網絡部署實戰：網絡工程標書之VLAN劃分
由于學校正在積極籌備專升本工作，因此，投入了近500萬元購置網絡設備和計算機。中心交換機采用Cisco Catalyst 4500，工作組交換機采用Cisco Catalyst 3550和Catalyst 2950?？紤]到每棟樓接入的交換機數量并不多，所以，沒有設置骨干交換機。只是簡單地利用千兆端口將工作組交換機連接在一起，然后，通過光纖連接到中心交換機。目前，接入校園網的樓宇共8棟，計算機1100余臺。
顯然不能把這么多的計算機都放在一個網段中。原因有以下幾點：
第一，IP地址沖突會把網管搞得暈頭轉向，而動態分配IP地址又會產生大量的廣播包，導致網絡傳輸效率下降。
第二，任何一塊網卡的損壞，任何一根雙絞線出問題，都有可能導致網絡風暴的發生，從而導致網絡癱瘓。
第三，各種網絡協議(如ARP、NetBEUI、DHCP等)被廣泛使用，從而導致網絡內充斥大量的廣播包，大大降低網絡的有效帶寬。
第四，任何用戶都可以直接訪問所有的計算機，使惡意攻擊變得易如反掌，網絡沒有任何安全可言。
因此，必須根據不同部門的特點，將整個校園網劃分為若干個子網絡，從而將大量的廣播通訊限制在本地網絡。同時，限制對某些特殊子網(如財務、人事、學生等)的訪問。
一、什么是VLAN
虛擬網技術(VLAN，Virtual Local Area Network)的誕生主要源于廣播。廣播在網絡中起著非常重要的作用，如發現新設備、調整網絡路徑、IP地址租賃等等，許多網絡協議都要用到廣播，如。然而，隨著網絡內計算機數量的增多，廣播包的數量也會急劇增加，當廣播包的數量占到通訊總量的30%時，網絡的傳輸效率將會明顯下降。所以，當局域網內的計算機達到一定數量后(通常限制在150~200臺以內)，通常采用劃分VLAN的方式將網絡分隔開來，將一個大的廣播域劃分為若干個小的廣播域，以減小廣播可能造成的損害。
如何分隔大的廣播域呢?最簡單的方案就是物理分隔，即將一個完整的網絡物理地分隔成兩個或多個子網絡，然后，再通過一個能夠隔離廣播的路由設備將彼此連接起來。除了物理分隔的方法之外，就是在交換機上采用邏輯分隔的方式，將一個大的局域網劃分為若干個小的虛擬子網(如圖2所示)，即VLAN，從而使每一個子網都成為一個單獨的廣播域，子網之間進行通信必須通過三層設備。當VLAN在交換機上劃分后，不同VLAN間的設備就如同是被物理地分割。也就是說，連接到同一交換機、然而處于不同VLAN的設備，就如同被物理地連接到兩個位于不同網段的交換機上一樣，彼此之間的通信一定要經過路由設備，否則，他們之間將無法得知對方的存在，將無法進行任何通信?
二、VLAN的重要意義
VLAN中的成員與其物理位置無關，既可連接至同一臺交換機，也可連接至不同交換機。
降低移動和變更的管理成本
使用VLAN，當需要把一臺計算機從一個子網轉移到另一個子網時，只需在交換機上重新定義一下VLAN成員即可。尤其是在采用MAC地址動態劃分VLAN時，當用戶將計算機從一個交換機端口移動到另一個交換機端口，由于其網卡的MAC地址并不改變，所以，交換機能夠自動跟蹤該終端的MAC地址，并自動將其納入定義的VLAN中。
控制廣播
由于所有的廣播都只在本VLAN內進行，而不再擴散到其他VLAN上，所以，把校園網絡適當地劃分成若干較小的VLAN，將大大減少廣播對網絡帶寬的占用，從而提高網絡傳輸效率，并有效地避免廣播風暴的產生以及在整個網絡的蔓延。
支持多媒體技術和高效組播控制
組播技術是支持多媒體應用的有效手段，在交換機中用組播組動態定義VLAN，并自動把組播報文只復制給同一VLAN中的終端，大大提高了多媒體數據傳輸的實時性，更有效地使用了帶寬，降低了網絡因擁擠而阻塞的可能性。
增強安全性
