range fastEthernet 0/1-2,Switch(config-if-range)#,switchport mode private-vlan host,Switch(config-if-range)#,switchport private-vlan host-association 10 30,Switch(config-if-range)#,exit,Switch(config-if)#,interface range fastEthernet 0/3-4,Switch(config-if-range)#,switchport mode private-vlan host,Switch(config-if-range)#,switchport private-vlan host-association 10 20,Switch(config-if-range)#,exit,Switch(config)#,interface fastEthernet 0/5,Switch(config-if)#,switchport mode private-vlan promiscuous,Switch(config-if)#,switchport private-vlan mapping 10 add 20,30,Switch(config-if)#,end,课程议题,Super VLAN,Super VLAN,Super VLAN,又称为,VLAN,聚合,，,是一种专门优化,IP,地址管理的技术,可以将一个网段的,IP,分给不同的子,VLAN,（,Sub VLAN,），这些,Sub VLAN,同属于一个,Super VLAN,。,Sub VLAN,F0/2,F0/1,Sub VLAN,Super VLAN,IP,子网,Super VLAN,Super VLAN,特点,每一个,Sub VLAN,都是独立的广播域,属于同一,Super VLAN,的,Sub VLAN,在同一子网中,Sub VLAN,间的用户需要进行通信时，将使用,Super VLAN,的,VLAN,接口的,IP,地址作为网关地址,不同,Sub VLAN,间的互通及,Sub VLAN,与其他网络的互通，需要利用,ARP,代理（,Proxy ARP,）功能,Sub VLAN,通信过程,同一,Sub VLAN,中主机的通信可以直接进行,不同,Super VLAN,中的主机通信时，需要经过交换机进行,ARP,代理,Super VLAN,注意事项,部署,Sub VLAN,的注意事项：,Super VLAN,不能包含任何成员端口，只能包含,Sub VLAN,。,Sub VLAN,包含物理端口。,Super VLAN,不能作为其他,Super VLAN,的,Sub VLAN,。,PVLAN,主要用于解决,VLAN,数量受限制的问题，,Super VLAN,主要用于节省,IP,地址。,Super VLAN,不能当正常的,802.1q VLAN,来使用。,VLAN 1,不能作为,Super VLAN,。,针对,Sub VLAN,不能创建,VLAN,接口并分配,IP,地址。,Super VLAN,不能使用,VRRP,，不支持多播。,基于,Super VLAN,接口的,ACL,和,QoS,配置不对,Sub VLAN,生效。,配置,Super VLAN,配置,Super VLAN,主要分为以下几个步骤：,定义,Super VLAN,配置,Super VLAN,的,Sub VLAN,设置,Sub VLAN,的地址范围,配置,Super VLAN,的,SVI,地址,划分接口到,Sub VLAN,配置,Super VLAN,定义,Super VLAN,步骤,1,：进入,VLAN,配置模式,Switch(config)#,vlan,vlan-id,步骤,2,：配置,VLAN,为,Super VLAN,Switch(config-vlan)#,supervlan,配置,Super VLAN,的,Sub VLAN,步骤,1,：进入,Super VLAN,的配置模式,Switch(config)#,vlan,vlan-id,步骤,2,：配置,Super VLAN,的,Sub VLAN,列表,Switch(config-vlan)#,subvlan,v,lan-id-list,配置,Super VLAN,配置,Sub VLAN,的地址范围,步骤,1,：进入,Sub VLAN,的配置模式,Switch(config)#,vlan,vlan-id,步骤,2,：设置,Sub VLAN,的地址范围,Switch(config)#,subvlan-address-range,start-ip end-ip,配置,Super VLAN,的虚接口,步骤,1,：进入,Super VLAN,的配置模式,Switch(config)#,interface vlan,vlan-id,步骤,2,：,配置,Super VLAN,的虚接口,Switch(config-if)#,ip address,ip-address mask,配置,Super VLAN,配置,VLAN,的代理,ARP,功能,步骤,1,：,进入,VLAN,配置模式,Switch(config)#,vlan,v,lan-id,步骤,2,：,打开,VLAN,的,ARP,代理功能,Switch(config-vlan)#,proxy-arp,查看,Super,VLAN,配置,Switch#,show supervlan,课程回顾,VLAN,基本配置,使用SVI实现VLAN间通信,使用单臂路由实现VLAN间通信,Private VLAN原理与配置,Super VLAN原理与配置,Q&A,