摘要：鉴于当前业界VLAN发展的趋势，考虑到各种VLAN划分方式的优缺点，为了最大程度上地满足用户在具体使用过程中需求，减轻用户在VLAN的具体使用和维护中的工作量，Quidway S系列交换机采用根据端口来划分VLAN的方法。
关键词：VLAN,VLAN聚合,PVLAN,GVRP,VTP
1、VLAN概述
VLAN(Virtual Local AreaNetwork)即虚拟局域网，是一种通过将局域网内的设备逻辑地而不是物理地划分成一个个网段从而实现虚拟工作组的新兴技术。IEEE于1999年颁布了用以标准化VLAN实现方案的802.1Q协议标准草案。
VLAN是为解决以太网的广播问题和安全性而提出的一种协议，它在以太网帧的基础上增加了VLAN头，用VLAN ID把用户划分为更小的工作组，限制不同工作组间的用户二层互访，每个工作组就是一个虚拟局域网。虚拟局域网的好处是可以限制广播范围，并能够形成虚拟工作组，动态管理网络。
2、VLAN在交换机上的实现方法，可以大致划分为4类 ：
(1)、 基于端口划分的VLAN
这种划分VLAN的方法是根据以太网交换机的端，口来划分，比如Quidway S3526的1~4端口为VLAN 10，5~17为VLAN 20，18~24为VLAN 30，当然，这些属于同一VLAN的端口可以不连续，如何配置，由管理员决定，如果有多个交换机，例如，可以指定交换机 1的1~6端口和交换机 2 的1~4端口为同一VLAN，即同一VLAN可以跨越数个以太网交换机，根据端口划分是目前定义VLAN的最广泛的方法，IEEE 802.1Q规定了依据以太网交换机的端口来划分VLAN的国际标准。
这种划分的方法的优点是定义VLAN成员时非常简单，只要将所有的端口都指定义一下就可以了。它的缺点是如果VLAN A的用户离开了原来的端口，到了一个新的交换机的某个端口，那么就必须重新定义。
(2)、基于MAC地址划分VLAN
这种划分VLAN的方法是根据每个主机的MAC地址来划分，即对每个MAC地址的主机都配置他属于哪个组。这种划分VLAN的方法的最大优点就是当用户物理位置移动时，即从一个交换机换到其他的交换机时，VLAN不用重新配置，所以，可以认为这种根据MAC地址的划分方法是基于用户的VLAN，这种方法的缺点是初始化时，所有的用户都必须进行配置，如果有几百个甚至上千个用户的话，配置是非常累的。而且这种划分的方法也导致了交换机执行效率的降低，因为在每一个交换机的端口都可能存在很多个VLAN组的成员，这样就无法限制广播包了。另外，对于使用笔记本电脑的用户来说，他们的网卡可能经常更换，这样，VLAN就必须不停的配置。
(3)、基于网络层划分VLAN
这种划分VLAN的方法是根据每个主机的网络层地址或协议类型(如果支持多协议)划分的，虽然这种划分方法是根据网络地址，比如IP地址，但它不是路由，与网络层的路由毫无关系。它虽然查看每个数据包的IP地址，但由于不是路由，所以，没有RIP，OSPF等路由协议，而是根据生成树算法进行桥交换。
这种方法的优点是用户的物理位置改变了，不需要重新配置所属的VLAN，而且可以根据协议类型来划分VLAN，这对网络管理者来说很重要，还有，这种方法不需要附加的帧标签来识别VLAN，这样可以减少网络的通信量。
这种方法的缺点是效率低，因为检查每一个数据包的网络层地址是需要消耗处理时间的(相对于前面两种方法)，一般的交换机芯片都可以自动检查网络上数据包的以太网祯头，但要让芯片能检查IP帧头，需要更高的技术，同时也更费时。当然，这与各个厂商的实现方法有关。
4、根据IP组播划分VLAN
IP 组播实际上也是一种VLAN的定义，即认为一个组播组就是一个VLAN，这种划分的方法将VLAN扩大到了广域网，因此这种方法具有更大的灵活性，而且也很容易通过路由器进行扩展，当然这种方法不适合局域网，主要是效率不高。
