邢台职业技术学院在交换机上构建安全隔离的部门间网络

《邢台职业技术学院在交换机上构建安全隔离的部门间网络》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、3.1任务描述第3章在交换机上构建安全隔离的部门间网络某学院计算机系、机电工程系、财务处、学生机房分组建了自己的局域网，其中在信息大楼主要为计算机系办公场所，机电大楼为机电工程系办公大楼，实验中心为学生机房，并且有计算机系和财务处办公场所，财务处在学校办公楼办公。随着学校信息化建设的深入，人员交流越来越频繁，在各个办公场所都可能出现其它部门的人员。为了网络安全，把计算机系、机电工程系、财务处、学生机房各自分别位于不同的子网，并且部门内部可以互相访问。3.2相关知识第3章在交换机上构建安全隔离的部门间网络3.2.1VLAN简介3.2.2静态VLAN配置3.2.3部署VLA

2、N3.2.4VLAN中继3.2.5标识VLAN帧3.2.6VLAN数据帧的传输3.2.7配置VLAN中继1.虚拟局域网的概念3.2.1VLAN简介虚拟局域网（VirtualLAN，简称VLAN）是一种逻辑广播域，可以跨越多个物理LAN网段。VLAN是以局域网交换机为基础，通过交换机软件实现根据功能、部门、应用等因素将设备或用户组成虚拟工作组或逻辑网段的技术，其最大的特点是在组成逻辑网时无须考虑用户或设备在网络中的物理位置。虚拟局域网可以在一个交换机或者跨交换机实现。VLAN一般基于工作功能、部门或项目团队来逻辑地分割交换网络，而不管使用者在网络中的物理位置。同组内全部的

3、工作站和服务器在同一VLAN内，不管物理连接和位置在哪里。3.2.1VLAN简介VLAN是一个逻辑上独立的IP子网。多个IP网络和子网可以通过VLAN存在于同一个交换网络上。在IEEE802.1Q标准中对虚拟局域网是这样定义的：虚拟局域网是由一些局域网网段构成的与物理位置无关的逻辑组，而这些网段具有某些共同的需求。每一个虚拟局域网的帧都有一个明确的标识符，指明发送这个帧的工作站是属于哪一个VLAN。利用以太网交换机可以很方便地实现虚拟局域网。虚拟局域网其实只是局域网给用户提供的一种服务，而并不是一种新型局域网。1.虚拟局域网的概念3.2.1VLAN简介VLAN10VLA

4、N20VLAN30A2图3.1虚拟局域网VLAN的示例A1B3B2B1C1C2C3A3LAN3LAN2LAN13.2.1VLAN简介图3.1中使用了四个交换机的网络拓扑结构。有9台计算机分布在三个楼层中，构成了三个局域网，即：LAN1：（A1，B1，C1），LAN2：（A2，B2，C2），LAN3：（A3，B3，C3）。但这9个用户划分为三个工作组，也就是说划分为三个虚拟局域网VLAN。即：VLAN1：（A1，A2，A3），VLAN2：（B1，B2，B3），VLAN3：（C1，C2，C3）。1.虚拟局域网的概念2.VLAN的优点3.2.1VLAN简介（1）有利于优化网络

5、性能（2）提高了网络的安全性（3）便于对网络进行管理和控制（4）提供了基于第二层的通信优先级服务3.VLAN成员资格模式3.2.1VLAN简介（1）静态VLAN由网络管理员以手工方式将交换机端口分配给VLAN，因此是静态的。即在交换机上将其某一个端口分配给特定VLAN，在这种情况下，VLAN是基于物理交换机端口的，终端用户设备根据其连接的物理端口被分配到相应的VLAN中，并且将一直保持不变直到网络管理员改变这种配置，所以又被称为基于端口的VLAN，是目前实现VLAN的主要方法。3.VLAN成员资格模式3.2.1VLAN简介（1）静态VLAN网络管理员以手工方式将交换机端

6、口分配给VLAN时，每个端口获得一个端口VLANID，将其同VLAN号关联起来。可将同一台交换机上的端口分成多个VLAN。即使两台计算机连接到同一台交换机，如果它们连接的是属于不同VLAN的端口，数据流也不会在它们之间传输。为执行这项功能，可使用第3层设备来路由分组，也可使用外部的第2层设备在两个VLAN之间桥接分组。3.VLAN成员资格模式3.2.1VLAN简介（1）静态VLAN基于端口的VLAN也就是根据以太网交换机的端口来划分广播域。即分配在同一个VLAN的端口共享广播域（一个站点发送希望所有站点接收的广播信息，同一VLAN中的所有站点都可以听到），分配在不同VL

7、AN的端口不共享广播域。虚拟局域网既可以在单台交换机中实现，也可以跨越多个交换机。终端设备连接到端口时，自动获得VLAN连接性。3.VLAN成员资格模式3.2.1VLAN简介（2）动态VLAN动态VLAN是指交换机上以连网用户的MAC地址、逻辑地址（如IP地址）或数据包协议等信息为基础将交换机端口动态分配给VLAN的方式。总之，不管以何种机制实现，分配在同一个VLAN的所有主机共享一个广播域，而分配在不同VLAN的主机将不会共享广播域。也就是说，只有位于同一VLAN中的主机才能直接相互通信，而位于不同VLAN中的主机之间是不能直接相互通信