組建Virtual LAN 網路 – 1.定義、協議、基本概念

文章目錄

• 3. VLAN劃分方法

1. VLAN 的基本定義摘自百度

　　VLAN建立在交換技術的基礎上，將網路結點按工作性質與需要劃分成若干個“邏輯工作群組”，一個“邏輯工作群組”即一個虛擬網路。VLAN的實現技術有四種：用交換器連接埠（Port）號定義虛擬網路、用MAC地址定義虛擬網路、IP廣播組虛擬網路、用網路層地址定義虛擬網路。“邏輯工作群組”的劃分與管理由軟體來實現。通過劃分虛擬網，可以把廣播限制在各個虛擬網的範圍內，從而減少整個網路範圍內廣播包的傳輸，提高了網路的傳輸效率；同時各虛擬網之間不能直接進行通訊，而必須通過路由器轉寄，為進階的安全控制提供了可能，增強了網路的安全性。

Wiki的解釋如下

A virtual local area network, virtual LAN or
VLAN, is a group of hosts with a common set of requirements that communicate as if they were attached to the same

broadcast domain, regardless of their physical location. A VLAN has the same attributes as a physical

local area network (LAN), but it allows for end stations to be grouped together even if they are not located on the same
network switch. VLAN membership can be configured through software instead of physically relocating devices or connections.

To physically replicate the functions of a VLAN, it would be necessary to install a separate, parallel collection of network cables and equipment which are kept separate from the primary network. However unlike a physically separate network, VLANs must share
bandwidth; two separate one-gigabit VLANs using a single one-gigabit interconnection can suffer both reduced throughput and congestion. It virtualizes VLAN behaviors (configuring switch ports, tagging frames when entering VLAN, lookup MAC table to switch/flood
frames to trunk links, and untagging when exit from VLAN.)

wiki提到了VLAN需要share bandwidth，

§ 補充說明VLAN 是為了在同一個物理鏈路上傳輸多個邏輯的資料鏈路而提出的一種網路技術，。VLAN一般被認為是一種二層的隔離技術，它可以隔離不同邏輯網路之間的資料鏈路。

IEEE 802.1Q在MAC層定義了VLAN的橋接功能，IEEE802.1D把這種定義推廣到了tree協議。通過樹產生協議，不同的VLAN之間可以通過3層網路互訪。這裡的三層網路指3層交換器或路由器。

2. VLAN的協議

802.1Q並沒有定義封裝方式，它是通過在增強網路幀中增加1個32 bits的VLAN tag field。該VLAN tag具有如下格式：

VLAN tag地區格式如下

16 bits         3 bits         1 bit        12 bits
TPID            PCP            CFI         VID

a.  Tag Protocol Identifier (TPID): VLAN 標記幀，在802.1Q 中該標記為的值為0x8100。該標誌為用來識別VLAN 和非 VLAN資料幀。

b.  Priority Code Point (PCP): 為一個 3-bit 的地區，用來標記資料幀的優先順序別。優先順序從0到7優先順序逐漸降低。不同的優先順序可以用與不用的業務如語音、視頻、資料等。

c.  Canonical Format Indicator (CFI): 為一個 1-bit 地區，如果只為1則後續的MAC地址為非正規形式，如果為0則後續的MAC地址為正規形式。CFI用來相容Ethernet與Token Ring networks。如果Ethernet port收到的幀 CFI標記為1，則該幀不會送至untagged連接埠。

d.  VLAN Identifier (VID): 為一個12-bit的地區，標誌該幀屬於哪個VLAN。如果為0則表示該幀不屬於任何VLAN， 0xFFF是保留標誌。因此可用的VLAN共計4094。在橋接網路中，VLAN 1 一般用作管理網路。

 

另外， VLAN的標籤也可以是上層嵌套的，這種VLAN方式一般在電訊廠商的網路中採用。這種VLAN可以把多個客戶的VLAN在劃分在一個大的VLAN中以區別不同的業務。VLAN tag 從外到內逐步解析。此時外層的 VLAN TPID可以標記為9100、9200或者9300。根據802.1ad，由電訊廠商的外層 VLAN TPID 被定義為88a8。

雙層的VLAN標記幀結構如所示：

                                                        Insertion of 802.1ad DoubleTag in Ethernet-II frame

以同樣的方式，也可以拓展到3層VLAN或更多的嵌套。

3. VLAN劃分方法

VLAN在交換器上的實現方法，可以大致劃分為4類。

3.1 基於連接埠劃分的VLAN

這種劃分VLAN的方法是根據乙太網路交換器的連接埠來劃分，比如Quidway S3526的1~4連接埠為VLAN 10，5~17為VLAN 20，18~24為VLAN 30，當然，這些屬於同一VLAN的連接埠可以不連續，如何配置，由管理員決定，如果有多個交換器，例如，可以指定交換器 1 的1~6連接埠和交換器 2 的1~4連接埠為同一VLAN，即同一LAN可以跨越數個乙太網路交換器，根據連接埠劃分是目前定義VLAN的最廣泛的方法，IEEE 802.1Q規定了依據乙太網路交換器的連接埠來劃分VLAN的國際標準。

這種劃分的方法的優點是定義VLAN成員時非常簡單，只要將所有的連接埠都指定義一下就可以了。它的缺點是如果VLAN A的使用者離開了原來的連接埠，到了一個新的交換器的某個連接埠，那麼就必須重新定義。

3.2 基於MAC地址劃分VLAN

這種劃分VLAN的方法是根據每個主機的MAC地址來劃分，即對每個MAC地址的主機都配置他屬於哪個組。這種劃分VLAN的方法的最大優點就是當使用者物理位置移動時，即從一個交換器換到其他的交換器時，VLAN不用重新設定，所以，可以認為這種根據MAC地址的劃分方法是基於使用者的VLAN，這種方法的缺點是初始化時，所有的使用者都必須進行配置，如果有幾百個甚至上千個使用者的話，配置是非常累的。而且這種劃分的方法也導致了交換器執行效率的降低，因為在每一個交換器的連接埠都可能存在很多個VLAN組的成員，這樣就無法限制廣播包了。另外，對於使用膝上型電腦的使用者來說，他們的網卡可能經常更換，這樣，VLAN就必須不停的配置。

3.3 基於網路層劃分VLAN

這種劃分VLAN的方法是根據每個主機的網路層地址或協議類型（如果支援多協議）劃分的，雖然這種劃分方法是根據網路地址，比如IP地址，但它不是路由，與網路層的路由毫無關係。它雖然查看每個資料包的IP地址，但由於不是路由，所以，沒有RIP，OSPF等路由協議，而是根據產生樹演算法進行橋交換，
這種方法的優點是使用者的物理位置改變了，不需要重新設定所屬的VLAN，而且可以根據協議類型來劃分VLAN，這對網路管理者來說很重要，還有，這種方法不需要附加的幀標籤來識別VLAN，這樣可以減少網路的通訊量。
這種方法的缺點是效率低，因為檢查每一個資料包的網路層地址是需要消耗處理時間的（相對於前面兩種方法），一般的交換器晶片都可以自動檢查網路上資料包的乙太網路禎頭，但要讓晶片能檢查IP幀頭，需要更高的技術，同時也更費時。當然，這與各個廠商的實現方法有關。

3.4 根據IP組播劃分VLAN

IP 組播實際上也是一種VLAN的定義，即認為一個組播組就是一個VLAN，這種劃分的方法將VLAN擴大到了廣域網路，因此這種方法具有更大的靈活性，而且也很容易通過路由器進行擴充，當然這種方法不適合區域網路，主要是效率不高。