VLAN技术简介
因为VLAN技术与局域网技术息息相关，所以在介绍VLAN之前，我们首先来了解一下局域网的有关知识。
局域网(LAN)通常被定义为一个单独的广播域，主要使用Hub，网桥，或交换机等网络设备连接同一网段内的所有节点。同处一个局域网之内的网络节点之间可以不通过网络路由器直接进行通信;而处于不同局域网段内的设备之间的通信则必须经过网络路由器。
图一所示为使用路由器构建的典型的局域网环境。
图一所示网络中，通过使用路由器划分出不同的局域网段。其中，位于圆形区域之内的部分就是一个个相互独立的局域网段。为了便于在本文中进行说明，我们为不同的网段进行了编号。需要注意的一点就是，每一个局域网所连接的路由器接口都属于该局域网广播域的一部分。
随着网络的不断扩展，接入设备逐渐增多，网络结构日趋复杂，必须使用更多的路由器才能将不同的用户划分到各自的广播域中，在不同的局域网之间提供网络互连。
这样做的一个缺陷就是随着网络中路由器数量的增多，网络时延逐渐加长，从而导致网络数据传输速度的下降。这主要是因为数据在从一处局域网传递到另一处局域网时，必须经过路由器的路由操作，路由器根据数据包中的相应信息确定数据包的目标地址，然后再选择合适的路径转发出去。
VLAN，又称虚拟局域网，是由位于不同物理局域网段的设备组成。虽然VLAN所连接的设备来自不同的网段，但是相互之间可以进行直接通信，好像处于同一网段中一样，由此得名虚拟局域网。相比较传统的局域网布局，VLAN技术更加灵活。为了创建虚拟网络，需要对已有的网络拓扑结构进行相应的调整。
还是连接相同的网络终端，通过如图所示的交换网络提供了同样的网络连接。虽然图二所示的网络比起图一所示网络在速度和网络时延方面都有了很大的改进和提高，但是同样存在一些不足。其中，最突出的一点就是现在所有的网络节点都处于同一个广播域内，大大增加了网络中所有设备之间的数据流量。随着网络的不断扩充，很有可能出现广播风暴，导致整个网络无法使用。
VLAN技术入门
VLAN是英文Virtual LocalArea Network的缩写，即虚拟局域网。一方面，VLAN建立在局域网交换机的基础之上;另一方面，VLAN是局域交换网的灵魂。这是因为通过VLAN用户能方便地在网络中移动和快捷地组建宽带网络，而无需改变任何硬件和通信线路。这样，网络管理员就能从逻辑上对用户和网络资源进行分配，而无需考虑物理连接方式。 VLAN充分体现了现代网络技术的重要特征：高速、灵活、管理简便和扩展容易。是否具有VLAN功能是衡量局域网交换机的一项重要指标。网络的虚拟化是未来网络发展的潮流。
VLAN与普通局域网从原理上讲没有什么不同，但从用户使用和网络管理的角度来看，VLAN与普通局域网最基本的差异体现在：VLAN并不局限于某一网络或物理范围，VLAN中的用户可以位于一个园区的任意位置，甚至位于不同的国家。
VLAN具有以下优点：
控制网络的广播风暴
采用VLAN技术，可将某个交换端口划到某个VLAN中，而一个VLAN的广播风暴不会影响其它VLAN的性能。
确保网络安全
共享式局域网之所以很难保证网络的安全性，是因为只要用户插入一个活动端口，就能访问网络。而VLAN能限制个别用户的访问，控制广播组的大小和位置，甚至能锁定某台设备的MAC地址，因此VLAN能确保网络的安全性。
简化网络管理
网络管理员能借助于VLAN技术轻松管理整个网络。例如需要为完成某个项目建立一个工作组网络，其成员可能遍及全国或全世界，此时，网络管理员只需设置几条命令，就能在几分钟内建立该项目的VLAN网络，其成员使用VLAN网络，就像在本地使用局域网一样。
VLAN的分类主要有以下几种：
基于端口的VLAN
