虛擬局域網(wǎng)（Virtual Local Area Network或簡(jiǎn)寫(xiě)VLAN, V-LAN）是一種建構于局域網(wǎng)交換技術(shù)(LAN Switch)的網(wǎng)絡(luò )管理的技術(shù)，網(wǎng)管人員可以借此通過(guò)控制交換機有效分派出入局域網(wǎng)的數據包到正確的出入端口，達到對不同實(shí)體局域網(wǎng)中的...
虛擬局域網(wǎng)（Virtual Local Area Network或簡(jiǎn)寫(xiě)VLAN, V-LAN）是一種建構于局域網(wǎng)交換技術(shù)(LAN Switch)的網(wǎng)絡(luò )管理的技術(shù)，網(wǎng)管人員可以借此通過(guò)控制交換機有效分派出入局域網(wǎng)的數據包到正確的出入端口，達到對不同實(shí)體局域網(wǎng)中的設備進(jìn)行邏輯分群(Grouping)管理，并降低局域網(wǎng)內大量數據流通時(shí)，因無(wú)用數據包過(guò)多導致雍塞的問(wèn)題，以及提升局域網(wǎng)的信息安全保障。
為實(shí)現交換機以太網(wǎng)的廣播隔離，一種理想的解決方案就是采用虛擬局域網(wǎng)技術(shù)。這種對連接到第2層交換機端口的網(wǎng)絡(luò )用戶(hù)的邏輯分段技術(shù)實(shí)現非常靈活，它可以不受用戶(hù)物理位置限制，根據用戶(hù)需求進(jìn)行VLAN劃分；可在一個(gè)交換機上實(shí)現，也可跨交換機實(shí)現；可以根據網(wǎng)絡(luò )用戶(hù)的位置、作用、部門(mén)或根據使用的應用程序、上層協(xié)議或者以太網(wǎng)連接端口硬件地址來(lái)進(jìn)行劃分。
一個(gè)VLAN相當于OSI模型第2層的廣播域，它能將廣播控制在一個(gè)VLAN內部。而不同 VLAN 之間或 VLAN 與 LAN / WAN 的數據通信必須通過(guò)第3層（網(wǎng)絡(luò )層）完成。否則，即便是同一交換機上的連接端口，假如它們不處于同一個(gè)VLAN，正常情況下也無(wú)法進(jìn)行數據通信，特例是由于某著(zhù)名廠(chǎng)商生產(chǎn)的交換機帶有VLAN穿越漏洞，外來(lái)數據包以廣播進(jìn)到該交換機時(shí)，它仍然會(huì )流入所有連至交換機上的電腦，而導致信息可能外泄的潛藏風(fēng)險。
為了解決上述信息安全議題，1995年IEEE 802委員會(huì )發(fā)表了 802.1Q VLAN 技術(shù)的實(shí)現標準與訊框結構，希望能通過(guò)設置邏輯地址（TPID、TCI），對實(shí)體局域網(wǎng)區隔成獨立虛擬網(wǎng)段，以規范數據包廣播時(shí)的最大范圍。
VLAN可以為網(wǎng)絡(luò )提供以下作用：
限制網(wǎng)絡(luò )上的廣播，將網(wǎng)絡(luò )劃分為多個(gè)VLAN可減少參與廣播風(fēng)暴的設備數量。LAN分段可以防止廣播風(fēng)暴波及整個(gè)網(wǎng)絡(luò )。VLAN可以提供建立防火墻的機制，防止交換網(wǎng)絡(luò )的過(guò)量廣播。使用VLAN，可以將某個(gè)交換端口或用戶(hù)賦于某一個(gè)特定的VLAN組，該VLAN組可以在一個(gè)交換網(wǎng)中或跨接多個(gè)交換機，在一個(gè)VLAN中的廣播不會(huì )送到VLAN之外。同樣，相鄰的端口不會(huì )收到其他VLAN產(chǎn)生的廣 播。這樣可以減少廣播流量，釋放帶寬給用戶(hù)應用，減少廣播的產(chǎn)生。
VLAN的運作原理與實(shí)現方式
1.物理層（physical layer）