由于交換機只能在同一VLAN內的端口之間交換數據，不同VLAN的端口不能直接相互訪問。同時，可以在Trunk(中繼)中設置允許訪問的VLAN，從而限制未經允許的VLAN訪問，保證VLAN只被授權的用戶訪問。因此，通過劃分VLAN，可以有效地提高網絡安全性，防止某些非授權用戶對敏感數據的訪問。
網絡監督和管理的自動化
由于可以通過網管軟件查看VLAN間和VLAN內的各類通信信息，而這些信息對于確定網絡拓樸與路由，以及設置服務器的位置都十分有用。通過劃分VLAN，可以使網絡管理變得更簡單、更輕松、更有效。
三、VLAN的劃分方式
雖然劃分VLAN的方式有許多種，但是，使用最多的仍然是基于端口的VLAN。不同廠商的交換機大多支持以下幾種VLAN的劃分方式：
1. 基于端口的VLAN
基于端口的VLAN是最常使用的劃分VLAN的方式，幾乎被所有的交換機所支持。所謂基于端口的VLAN，是指由網絡管理員使用網管軟件或直接設置交換機，將某些端口直接地、強制性地分配給某個VLAN。除非網管人員重新設置，否則，這些端口將一直保持對該VLAN的從屬性，即屬于該VLAN，因此，這種劃分方式也稱為靜態VLAN。這種方法雖然在網絡管理員進行VLAN劃分操作時會比較麻煩，但相對安全，并且容易配置和維護。同時，由于不同VLAN間的端口不能直接相互通訊，因此，每個VLAN都有自己獨立的生成樹。此外，交換機之間在不同VLAN中可以有多個并行鏈路，以提高VLAN內部的交換速率，增加交換機之間的帶寬。
需要注意的是，不僅可以將同一交換機的不同端口劃分為同一VLAN，而且還可以設置跨越交換機的VLAN(如圖3所示)，即將不同交換機的不同端口劃分至同一VLAN，這就完全解決了位于不同物理位置、連接至不同交換機中的用戶如何使之處于同一VLAN的難題。例如，在一個擁有數百臺計算機的校園網中，為了提高網絡傳輸效率，可以將所有用戶劃分為行政和教學兩個VLAN。雖然各學院、系、教研室位于不同的建筑物內，連接至不同的交換機，但仍然能夠根據其連接的端口將其劃分至同一VLAN。
需要注意的是，如果交換機某端口連接至一個集線器，那么，該集線器以及其連接的所有計算機都將屬于該端口的VLAN。
2. 基于MAC的VLAN
所謂基于MAC的VLAN，是指借助智能管理軟件根據MAC地址來劃分VLAN。該劃分方式一般用在每一交換機端口只連接一個終端的情況。也就是說，當端口連接至集線器或交換機時，該種劃分方式并不適用。端口借助網絡包的MAC地址、邏輯地址或協議類型來確定其VLAN的從屬，將端口劃分至不同VLAN。當一網絡節點剛連接到交換機時，此時交換機端口尚未分配，于是，交換機通過讀取網絡節點的MAC地址，動態地將該端口劃入某個虛擬網。一旦網管人員配置好后，用戶的計算機就可以隨意改變其連接的交換機端口，而不會由此而改變自己的VLAN。當網絡中出現未定義的MAC地址，交換機可以按照預先設定的方式向網管人員報警，再由網管人員作相應的處理。例如，網絡管理員有一臺筆記本電腦，由于工作性質的關系，他需要經常到各部門聯機工作。當該筆記本電腦從端口A移動到端口B時，交換機能夠自動識別經過端口B的源MAC地址，自動把端口A從當前VLAN中刪除，而把端口B定義到當前VLAN中。這種定義方法的優點是當終端在交換式網絡中移動時，不必重新定義虛擬網，交換機能夠自動進行識別和定義。因此，基于MAC的VLAN也稱為動態VLAN。由于MAC地址具有世界唯一性，因此，該VLAN劃分方式的安全性也較高。
3. 基于IP的VLAN
