网络实验三_实验三：练习一 练习名称 单交换机 VLAN 的划分 实验目的 1. 理解交换机 VLAN 技术 2. 掌握交换机划分 VLAN 的方法 工具信息 1. RMT 2.地址本 实验原理: 练习名称 单交换机 VLAN 的划分 1. VLAN 的产生 以太网交换机在数据链路层上基于端口进行数据转发， 使得冲突域被缩小到交换机的每 一个端口，有效地提高了网络的利用率。但是，随着网络规模的增大，网络内主机数量将急 剧增加。如果这些主机都属于同一个局域网，也就是属于同一个广播域，那么网络中任一主 机发送的广播报文将被转发给该广播域内所有主机， 这样网络的利用率就会大大下降。 网络 中将传播过多的广播信息而引起的网络性能恶化的现象称为广播风暴。 怎么才能够避免这种情况的发生呢？首先想到的应该是减小广播域内的主机量， 也就是 将大的广播域隔离成多个较小的广播域， 这样主机发送的广播报文就只能在自己所属的某一 个小的广播域里传播， 从而提高了整个网络的带宽利用率。 最早用来隔离广播域的设备就是 常见的路由器， 但是路由器在处理数据报文时需要经过繁琐的软件处理， 并且由于路由器其 他功能的兼顾使得路由器的成本变得让一般局域网用户无法接受。 经过一段时间的发展， 出 现了现在广泛应用的 VLAN(Virtual Local Area Network， 虚拟局域网)技术——一种专门为隔 离二层广播报文设计的虚拟局域网技术。 路由器隔离广播域，是因为路由器的数据转发都在 IP 层进行，所以对于二层本地广播 来说，它无法通过路由器。那么 VLAN 技术又是如何实现广播报文的隔离呢？在 VLAN 技 术中，规定凡是具有 VLAN 功能的交换机在转发数据报文时，都需要确认该报文属于某一 个 VLAN，并且该报文只能被转发到属于同一个 VLAN 的端口或主机。即是说每一 VLAN 代表了一个广播域，不同的 VLAN 用户属于不同的广播域，它不能接收来自于不同 VLAN 用户的广播报文，如下图所示。

　　图 3-1-1 交换机划分 VLAN 隔离广播域 虚拟局域网将一组位于不同物理网段上的用户在逻辑上划分在一个局域网内， 在功能和 操作上与传统 LAN 基本相同，可以提供一定范围内终端系统的互联。VLAN 与传统的 LAN 相比，具有以下优势： (1) 增加了网络连接的灵活性 借助 VLAN 技术，能将不同地点、不同网络、不同用户组合在一起，形成一个虚拟的 网络环境，就像使用本地 LAN 一样方便、灵活、有效。VLAN 可以降低移动或变更工作站 地理位置的管理费用，特别是一些业务情况有经常性变动的公司使用了 VLAN 后，这部分

