一.VLAN基礎
VLAN（Virtual Local Area Network，虛擬局域網）是一種將局域網設備從邏輯上劃分成一個 個網段，從而實現虛擬工作組的數據交換技術，這種技術通過在局域網數據幀上定義擴展字段， 來對物理網絡進行邏輯上的分割，從而限定局域網數據幀的轉發范圍，縮小廣播域。VLAN技 術主要應用于交換機、路由器和無線控制器等網絡設備中。
VLAN基礎及簡單的VLAN劃分方法
同一個VLAN中的用戶間通信就和在一個局域網內一樣，同一個VLAN中的廣播只有VLAN中的 成員才能聽到，而不會傳輸到其他的VLAN中去，從而控制不必要的廣播風暴的產生。同時， 若沒有路由，不同VLAN之間不能相互通信，從而提高了不同工作組之間的信息安全性。網絡 管理員可以通過配置VLAN之間的路由來全面管理網絡內部不同工作組之間的信息互訪。
VLAN基礎及簡單的VLAN劃分方法
1技術特點
(1)端口的分隔。即便在同一個交換機上，處于不同VLAN的端口也是不能通信的。這樣一個物理的交換機可以當作多個邏輯的交換機使用。
(2)網絡的安全。不同VLAN不能直接通信，杜絕了廣播信息的不安全性。
(3)靈活的管理。更改用戶所屬的網絡不必換端口和連線，只更改軟件配置就可以了。
2.TAG和UNTAG
基于端口的VLAN,這是最常應用的一種VLAN劃分方法，應用也最為廣泛、最有效，目前絕大多數VLAN協議的交換機都提供這種VLAN配置方法。這種劃分VLAN的方法是根據以太網交換機的交換端口來劃分的，它是將VLAN交換機上的物理端口和VLAN交換機內部的PVC（永久虛電路）端口分成若干個組，每個組構成一個虛擬網，相當于一個獨立的VLAN交換機。
IEEE于1999年發布了用以規范VLAN實現的IEEE Std 802.1Q標準。 IEEE 802.1Q協議標準為各種局域網網絡結構定義了VLAN的Tag字段，不同網絡結構中，連接 設備可以通過共同的數據特征進行VLAN識別。
對于常見的以太網網絡模型，其主要的報文封裝格式類型有兩種，分別為Ethernet II型和 802.2/802.3型。對于這兩種以太網報文的封裝格式，IEEE 802.1Q協議標準在數據幀首部的目 的mac地址（DA）和源MAC地址（SA）后定義了VLAN Tag，用以標識VLAN的相關信息。
VLAN基礎及簡單的VLAN劃分方法
VLAN基礎及簡單的VLAN劃分方法
3. 端口的鏈路類型
對于不同部門需要互訪時，可通過路由器轉發，并配合基于MAC地址的端口過濾。對某站點的訪問路徑上最靠近該站點的交換機、路由交換機或路由器的相應端口上，設定可通過的MAC地址集。這樣就可以防止非法入侵者從內部盜用IP地址從其他可接入點入侵的可能。
以太網端口有 3種鏈路類型:access、trunk、General
Access類型端口只能屬于1個VLAN 般用于連接計算機端口；
Trunk類型端口可以允許多個VLAN通過,可以接收和發送多個VLAN 報文,一般用于交換機之間的連接；
General類型端口可以允許多個VLAN通過，可以接收和發送多個VLAN 報文，可以用于交換機的間連接也可以用于連接用戶計算機。
General端口和Trunk端口在接收數據時處理思路方法是一樣的，唯一區別的處在于發送數據時:General端口可以允許多個VLAN報文發送時不打標簽，而Trunk端口只允許缺省VLAN報文發送時不打標簽。
缺省VLAN( PVID）:
Access端口只屬于1個VLAN 所以它缺省VLAN就是它所在VLAN不用設置；
General端口和 Trunk端口屬于多個VLAN，所以需要設置缺省VLAN ID。缺省情況下 Hybrid端口和Trunk端口缺省VLAN為VLAN 1；
如果設置了端口缺省VLAN ID當端口接收到不帶VLAN Tag報文后則將報文轉發到屬于缺省VLAN的端口；當端口發送帶有VLAN Tag報文時，如果該報文 VLAN ID和端口缺省VLAN ID相同，則系統將去掉報文VLAN Tag，然后再發送該報文。
交換機接口出入數據處理過程:
Acess端口收報文:收到個報文判斷是否有VLAN信息:如果沒有則打上端口 PVID并進行交換、轉發，如果有則直接丟棄(缺省) Acess端口發報文:將報文VLAN信息剝離直接發送出去
trunk端口收報文:收到一個報文，判斷是否有VLAN信息:如果沒有則打上端口 PVID 并進行交換轉發，如果有判斷VLAND ID是否在該trunk的允許范圍內，如果在范圍內則轉發，否則丟棄
trunk端口發報文:比較端口PVID和將要發送報文VLAN信息如果兩者相等則剝離VLAN信息再發送，如果不相等則直接發送
General端口收報文:收到一個報文，判斷是否有VLAN信息:如果沒有則打上端口 PVID 并進行交換轉發。如果有則判斷該General端口是否允許該VLAN數據進入:如果可以則轉發，否則丟棄(此時端口上untag配置是不用考慮，untag配置只對發送報文時起作用)
General端口發報文:
1、判斷該VLAN在本端口屬性
2、如果是untag,則剝離VLAN信息再發送;如果是tag,則直接發送.