基于端口的VLAN是划分虚拟局域网最简单也是最有效的方法，这实际上是某些交换端口的集合，网络管理员只需要管理和配置交换端口，而不管交换端口连接什么设备。
基于MAC地址的VLAN
由于只有网卡才分配有MAC地址，因此按MAC地址来划分VLAN实际上是将某些工作站和服务器划属于某个VLAN。事实上，该VLAN是一些MAC地址的集合。当设备移动时，VLAN能够自动识别。网络管理需要管理和配置设备的MAC地址，显然当网络规模很大，设备很多时，会给管理带来难度。
基于第3层的VLAN
基于第3层的VLAN是采用在路由器中常用的方法：IP子网和IPX网络号等。其中，局域网交换机允许一个子网扩展到多个局域网交换端口，甚至允许一个端口对应于多个子网。
基于策略的VLAN
基于策略的VLAN是一种比较灵活有效的VLAN划分方法。该方法的核心是采用什么样的策略?目前，常用的策略有(与厂商设备的支持有关)：
按MAC地址
按IP地址
按以太网协议类型
按网络的应用等
VLAN的标准
对VLAN的标准，我们只是介绍两种比较通用的标准，当然也有一些公司具有自己的标准，比如Cisco公司的ISL标准，虽然不是一种大众化的标准，但是由于Cisco Catalyst交换机的大量使用，ISL也成为一种不是标准的标准了。
· 802.10VLAN标准
在1995年，Cisco公司提倡使用IEEE802.10协议。在此之前，IEEE802.10曾经在全球范围内作为VLAN安全性的同一规范。Cisco公司试图采用优化后的802.10帧格式在网络上传输FramTagging模式中所必须的VLAN标签。然而，大多数802委员会的成员都反对推广802.10。因为，该协议是基于FrameTagging方式的。
· 802.1Q
在1996年3月，IEEE802.1Internetworking委员会结束了对VLAN初期标准的修订工作。新出台的标准进一步完善了VLAN的体系结构，统一了Fram-eTagging方式中不同厂商的标签格式，并制定了VLAN标准在未来一段时间内的发展方向，形成的802.1Q的标准在业界获得了广泛的推广。它成为VLAN史上的一块里程碑。802.1Q的出现打破了虚拟网依赖于单一厂商的僵局，从一个侧面推动了VLAN的迅速发展。另外，来自市场的压力使各大网络厂商立刻将新标准融合到他们各自的产品中。
关于Trunk方式
---- Trunk是独立于VLAN的、将多条物理链路模拟为一条逻辑链路的VLAN与VLAN之间的连接方式。采用Trunk方式不仅能够连接不同的VLAN或跨越多个交换机的相同VLAN，而且还能增加交换机间的物理连接带宽，增强网络设备间的冗余。由于在基于交换机的VLAN划分当中，交换机的各端口分别属于各VLAN段，如果将某一VLAN端口用于网络设备间的级联，则该网络设备的其他VLAN中的网络终端就无法与隶属于其他网络设备的VLAN网络终端进行通信。有鉴于此，网络设备间的级联必须采用Trunk方式，使得该端口不隶属于任何VLAN，也就是说该端口所建成的网络设备间的级联链路是所有VLAN进行通信的公用通道。
VLAN新用途
虽然VLAN并非最好的网络技术，但这种用于网络结点逻辑分段的方法正为许多企业所使用。VLAN采用多种方式配置于企业网络中，包括网络安全认证、使无线用户在802.11b接入点漫游、隔离IP语音流及在不同协议的网络中传输数据等。
六年前引进VLAN的时候，多数VLAN都是基于IEEE 802.1Q和802.1p标准的。802.1Q规范用于将VLAN用户信息载入以太网帧，而802.1p使二层交换机具有流量优先和实施动态多址滤波的能力。
当初引进VLAN时，它被看作是一个简化地址管理的方法，可以使IT人员在网络的任意点对服务器和PC机进行物理配置，并将PC机加入到组中。