所謂基于IP的VALN，是指根據IP地址來劃分的VLAN。交換機屬OSI第二層，因此，普通交換機不能識別幀中的網絡層報文，但隨著第三層交換機的出現，將第二層的交換功能和第三層的路由功能結合在一起，從而使交換機也能夠識別網絡層報文，可以使用報文中的IP地址來定義VLAN。因此，當某一用戶設置有多個IP地址時，或該端口連接到的集線器中擁有多個TCP/IP用戶時，通過基于IP的VLAN，該用戶或該端口就可以同時訪問多個虛擬網。在該模式下，位于不同VLAN的多個部門(每種業務設置成一個虛擬網)均可同時訪問同一臺網絡服務器，也可以同時訪問多個虛擬網的資源，還可讓多個虛擬網間的連接只需一個路由端口即可完成。這種定義方法的優點是當某一終端使用的網絡層協議或IP地址改變時，交換機能夠自動識別，重新定義VLAN，不需要管理員干預。但由于IP地址可以人為地、不受約束地自由設置，因此，使用該方式劃分VLAN也會帶來安全上的隱患。
4. 基于組播的VLAN
組播作為一點對多點的通信，是節省網絡帶寬的有效方法之一。在多媒體應用中，當需要將一個節點的多媒體信號傳送到多個節點時，無論是采用重復點對點通信方式，還是采用廣播的方式，都會嚴重浪費網絡帶寬，而只有組播才是最好的選擇。組播能夠使一個或多個發送者將幀發送給組地址，而不是單個主機。其中，那些希望參加某一特定組的接收者，需要將含有組地址的IGMP“加入消息”發送給最鄰近的路由器，然后，路由器使用多點廣播路由協議(例如DVMRP、PIM等)建立從源到所有接收者的分發樹。接收者在任何時候都可以動態地參加或離開某個多點廣播組。支持IP多點廣播的應用包括：音頻/視頻會議、“push”技術(如股票行情、運動記分、報文)和虛擬現實游戲。基于組播的VLAN，就是動態地把那些需要同時通信的端口定義到一個VLAN中，并在VLAN中用廣播的方法解決點對多點通信的問題。
四、實現VLAN需要的設備
若欲在校園網絡中實現VLAN，首先需要支持VLAN的交換機。當然，并不要求所有的交換機都支持VLAN，但是，網絡內必須至少有一臺交換機支持VLAN，否則，VLAN的劃分就是不可能的。在選擇支持VLAN的設置時，應當注意以下幾個方面的問題：
第一，中心交換機必須支持VLAN，并且擁有三層交換功能。由于VLAN之間的通訊必須借助三層設備才能實現，因此，如果沒有三層設備，VLAN的劃分將失去其原有的意義。原因很簡單，我們的目的不是阻隔通信，而是試圖使通信變得更快捷、更安全。若欲實現VLAN間的無阻塞線速傳輸，就必須采用集網橋和路由于一身的三層交換機，而不能采用傳輸的路由器。否則，VLAN間的傳輸將成為制約網絡效率的瓶頸。
第二，若欲在一臺交換機上劃分兩個或兩個以上的VLAN，那么，該交換機也必須支持VLAN劃分功能。如果交換機上只有一個VLAN，那么，完全可以將該VLAN劃分在第三層交換機或所級聯交換機的端口上。但是，如果若欲在交換機劃分兩個以上的VLAN，那么，該交換機就必須是可網管的，而且必須支持VLAN。
第三，網絡內所有劃分有VLAN的交換機必須支持同一種VLAN和中繼協議，即IEEE 802.1Q和802.3ad網絡協議。否則，將無法實現VLAN在不同交換機之間的跨越。
第四，應當盡量采用同一品牌的交換機，以保證產品和技術的兼容性，并可采用同一網絡管理軟件，實現對網絡設備的統一管理，簡化網絡配置操作。盡管不同廠商都執行相同的國際標準和協議，但同時也大量采有獨特的協議和技術(如Cisco的ISL)，因此，在交換機間實現VLAN中繼時，會遇到許多困難，產生許多莫名其妙的通信故障。所以，對于大中型校園網絡而言，為了將來管理上的方便，應當盡量購置相同品牌的產品。
作為網絡核心的模塊化三層交換機價格較高，國產產品(如神洲數碼、華為、海灣、等)大致在20萬，美國產品如(Cisco、3Com、Foundry、Bay等)產品則通常在25萬。作為分布層的骨干交換機價格相對便宜，國產大致3.5萬，美產大致在5萬。用于實現計算機接入的、支持VLAN的可網管工作組交換機，國產大致4000元，美產大致1.2萬左右。
【編輯推薦】