　　管理费用大大降低。 (2) 控制网络上的广播 VLAN 可以提供建立防火墙的机制，防止交换网络的过量广播。使用 VLAN，可以将 某个交换端口或用户赋予某一个特定的 VLAN 组，该 VLAN 组可以在一个交换网中或跨接 多个交换机，在一个 VLAN 中的广播不会送到 VLAN 之外。同样，相邻的端口不会收到其 他 VLAN 产生的广播。这样可以减少广播流量，释放带宽给用户应用，减少广播的产生。 (3) 增加网络的安全性 因为一个 VLAN 就是一个单独的广播域，VLAN 之间相互隔离，这大大提高了网络的 利用率，确保了网络的安全保密性。人们在 LAN 上经常传送一些保密的、关键性的数据。 保密的数据应提供访问控制等安全手段。 一个有效和容易实现的方法是将网络分成几个不同 的广播组， 网络管理员限制了 VLAN 中用户的数量， 禁止未经允许而访问 VLAN 中的应用。 交换端口可以基于应用类型和访问特权来进行分组， 被限制的应用程序和资源一般置于安全 性 VLAN 中。 2. VLAN 工作原理演示 VLAN(Virtual Local Area Network)的中文名为“虚拟局域网” ，注意不是“VPN”(虚拟专用 网)。VLAN 是一种将局域网设备从逻辑上划分(注意，不是从物理上划分)成一个个网段，从 而实现虚拟工作组的新兴数据交换技术。 这一新兴技术主要应用于交换机和路由器中， 但主 流应用还是在交换机之中。但又不是所有交换机都具有此功能，只有 VLAN 协议的第三层 以上交换机才具有此功能，这一点可以查看相应交换机的说明书即可得知。 IEEE 于 1999 年颁布了用以标准化 VLAN 实现方案的 802.1Q 协议标准草案。VLAN 技 术的出现， 使得管理员根据实际应用需求， 把同一物理局域网内的不同用户逻辑地划分成不 同的广播域， 每一个 VLAN 都包含一组有着相同需求的计算机工作站， 与物理上形成的 LAN 有着相同的属性。由于它是从逻辑上划分，而不是从物理上划分，所以同一个 VLAN 内的 各个工作站没有限制在同一个物理范围中，即这些工作站可以在不同物理 LAN 网段。由 VLAN 的特点可知，一个 VLAN 内部的广播和单播流量都不会转发到其他 VLAN 中，从而 有助于控制流量、减少设备投资、简化网络管理、提高网络的安全性。 交换技术的发展，也加快了新的交换技术(VLAN)的应用速度。通过将企业网络划分为 虚拟网络 VLAN 网段，可以强化网络管理和网络安全，控制不必要的数据广播。在共享网 络中，一个物理的网段就是一个广播域。而在交换网络中，广播域可以是有一组任意选定的 第二层网络地址(MAC 地址)组成的虚拟网段。这样，网络中工作组的划分可以突破共享网 络中的地理位置限制，而完全根据管理功能来划分。这种基于工作流的分组模式，大大提高 了网络规划和重组的管理功能。在同一个 VLAN 中的工作站，不论它们实际与哪个交换机 连接，它们之间的通讯就好像在独立的交换机上一样。同一个 VLAN 中的广播只有 VLAN 中的成员才能听到，而不会传输到其他的 VLAN 中去，这样可以很好的控制不必要的广播 风暴的产生。同时，若没有路由的话，不同 VLAN 之间不能相互通讯，这样增加了企业网 络中不同部门之间的安全性。网络管理员可以通过配置 VLAN 之间的路由来全面管理企业 内部不同管理单元之间的信息互访。交换机是根据用户工作站的 MAC 地址来划分 VLAN 的。所以，用户可以自由的在企业网络中移动办公，不论他在何处接入交换网络，他都可以 与 VLAN 内其他用户自如通讯。 VLAN 网络可以是有混合的网络类型设备组成，比如：10M 以太网、100M 以太网、令 牌网、FDDI、CDDI 等等，可以是工作站、服务器、集线器、网络上行主干等等。 VLAN 的主要目的就是划分广播域，那么在建设网络时，如何确定这些广播域？根据 物理端口、MAC 地址、协议还是子网？其实到目前为止，上述参数都可以用来作为划分广

　　播域的依据。 (1) 基于端口的 VLAN 划分 基于端口的 VLAN 划分方法是根据以太网交换机的端口来划分广播域的。也就是 说， 交换机某些端口连接的主机在一个广播域内， 而另一些端口连接的主机在另一个广播域， VLAN 和端口连接的主机无关，如下图和下表所示。

