VLAN技术原理及方案解析.doc

Vlan技术原理在数据通信和宽带接入设备里，只要涉及到二层技术的，就会碰到VLAN。并且，通常情况下，VLAN在这些设备中是基本功能。所以不管是刚迈进这个行业的新生，还是已经在这个行业打拼了很数年的前辈，都要熟悉这个技术。在论坛上经常看到讨论各种各样的关于VLAN的问题，在工作中也经常被问起关于VLAN的这样或那样的问题，所以，有了想写一点东西的冲动。大部分童鞋接触互换这门技术都是从思科技术开始的，讨论的时候也脱离不了思科的影子。值得说明的是，VLAN是一种标准技术，思科在实现VLAN的时候加入了自己的专有名词，这些名词也许不是通用的，尽管它们已经深深印在各位童鞋们的脑海里。本文的描述是从基本原理开始的，有些说法会和思科技术有些出入，当然，也会讲到思科互换中的VLAN。1. 以太网互换原理VLAN的概念是基于以太网互换的，所以，为了保持连贯性，还是先从互换原理讲起。但是，这里没有长篇累牍的举例和配置，都是一些最基本的原理。本节所说的以太网互换原理，是针对传统的以太网互换机来说的。所谓传统，是指不支持VLAN。简朴的讲，以太网互换原理可以概括为 源地址学习，目的地址转发。考虑到IP层也涉及到地址问题，为了避免混淆，可以修改为 源MAC学习，目的MAC转发。从语文的语法角度来讲，也许尚有些问题，就再修改一下 根据源MAC进行学习，根据目的MAC进行转发。总之，根据个人习惯了。本人比较喜欢 源MAC学习，目的MAC转发的口诀。稍微解释一下。所谓的源MAC学习，是指互换机根据收到的以太网帧的帧头中的源MAC地址来建立自己的MAC地址表，学习是业内的习惯说法，就如同在淘宝上买东西都叫宝贝同样。所谓的目的MAC转发，是指互换机根据收到的以太网帧的帧头中的目的MAC地址和本地的MAC地址表来决定如何转发，拟定的说，是如何互换。这个过程大家应当是耳熟能详了。但为了与后面的VLAN描述对比方便，这里还是简朴的举个例子。Figure 1-1:|-|SW1 (Ethernet Switch) |-|port1|port 2|-|-|PC1|PC2|-|-|简朴描述一下PC1 ping PC2的过程：（这里假设，PC1和PC2位于同一个IP网段，IP地址分别为IP_PC1和IP_PC2，MAC地址分别为MAC_PC1和MAC_PC2）1). PC1一方面发送ARP请求，请求PC2的MAC。目的MAC=FF:FF:FF:FF:FF:FF(广播)；源MAC=MAC_PC1。SW1收到该广播数据帧后，根据帧头中的源MAC地址，一方面学习到了PC1的MAC，建立MAC地址表如下：MAC地址端口MAC_PC1PORT 12). 由于ARP请求为广播帧，所以，SW1向除了PORT1之外的所有UP的端口广播。注意，该帧没有任何变化。换句话说，互换机没有对帧做任何修改。这就是传说中的透明传输。3). PC2收到该ARP请求帧，本地建立ARP表项，同时单播回送ARP应答帧。目的MAC=MAC_PC1；源MAC=MAC_PC2。SW1收到该单播帧手，根据帧头中的源MAC地址，学习到了PC2的MAC，建立MAC地址表如下：MAC地址端口MAC_PC1PORT 1MAC_PC2PORT 24). SW1根据帧头中的目的MAC地址(MAC_PC1)将数据帧从PORT 1转发。5). PC1收到ARP响应，ARP交互过程成功。接下来进行单播PING包交互。SW1根据数据帧的目的MAC进行透明转发单播帧，同时刷新本地MAC地址表的老化定期器。2. 802.1Q VLAN的基本原理严格来说，802.1Q VLAN不是一个协议，由于互连的设备之间没有协议层面的报文交互。802.1Q VLAN只定义了数据帧的封装格式，即，在以太网帧头中插入了4个字节的VLAN字段。其重要内容为VLAN TAG，紧随其后的数据类型和802.1p报文优先级的标记。