多数网络设备的软件可用于将媒体访问控制(MAC)地址与VLAN相关联，当客户从一个端口移动到另一个端口时，可以使其自动连接到网络上。
VLAN的应用
最近，休斯顿在4栋22层的建筑物中建立了网络及其子网，包括122个法庭、法律事务所和审判厅，这种建筑物非常适合建立VLAN，因为将122个私人子网合并到一个VLAN中要比将用户插入端口组容易得多。
VLAN和静态IP地址也可用于安全机制。所有工作于这里的客户都分配了一个静态IP地址，通过Alcatel的OmniSwitch路由器和OmniCore5052主干网交换器连接到网络中。
这种配置方式使法官和律师在不同的法庭中都可以进行工作。这种设置可控制许可用户的访问权限以及限制未注册用户的访问，因而可以提供安全性。接入网络的唯一方法就是必须拥有一个IP地址，而且这些PC机都连接在其中的一个VLAN上。
VLAN的漫游功能
Massachusetts的/pidgewater州立学院配置了100多个Enterasys公司的RoamAbout 802.11b/a无线接入点，因而学生在整个校园中都可以访问Web和E-mail。
如果没有对无线流量进入自己的VLAN进行隔离，那么对于希望在校园范围内保持网络连接的移动用户来说，它将成为一场噩梦。将所有的无线流量置于一个VLAN中，可以确保当用户从一个接入点移动到另一个接入点时不会掉线。而实际上当整个校园中配置的Enterasys接入点只有150英尺的范围时，这种情况很容易发生。
在宿舍、教室和管理机构中，利用Cisco和Enterasys混合的可堆叠交换器来连接到无线接入点。克服了一些交叉厂商的VLAN配置问题之后，现在可以在校园的任意地方漫游，无论是连接到Cisco还是Enterasys交换器上，都可以保持连接在同一VLAN上。
VLAN管理
VLAN不仅可用于安全和网络管理，对于混合型网络的管理来说，它同样不失为一个有益的工具。
有人利用Enterasys公司的SmartSwitch可堆叠交换器和SmartSwitch Router主干网交换器来在整个子网上建立VLAN，这些子网是运行多种协议的。医疗数据库建立在VAX小型机上，这种应用运行于遗留的DECnet协议之上。DECnet的确使用了大量的广播流量，可将这些流量置于其自己的VLAN上，因而DECnet数据流只能够到达一定的网段。
NetWare 4.11服务器在网络上运行的情况与此类似。它只为Novell服务器及用户创建独立的IPX VLAN，这使多数基于IP和Windows NT/2000服务器的网络不会陷入IPX和DECnet流量的海洋中。
隔离VoIP流量进入VLAN也成为3Com、Cisco、Alcatel、Nortel和Avaya等IP电话厂商的一个标准推荐。所有这些厂商的交换器和IP PBX设备都支持802.1Q技术，这就隔离了IP语音流进入其自己的VLAN。
厂商和用户都认为，在其虚拟段保持语音可能是非常有用的，作为一个隔离语音流的方法，它可以达到故障诊断的目的。如果有大流量的广播或大的文件下载，它也能确保语音质量不会下降。
如何在交换机上配置VLAN
我们知道，传统的局域网Ethernet 使用具有冲突检测的载波监听多路访问( CSMA / CD )方法。在CSMA / CD 网络中，节点可以在它们有数据需要发送的任何时候使用网络。在节点传输数据之前，它进行监听以了解网络是否很繁忙。如果不是，则节点开始传送数据。如果网络正在使用，则节点等待。如果两个节点进行监听，没有听到任何东西，而开始同时使用线路，则会出现冲突。在发送数据时，它如果使用广播地址，那么在此网段上的所有PC都将收到数据包，这样一来如果该网段PC众多，很容易引起广播风暴。而冲突和广播风暴是影响网络性能的重要因素。为解 决这一问题，引入了虚拟局域网(VLAN的)概念。