　　假设指定交换机的端口 1 和端口 7 属于 VLAN2，端口 2 和端口 10 属于 VLAN3， 此时，主机 A 和主机 C 在同一 VLAN，主机 B 和主机 D 在另一 VLAN 下。如果将主机 A 和主机 B 交换连接端口，则 VLAN 表仍然不变，而主机 A 变成与主机 D 在同一 VLAN，而 主机 B 和主机 C 在另一 VLAN 下。如果网络中存在多个交换机，还可以指定交换机 1 的端 口和交换机 2 的端口属于同一 VLAN，这样同样可以实现 VLAN 内部主机的通信，也隔离 广播报文的泛滥。所以这种 VLAN 划分方法的优点是定义 VLAN 成员非常简单，只要指定 交换机的端口即可；但是如果 VLAN 用户离开原来的接入端口，而连接到新的交换机端口， 就必须重新指定新连接的端口所属的 VLAN ID。 (2) 基于 MAC 地址的 VLAN 划分 基于 MAC 地址的 VLAN 划分方法是根据连接在交换机上主机的 MAC 地址来划分 广播域的。也就是说，某个主机属于哪一个 VLAN 只和它的 MAC 地址有关，和它连接在 哪个端口或者 IP 地址都没有关系。这种方式的 VLAN 允许网络用户从一个物理位置移动到 另一个物理位置时，自动保留其所属 VLAN 的成员身份。 这种划分 VLAN 的方法最大的优点在于当用户改变物理位置(改变接入端口)时， 不 用重新配置。因为它是基于用户，而不是基于交换机的端口。这种方法的缺点是初始化时， 所有的用户都必须进行配置，如果有几百个甚至上千个用户的话，配置是非常累的，所以这 种划分方法通常适用于小型局域网。而且这种划分的方法也导致了交换机执行效率的降低， 因为在每一个交换机的端口都可能存在很多个 VLAN 组的成员，保存了许多用户的 MAC 地址，查询起来相当不容易。另外，对于使用笔记本电脑的用户来说，他们的网卡可能经常 更换，这样 VLAN 就必须经常配置。 (3) 基于协议的 VLAN 划分 基于协议的 VLAN 划分方法是根据网络主机使用的网络协议来划分广播域的。 VLAN 按网络层协议来划分，可分为 IP、IPX、DECnet、AppleTalk、Banyan 等 VLAN 网络。 也就是说，主机属于哪一个 VLAN 取决于它所运行的网络协议，而与其他因素没有关系。 这种按网络层协议来组成的 VLAN，可使广播域跨越多个 VLAN 交换机。这对于希望针对 具体应用和服务来组织用户的网络管理员来说是非常具有吸引力的。 而且， 用户可以在网络 内部自由移动，但其 VLAN 成员身份仍然保留不变。 这种方法的优点是用户的物理位置改变了，不需要重新配置所属的 VLAN，而且 可以根据协议类型来划分 VLAN，这对网络管理者来说很重要，还有，这种方法不需要附加 的帧标签来识别 VLAN，这样可以减少网络的通信量。这种方法的缺点是效率低，因为检查 每一个数据包的网络层地址是需要消耗处理时间的(相对于前面两种方法)，一般的交换机芯 片都可以自动检查网络上数据包的以太网帧头，但要让芯片能检查 IP 帧头，需要更高的技