Figure 2-1 以太网帧格式|-| DMAC(6bytes) | SMAC(6bytes) | Ether-Type(2bytes) | DATA |-|Figure 2-2 带VLAN TAG的以太网帧格式|-| DMAC(6bytes) | SMAC(6bytes) | Ether-Type(0x8100) | VLAN(4bytes) | DATA |-|Figure 2-3 VLAN TAG的格式|-| PRI(3bits) | CFI(1bit) | TAG(12bits) | Ether-Type(2bytes) | DATA |-|PRI：帧优先级，就是通常所说的802.1p。CFI：规范标记位，0为规范格式，用于802.3或EthII。TAG：就是我们通常说的VLAN IDEther-Type：标记紧随其后的数据类型。本人所理解的VLAN技术要点重要有两点：1.支持VLAN的互换机的内部互换原理；2.设备之间(互换机之间，互换机与路由器之间，互换机与主机之间)交互时，VLAN TAG的添加和移除。下面就按照这个思绪来描述。2.1 支持VLAN的互换机的互换原理引入VLAN概念后，数据帧只在相应的VLAN进行互换。用通俗一点的话来讲，一个互换机被虚拟出了多个逻辑互换机，每一个VLAN内的端口都是一个逻辑上的互换机。用专业一点的话来讲，一个互换机被划分了多个不同的广播域，每一个VLAN内的端口，在同一个广播域内。引入VLAN后的互换原理与传统的互换原理相比，并没有本质上的改变，同样遵循源MAC学习，目的MAC转发的基本原则。唯一不同的是，学习和转发都只在同一个VLAN中进行，数据帧不能跨VLAN互换或转发。2.1.1 数据帧该在哪个VLAN中进行互换？前面提到，支持VLAN的互换机将数据帧限制在同一个VLAN中进行互换，那么数据帧到底该在哪个VLAN中互换呢？假如收到的数据帧携带了VLAN信息 （通常称为TAGED数据帧，前面已经介绍了带VLAN TAG的以太帧格式），该VLAN信息中的VLAN TAG就是互换该帧的VLAN。假如收到的数据帧没有携带VLAN信息（通常称为UNTAGED数据帧），收到该帧的端口的PVID就是互换该帧的VLAN。该规则在2.2.3节中有具体的描述。根据上面的原则，也定义了PVID的概念。当端口收到一个UNTAGED数据帧时，无法拟定在哪个VLAN中进行互换，PVID定义了在这种情形下互换该帧的VLAN。从某种意义上讲，可以把PVID理解为端口的default VLAN。在支持VLAN的互换机中，每个端口都有一个PVID值，该值有一个缺省值，当然你也可以更改它。2.2.2 MAC地址学习和MAC地址表引入VLAN概念后，MAC地址的学习也在相应的VLAN中进行。从某种意义上理解，一台互换机有多张MAC地址表，每个VLAN一张表，在互换数据帧进行查表时，只需要在相应的VLAN中进行查找。很显然，MAC地址表项中，增长了VLAN TAG属性。VLANMAC地址端口VLAN1MAC_PC1PORT 1VLAN1MAC_PC2PORT 2VLAN2MAC_PC1PORT 1VLAN2MAC_PC2PORT 22.2 VLAN TAG的添加和移除规则为了保证设备之间的互联互通，需要理解VLAN TAG的添加和移除规则。也就是说，互换机在转发数据帧时，什么时候应当打TAG，什么时候应当不打TAG，什么时候又会丢弃数据帧。为什么要有这么复杂（其实也没那么复杂）的规则呢？为什么不把所有的数据帧都打上TAG呢，这样不是简朴多了？其实，这样做也是为了适应不同设备的工作原理，有些设备是不支持VLAN TAG的。2.2.1 典型设备先介绍一下几种典型的设备：PC：大部分的PC（专用的，或用于测试的除外）是工作在应用层的，缺省情况下是不支持(其实也不需要)VLAN TAG的。也就是说，PC发出的都是UNTAGED数据帧。Router：路由器是支持VLAN TAG的。也就是说，路由器可以发出TAGED数据帧，也可以发出UNTAGED数据帧。