直接以交換機上的端口做為劃分 VLAN 的基礎。這個(gè)方式的優(yōu)點(diǎn)是簡(jiǎn)單與直觀(guān)，因此，運用這種設置 VLAN 的情況十分普遍。但因為是實(shí)體層的設置，所以比較適合在規模不大的組織。
2.數據鏈路層（data link layer）
以每臺主機的 MAC地址做為劃分 VLAN 的基礎。方法是先創(chuàng )建一個(gè)比較復雜的數據庫，通常為某網(wǎng)絡(luò )設備的MAC地址與VLAN的映射關(guān)系數據庫。當該網(wǎng)絡(luò )設備連接到端口后，交換機會(huì )向VMPS（VLAN管理策略服務(wù)器）來(lái)請求這個(gè)數據庫。找到相應映射關(guān)系，完成端口到VLAN的分配。這個(gè)方式的優(yōu)點(diǎn)是即使電腦在實(shí)體上的位置不同，也不影響 VLAN的運作。但缺點(diǎn)是網(wǎng)管人員必須在交換機中設置組織內每一臺設備MAC地址與 VLAN 間的映射關(guān)系數據庫。因此，這種設置策略的管理復雜度會(huì )隨著(zhù)越來(lái)越多的設備、與實(shí)體位置的群落、和不同工作任務(wù)需要而增加。
3.網(wǎng)絡(luò )層（network layer）
以每臺設備的IP地址做為劃分 VLAN 的基礎，以子網(wǎng)視為 VLAN 設置的依據。
這個(gè)方式的優(yōu)點(diǎn)是當網(wǎng)管人員已經(jīng)將內部網(wǎng)段做好規劃與分配的情況下，將可大輻降低網(wǎng)管人員規劃并設置 VLANs 架構的復雜度。但缺點(diǎn)是原本傳統交換機不需要對訊框作任何處理，但在這個(gè)機制下，交換機不但必須剖析訊框，還必須進(jìn)一步取出 Source IP與 Destination IP進(jìn)行比對，連帶降低交換機接收與分派數據包的效率。
VLAN之間的通信的4種方式
（1）MAC地址靜態(tài)登記方式。MAC地址靜態(tài)登記方式是預先在VLAN交換機中設置好一張地址列表，這張表含有工作站的MAC地址JLAN交換機的端口號、VLANID等信息，當工作站第一次在網(wǎng)絡(luò )上發(fā)廣播包時(shí)，交換機就將這張表的內容一一對應起來(lái)，并對其他交換機廣播。這種方式的缺點(diǎn)在于，網(wǎng)絡(luò )管理員要不斷修改和維護MAC地址靜態(tài)條目列表；且大量的MAC地址靜態(tài)條目列表的廣播信息易導致主干網(wǎng)絡(luò )擁塞。
（2）幀標簽方式。幀標簽方式采用的是標簽（tag）技術(shù)，即在每個(gè)數據包都加上一個(gè)標簽，用來(lái)標明數據包屬于哪個(gè)VLAN，這樣，VLAN交換機就能夠將來(lái)自不同VLAN的數據流復用到相同的VLAN交換機上。這種方式存在一個(gè)問(wèn)題，即每個(gè)數據包加上標簽，使得網(wǎng)絡(luò )的負載也相應增加了。
（3）虛連接方式。網(wǎng)絡(luò )用戶(hù)A和B第一次通信時(shí)，發(fā)送地址解析（ARP）廣播包，VLAN交換機將學(xué)習到的MAC和所連接的VLAN交換機的端口號保存到動(dòng)態(tài)條目MAC地址列表中，當A和B有數據要傳時(shí)，VLAN交換機從其端口收到的數據包中識別出目的MAC地址，查動(dòng)態(tài)條目MAC地址列表，得到目的站點(diǎn)所在的VLAN交換機端口，這樣兩個(gè)端口間就建立起一條虛連接，數據包就可從源端口轉發(fā)到目的端口。數據包一旦轉發(fā)完畢，虛連接即被撤銷(xiāo)。這種方式使帶寬資源得到了很好利用，提高了VLAN交換機效率。
（4）路由方式。在按IP劃分的VLAN中，很容易實(shí)現路由，即將交換功能和路由功能融合在VLAN交換機中。這種方式既達到了作為VLAN控制廣播風(fēng)暴的最基本目的，又不需要外接路由器。但這種方式對VLAN成員之間的通信速度不是很理想。
聯(lián)系客服