　　术，同时也更费时。这种 VLAN 划分在实际应用中非常少，因为目前绝大多数都是 IP 协议 的主机，其他协议的主机组件被 IP 协议主机代替，所以它很难将广播域划分得更小。 (4) 基于子网的 VLAN 划分 基于子网的 VLAN 划分方法是根据网络主机使用的 IP 地址所在的网络子网来划分 广播域的。也就是说，IP 地址为同一个子网的主机属于同一广播域，而与主机的其它因素 没有任何关系。这种 VLAN 划分方法管理配置灵活，网络用户自由移动位置而不需重新配 置主机或交换机， 并且可以按照传输协议进行子网划分， 从而实现针对具体应用服务来组织 网络用户。但这种方法也有它不足的一面，为了判断用户属性，必须检查每一个数据包的网 络层地址，这将耗费交换机不少的资源；并且同一个端口可能存在多个 VLAN 用户，这将 导致广播报文的抑制效率有所下降。 (5) 按策略划分 VLAN 基于策略组成的 VLAN 能实现多种分配方法，包括 VLAN 交换机端口、MAC 地 址、IP 地址、网络层协议等。网络管理人员可根据自己的管理模式和本单位的需求来决定 选择哪种类型的 VLAN。 (6) 按用户定义、非用户授权划分 VLAN 基于用户定义、非用户授权来划分 VLAN，是指为了适应特别的 VLAN 网络，根 据具体的网络用户的特别要求来定义和设计 VLAN，而且可以让非 VLAN 群体用户访问 VLAN，但是需要提供用户密码，在得到 VLAN 管理的认证后才可以加入一个 VLAN。 从上述几种 VLAN 划分方法的优缺点综合来看，基于端口划分 VLAN 是最普遍使 用的方法之一，它也是目前所有交换机都支持的一种 VLAN 划分方法。有少量交换机支持 MAC 地址的 VLAN 划分。 实验步骤： 实验过程简介： 1. 划分 VLAN 及 VLAN 内成员端口。 2. 配置 VLAN。 3. 验证同一 VLAN 内、不同 VLAN 内主机通信。 实验步骤 【实验说明】 实验开始前，首先使用分组切换器将实验主机切换到理论学习环境中； 将智能网络设备的网络结构切换到“网络结构四” ； 主机 A、B、C、D、E、F 使用【快照】将 Windows 虚拟机恢复到“网络结构 2”的状 态。 1. 组建实验环境 (1) 参见实验一练习三方案一步骤 1(1)的方法，禁用主机 B、D、E 的“本地连接”网 卡。 (2) 参见实验一练习三方案一步骤 1(2)的方法，将主机 A、C、F 设置为“自动获得 IP 地址” 的配置方式。 (3) 主机 A、B、C、D、E、F 在工具栏上单击【地址本】 ，对本机及本组其它主机进行 地址扫描并记录 IP 地址信息。 (4) 验证主机 A、B、C、D、E、F 间是否能够正常通信： 在主机 A 上分别 ping 主机 B、C、D、E、F； 在主机 B 上分别 ping 主机 A、C、D、E、F； 在主机 C 上分别 ping 主机 A、B、D、E、F；

　　在主机 D 上分别 ping 主机 A、B、C、E、F； 在主机 E 上分别 ping 主机 A、B、C、D、F； 在主机 F 上分别 ping 主机 A、B、C、D、E。 ● 观察实验现象，各主机间能 ping 通吗？简要的说明原因。 2. 划分 VLAN 实现交换机端口隔离 (1) 分别在主机 A、B、C、D、E、F 上启动 RMT 控制台，并选择合适的交换机。 (a) 在工具栏中单击【RMT】 ，弹出 RMT 界面。 (b) 在“Selected Network Interface”下拉列表框中选择有效的网络接口(主机 A、C、 F 选择“本地连接”接口，主机 B、D、E 选择“外部连接”接口)。如下图所示：