需要说明的是，路由器是解决数据包的三层信息的，对于二层信息（涉及VLAN信息），路由器只是检查其有效性，之后将其剥离。这个过程就是我们常说的终结，也就是说，路由器会终结掉报文的VLAN信息的。Switch：这里的switch是指以太网互换机。VLAN技术就是重要针对于互换机提出的，所以，在讨论VLAN概念时都是立足于互换机来讨论。很显然，互换机既支持收发TAGED数据帧，也支持收发UNTAGED数据帧。从严格意义上讲，引入VLAN后，互换机的行为不再是透明传输，由于数据帧通过互换机后也许发生了变化。了解了几种典型设备的工作原理后，就应当觉得互换机上TAG的添加和移除原则的必要性了。2.2.2 VLAN中的端口属性一个VLAN可以包含多个端口，而一个端口也可以属于多个VLAN。一个端口在一个VLAN中有不同的属性，TAG的添加和移除原则就是根据这个属性而定的。TAGED：假如一个端口在一个VLAN中的属性是TAG的，那么，从该端口转发出去的数据帧就是TAGED。（当然，该数据帧是在该VLAN中互换的）UNTAGED：假如一个端口在一个VLAN中的属性是UNTAG的，那么，从该端口转发出去的数据帧就是UNTAGED。（当然，该数据帧是在该VLAN中互换的）2.2.3 互换机收发数据帧的解决总结我们分几种情况讨论互换机的接受和发送解决：接受端口和发送端口在VLAN中属性；收到的数据帧是TAG的还是UNTAG的。1). 端口接受到数据帧a). 假如是TAG的数据帧，检查该接受端口是否在该VLAN(数据帧中所携带的VLAN TAG)中- 接受端口在该VLAN中，则在该VLAN中根据互换原理(即，源MAC学习，目的MAC转发的原理)互换该数据包- 接受端口不在该VLAN中，丢弃该数据帧b). 假如是UNTAG的数据帧，检查该接受端口是否在某个VLAN中的属性是UNTAG- 接受端口在某个VLAN中的属性是UNTAG的，则在该VLAN中根据互换原理互换该数据包- 接受端口在任何VLAN中的属性都不是UNTAG的，丢弃该数据包注：根据这个原理可知，一个端口最多在一个VLAN中的属性是UNTAG的，否则，收到一个UNTAG的数据帧之后，就无法拟定在哪个VLAN中进行互换。其实，端口UNTAG所在的VLAN，就是2.1.1节中所提到的PVID的概念。2). 端口发送数据帧a).检查该端口在该VLAN(就是互换该数据帧的VLAN)中的属性- 该端口在该VLAN种的属性是TAG的，发送的数据帧为TAG的数据帧- 该端口在该VLAN种的属性是UNTAG的，发送的数据帧为UNTAG的数据帧注：由于数据已经被互换到该端口，说明该端口肯定在该VLAN里。2.2.4 典型配置简朴介绍一下，互换机连接不同典型设备时的常用配置。1). 连接PC上面介绍了在通常情况下，PC只支持收发UNTAG的数据帧，所以，连接PC的端口只需要加入一个VLAN，并且，在该VLAN中的属性为UNTAG。2). 连接Router路由器既支持收发TAG数据帧，也支持收发UNTAG数据帧。通常情况下，不同的VLAN数据帧都能通过该端口与路由器互通。所以连接路由器的端口可以属于多个VLAN，并且，只能在一个VLAN中的属性是UNTAG的，在其他的VLAN中都是TAG的。3). 连接Switch也就是互换机的级联。通常情况下是不同性能的互换机进行级联。这种情况和连接路由器的情况基本相同。2.2.5 思科互换机的端口类型TAG和UNTAG应当是一般性的说法，但讨论路由互换技术时，不能忽略思科技术，由于它毕竟是这个行业的引导者(你也可以说它是先入为主)。通常情况下，理解VLAN的概念都是以VLAN为立足点，然后将端口加入该VLAN，并赋予端口某种属性。这种思绪似乎不合用于思科的互换技术。在思科的互换机上，都是以端口为立足点的，然后配置该端口的类型和所属的VLAN。这里介绍思科的两种端口类型，Access和Trunk。理解了这两种类型，也就理解了思科互换的VLAN基本原理。