VLAN基礎及簡單的VLAN劃分方法
二.如何劃分VLAN
1. 如下圖所示，接入交換機是二層交換機，使用匯聚交換機（三層交換機）作為用戶的網關。
2. PC1和PC2分別屬于VLAN 2和VLAN 3，通過接入交換機SW2接入匯聚交換機。
3. PC3和PC4屬于VLAN 4，通過SW3接入匯聚交換機。
4. 匯聚交換機作為PC1、PC2、PC3和PC4的網關，實現用戶PC間的互訪以及Internet訪問。
5. 內網VLAN 2的網段為192.168.2.0/24，VLAN 3的網段為192.168.3.0/24，VLAN 4的網段為192.168.4.0/24。
配置思路
1. 配置接入交換機，基于接口劃分VLAN，實現二層互通。
2. 配置匯聚交換機作為用戶的網關并啟用DHCP功能，實現三層互通并為用戶自動分配IP。
3. 配置匯聚交換機與AR相連的接口及默認路由，實現與AR的對接。
4. 配置AR與匯聚交換機相連的接口及到內網網段的路由，實現與匯聚交換機的對接。
5. 配置AR的上網功能。
6. 配置NAT實現內網訪問互聯網
操作步驟
一、配置接入交換機
將接口加入相應VLAN
<SW2> system-view
[SW2] vlan batch 2 3
[SW2] interface gigabitethernet 0/0/1
[SW2-GigabitEthernet0/0/1] port link-type access
[SW2-GigabitEthernet0/0/1] port default vlan 2
[SW2-GigabitEthernet0/0/1] quit
[SW2] interface gigabitethernet 0/0/3
[SW2-GigabitEthernet0/0/3] port link-type access
[SW2-GigabitEthernet0/0/3] port default vlan 3
[SW2-GigabitEthernet0/0/3] quit
[SW2] interface gigabitethernet 0/0/2
[SW2-GigabitEthernet0/0/2] port link-type trunk
[SW2-GigabitEthernet0/0/2] port trunk allow-pass vlan 2 3
SW3也類似，這里就不貼腳本啦
配置匯聚交換機
1. 將互聯接口加入相應VLAN
<SW1> system-view
[SW1] vlan batch 2 3 4
[SW1] interface gigabitethernet 0/0/2
[SW1-GigabitEthernet0/0/2] port link-type trunk
[SW1-GigabitEthernet0/0/2] port trunk allow-pass vlan 2 3
[SW1-GigabitEthernet0/0/2] quit
[SW1] interface gigabitethernet 0/0/3
[SW1-GigabitEthernet0/0/3] port link-type access
[SW1-GigabitEthernet0/0/3] port default vlan 4
[SW1-GigabitEthernet0/0/3] quit
2、配置VLANIF接口和DHCP服務器
[SW1] dhcp enable
[SW1] interface vlanif 2
[SW1-Vlanif2] ip address 192.168.2.1 255.255.255.0
[SW1-Vlanif2] dhcp select interface
[SW1-Vlanif2] dhcp server DNS-list 114.114.114.114
[SW1-Vlanif2] quit[SW1] interface vlanif 3
[SW1-Vlanif3] ip address 192.168.3.1 255.255.255.0
[SW1-Vlanif3] dhcp select interface
[SW1-Vlanif3] dhcp server dns-list 114.114.114.114
[SW1-Vlanif3] quit[SW1] interface vlanif 4
[SW1-Vlanif4] ip address 192.168.4.1 255.255.255.0
[SW1-Vlanif4] dhcp select interface
[SW1-Vlanif4] dhcp server dns-list 114.114.114.114[SW1-Vlanif4] quit