　　图 3-1-3 交换机网络接口选择 (c) 在“Discovered Switches”列表框中双击本组交换机，从而选中该交换机。

　　在主机 A 上分别 ping 主机 B、D、E； 在主机 B 上分别 ping 主机 A、C、F； 在主机 C 上分别 ping 主机 B、D、E； 在主机 D 上分别 ping 主机 A、C、F； 在主机 E 上分别 ping 主机 A、C、F； 在主机 F 上分别 ping 主机 B、D、E。 ● 上面的操作能 ping 通吗？说明原因。 (3) 参照实验一练习三方案一步骤 3(6)的方法恢复交换机为初始状态。 练习二： 练习名称 跨交换机 VLAN 的划分 实验目的 1. 理解跨交换机划分 VLAN 的原理 2. 掌握跨交换机划分 VLAN 的方法 工具信息 无练习名称 跨交换机 VLAN 的划分 实验原理： 标签 VLAN 是基于交换机端口的另外一种类型，主要用于实现跨交换机的相同 VLAN 内主 机之间可以直接访问， 同时对不同 VLAN 的主机进行隔离， 起到数据安全的传输。 标签 VLAN 遵循了 IEEE802.1Q 协议的标准。 在利用配置了标签 VLAN 的接口进行数据传输时， 需要在数据帧添加 4 个字节的 802.1Q 标签信息， 用于标志该数据帧属于哪一个 VLAN， 以便于对端交换机接收到的数据帧后进行 准确的过滤。 对于主机来说，它是不需要知道 VLAN 的存在的。主机发出的报文都是无标签的；交 换机接收到这样的报文之后，根据配置规则(如端口信息)判断出报文所属 VLAN 进行处理。 如果报文需要通过另外一台交换机发送， 则该报文必须通过 Trunk 链路传输到另外一台交换 机上。为了保证其它交换机正确处理报文的 VLAN 信息，在 Trunk 链路上发送的报文都带 上了 VLAN 标签。 当交换机最终确定报文发送端口后，将报文发送给主机之前，将 VLAN 的标签从以太 网帧中删除，这样主机接收到的报文都是不带 VLAN 的标签的以太网帧。 所以，一般情况下，Trunk 链路上传送的都是带标签的帧，接入链路上传送的都是无标 签的帧。这样做的最终结果是：网络中配置的 VLAN 可以被所有的交换机正确处理，而主 机不需要了解 VLAN 信息。 标签 VLAN 能使在同一 VLAN 里的计算机系统能跨交换机进行相互通信，而在不同的 VLAN 里的计算机系统不能进行相互通信。 实验步骤： 实验过程简介 1. 按照实验拓扑图连接硬件设备。 2. 各主机配置相同网段的 IP 地址。

　　划分 VLAN 及 VLAN 内成员端口。 配置 VLAN。 验证跨交换机同一 VLAN 内主机通信。 配置 Trunk。 查询 VLAN 信息并分析。 验证跨交换机同一 VLAN 内主机通信。 保存当前配置信息。 查询当前配置信息。 实验环境恢复。

　　实验步骤 【实验说明】 实验开始前，首先使用分组切换器将实验主机切换到实践操作环境中； 主机 A、B、C、D、E、F 使用【快照】将 Windows 虚拟机恢复到“网络结构 1”的状 态； 本练习将主机 A、B、C、D、E、F 作为一组进行实验。 依照拓扑图进行设备连接 主机 A 通过直连线 口； 主机 B 通过直连线 口； 主机 C 通过直连线 口； 主机 D 通过直连线 口； 主机 E 通过直连线 口； 主机 F 通过直连线 口通过直连线 口； 主机 A 将配置线 的 Console 口，COM 端连接到主机 A 的 COM 口； 主机 D 将配置线 的 Console 口，COM 端连接到主机 D 的 COM 口。 1. 2. 各主机配置 IP 地址 主机 A 配置 IP 地址为 192.168.0.1，子网掩码为 255.255.255.0，无默认网关； 主机 B 配置 IP 地址为 192.168.0.2，子网掩码为 255.255.255.0，无默认网关； 主机 C 配置 IP 地址为 192.168.0.3，子网掩码为 255.255.255.0，无默认网关； 主机 D 配置 IP 地址为 192.168.0.4，子网掩码为 255.255.255.0，无默认网关； 主机 E 配置 IP 地址为 192.168.0.5，子网掩码为 255.255.255.0，无默认网关； 主机 F 配置 IP 地址为 192.168.0.6，子网掩码为 255.255.255.0，无默认网关。 配置超级终端并启动设备 (1) 配置超级终端 主机 A、主机 D 选择“开始-所有程序-附件-通讯-超级终端” ，打开超级 主机 A、主机 D 配置超级终端实例名称。 主机 A、主机 D 配置 COM 口属性。