1). Access端口思科的Access端口是为了连接PC（终端设备）而设计的。由于大部分终端设备都不支持(其实也不需要)VLAN TAG的，所以连接终端设备的端口只需要在一个VLAN中，并且是UNTAG的。Access端口就是这样的。假如将端口配置为Access模式，该端口就只能在一个VLAN中(也就是Access VLAN)，并且该端口在该VLAN中的属性是UNTAG的。从某种意义上说，该VLAN也就是该端口的PVID。2). Trunk端口思科的Trunk端口是为了连接上行设备(路由器，互换机等支持多VLAN的设备)。通常情况下，上行端口需要汇聚多个VLAN的流量，所以该端口应当属于多个VLAN。假如将端口配置为Trunk模式，该端口可以属于多个VLAN，在思科技术中，习惯称该端口可以允许多个VLAN通过。该端口在一个VLAN中是UNTAG的，也就是该端口的PVID，在思科技术中，称为Native VLAN。该端口在其他的VLAN中都是TAG的。可以说，思科在VLAN的一般性原理上多增长了一层开发。假如理解了其本质原理，可以看出是和2.2.3节完全吻合的。2.3 互换机对VLAN的支持的发展历程从技术发展为产品总是需要一个过程，在接触过初期互换机的童鞋们应当会知道，当时的互换机对VLAN的支持有两种模式，SVL和IVL。SVL: Shared VLAN Learning 共享式VLAN学习IVL: Independent VLAN Learning 独立VLAN学习从通俗而简朴的角度来说，IVL就是每个VLAN有一个MAC-端口映射表，同一个MAC可以出现在多个表里面(也就是不同的VLAN里面)；而SVL是在互换机内建一张大表，映射关系是MAC-VLAN-端口，并且，一个MAC在表中只出现一次，只属于一个VLAN。显然，SVL应当更容易实现一点，看起来是一种打补丁的实现方式，貌似不是真正的VLAN。初期的VLAN互换机中，有很多是SVL模式的。我们前面2.1和2.2节所介绍的原理，都是针对IVL来讲的。从网络上看到一位仁兄从专业的角度上总结了SVL和IVL的工作原理，非常准确而精辟，故我就不再加以润色，直接引用了。IVL，网上大部分资料都说为每个VLAN建一个表，看起来仿佛有很多表，其实这里所说的表是指逻辑上的表，事实上在互换机中还是只有一个表，假如将VID相同的记录都提取出来组成一个表，那么就一个物理上的表在逻辑上就可以认为是多个表了。2.3.1 IVL (Independent VLAN Learning)在MAC表中以MACVID为主键进行储存。这样，同一个MAC就也许由于VID的不同而在MAC表中存在多条记录。1).根据MACVID在MAC表中寻找，找不到转3)2).向找到的port转发packet，end.3).向packet携带的vid相应的整个VLAN的port转发，end.2.3.2 SVL(Shared VLAN Learning)在MAC表中以MAC为主键进行储存，也就是说同一个MAC在SVL方式下只能存在一个记录在MAC表中。1).在MAC中先根据MAC寻找相应的记录，找不到转4)2).记录中的VID与packet中携带的VID同样，得到相应的port；不同样转5)3).将packet转发到相应的port，end.4).向packet携带的vid相应的整个VLAN的port转发，end.5).drop，end.这个过程还是需要一点基础的，假如看的有点虚无缥缈，大可以略过该节，由于当今市场上，很少看到SVL的互换机了。方案解析使用VLAN设计局域网的特点通过使用VLAN构建局域网，用户可以不受物理链路的限制而自由地分割广播域。此外，通过先前提到的路由器与三层互换机提供的VLAN间路由，可以适应灵活多变的网络构成。但是，由于运用VLAN容易导致网络构成复杂化，因此也会导致整个网络的组成难以把握。可以这样说，在运用VLAN时，除了有： 网络构成灵活多变这个优点外，还搭配着： 网络构成复杂化这个缺陷。