VLAN在交换机上的实现方法.doc

1. 基于端口划分的VLAN这是最常应用的一种VLAN划分方法,应用也最为广泛、最有效,具有简单、安全和实用的特点。目前绝大多数VLAN协议的交换机都提供这种VLAN配置方法。这种划分VLAN的方法是根据以太网交换机的交换端口来划分的,它是将VLAN交换机上的物理端口和VLAN交换机内部的PVC(永久虚电路)端口分成若干个组,每个组构成一个虚拟网,相当于一个独立的VLAN交换机。以这种方式划分VLAN时,VLAN可以被理解为交换机端口的集合,这些被划分到同一个VLAN 中的端口可以是在一个交换机中的,也可以是来自不同的交换机。例如,可以把某一交换机的1、3、6端口划分到VLAN1,而把2、4、5端口划分到VLAN2。但是划分到VLAN1中的这些端口必须使用VLAN1中的网络地址,划分到VLAN2中的端口必须使用VLAN2中的网络地址,否则将不能进行通信。按端口进行VLAN划分的设置操作较为简单,也容易被理解和接受。但是它不允许在一个端口上设置多个VLAN,同时在设备移动或添加时,需要网络管理人员对交换机的端口重新进行设置。该划分方式属于静态划分方式。对于不同部门需要互访时,可通过路由器转发,并配合基于MAC地址的端口过滤。对某站点的访问路径上最靠近该站点的交换机、路由交换机或路由器的相应端口上,设定可通过的MAC地址集。这样就可以防止非法入侵者从内部盗用IP地址从其他可接入点入侵的可能。这种划分的方法的优点是定义VLAN成员时非常简单,只要将所有的端口都定义为相应的VLAN组即可,适合于任何大小的网络。它的缺点是如果某用户离开了原来的端口,到了一个新的交换机的某个端口,必须重新定义。2. 基于MAC地址划分这种方式是根据网络设备的物理地址(MAC地址)来划分VLAN,属于动态划分方式,而网络设备的MAC地址是惟一的。实现这种基于MAC地址划VLAN的方式,通常需要一台VLAN成员策略服务器(VLAN  MembershipPolicyServer,VMPS),VMPS服务器中有一个VMPS数据库,该数据库中包含了MAC地址到VLAC成员关系的关联。每当一台计算机接入交换机端口时,交换机将该计算机的MAC地址发送到VMPS服务器中,VMPS服务器将在VMPS数据库中查找该MAC地址对应的VLAN配置信息并返回给交换机进行配置。  由这种划分的机制可以看出,这种VLAN的划分方法的最大优点就是当网络设备从一个物理位置移到另一个物理位置而没有改变其VLAN时,可以避免对VLAN重新进行设置和修改。在这种方式下,每一个VLAN就是一张MAC清单。当网络规模较大、设备较多时,要对每个网络设备逐一进行VLAN设置,维护这些MAC清单也是相当繁重的一项工作,这是这种划分方式的缺点,也就是说,基于MAC的划分方式通常适用于小型局域网,不适合于大型网络。而且这种划分的方法也导致了交换机执行效率的降低,因为在每一个交换机的端口都可能存在很多个VLAN组的成员,保存了许多用户的MAC地址,查询起来相当不容易。另外,对于使用笔记本电脑的用户来说,他们的网卡可能经常更换,这样VLAN就必须经常配置。3. 基于网络层协议划分VLAN这是一种基于网络层协议或网络地址来划分VLAN的方式。基于网络层协议的划分是在使用多种协议的情况下,可以根据所使用的协议来划分不同的VLAN,可分为