下面，就让我们来看看具体的实例。不使用VLAN的局域网中网络构成的改变假设有如图所示的由1台路由器、2台互换机构成的“不使用VLAN构建”的网络。图中的路由器，带有2个LAN接口。左侧的网络是192.168.1.0/24，右侧是192.168.2.0/24。现在假如想将192.168.1.0/24这个网络上的计算机A转移到192.168.2.0/24上去，就需要改变物理连接、将A接到右侧的互换机上。并且，当需要新增一个地址为192.168.3.0/24的网络时，还要在路由器上再占用一个LAN接口并添置一台互换机。而由于这台路由器上只带了2个LAN接口，因此为了新增网络还必须将路由器升级为带有3个以上LAN接口的产品。使用VLAN的局域网中网络构成的改变接下来再假设有一个由1台路由器、2台互换机构成的“使用VLAN”的局域网。互换机与互换机、互换机与路由器之间均为汇聚链路；并且假设192.168.1.0/24相应红色VLAN、192.168.2.0/24相应蓝色VLAN。需要将连接在互换机1上192.168.1.0/24这个网段的计算机A转属192.168.2.0/24时，无需更改物理布线。只要在互换机上生成蓝色VLAN，然后将计算机A所连的端口1加入到蓝色VLAN中去，使它成为访问链接即可。然后，根据需要设定计算机A的IP地址、默认网关等信息就可以了。假如IP地址相关的设定是由DHCP获取的，那么在客户机方面无需进行任何设定修改，就可以在不同网段间移动。运用VLAN后，我们可以在免于改动任何物理布线的前提下，自由进行网络的逻辑设计。假如所处的工作环境恰恰需要经常改变网络布局，那么运用VLAN的优势就非常明显了。并且，当需要新增一个地址为192.168.3.0/24的网段时，也只需要在互换机上新建一个相应192.168.3.0/24的VLAN，并将所需的端口加入它的访问链路就可以了。假如网络环境中还需要运用外部路由器，则只要在路由器的汇聚端口上新增一个子接口的设定就可以完毕所有操作，而不需要消耗更多的物理接口（LAN接口）。要使用的是三层互换机内部的路由模块，则只需要新设一个VLAN接口即可。网络环境的成长，往往是难以预测的，很也许经常会出现需要分割现有网络或是增长新网络的情况。而充足活用VLAN后，就可以容易地解决这些问题。运用VLAN而导致的网络结构复杂化虽然运用VLAN可以灵活地构建网络，但是同时，它也带来了网络结构复杂化的问题。特别是由于数据流纵横交错，一旦发生故障时，准拟定位并排除故障会比较困难。为了便于理解数据流向的复杂化，假设有下图所示的网络。计算机A向计算机C发送数据时，数据流的整体走向如下：计算机A互换机1路由器互换机1互换机2计算机C一方面计算机A向互换机1送出数据（），其后数据被转发给路由器（）进行VLAN间路由。路由后的数据，再从汇聚链路返回互换机1（）。由于通信目的计算机C并不直连在互换机1上，因此还需要通过汇聚链路转发到互换机2（）。在互换机2上，数据最终被转发到C所连的端口2上，这才完毕整个流程（）。在这个例子中，仅由2台互换机构成网络，其数据流已经如此复杂，假如构建横跨多台互换机的VLAN的话，每个数据流的流向显然会更加难以把握。网络的逻辑结构与物理结构为了相应日渐复杂化的数据流，管理员需要从“逻辑结构”与“物理结构”两方面入手，把握好网络的现状。物理结构，指的是从物理层和数据链路层观测到的网络的现状，表达了网络的物理布线形态和VLAN的设定等等。而逻辑结构，则表达从网络层以上的层面观测到的网络结构。下面我们就试着以路由器为中心分析一个IP网络的逻辑结构。还是先前的那个例子，描绘了布线形态和VLAN设定的“物理结构”如下图所示。分析这个物理结构并转换成以路由器为中心的逻辑结构后，会得到如下的逻辑结构图。当我们需要进行路由或是数据包过滤的设定期，都必须在逻辑结构的基础上进行。把握这两种网络结构图的区别是十分重要的，特别是在VLAN和三层互换机大行其道的现代公司级网络当中。