1) VLAN是虚拟局域网或虚拟的以太网。局域网和虚拟局域网的关系类似物理计培陆算机和虚拟机的关系。
2)虚拟局域网是可以在以太网上进行逻辑拓扑设计和访问控制设计(专利:一种基于VLAN构造的访问控制方法)。不仅对TCP/IP协议有效,而且对在以太网上非TCP/IP传输协议也同样有效
3)由于ACL主要是为TCP/IP协议工作的,因此对于ARP广播寻址等功能不能进行良好的隔离。故需要系统在二层隔离时(以太网层),需要VLAN。
VLAN的含义:相同VLANID的交换机端口(或网卡MAC、IP)或不同VLANID,若允许本身或彼此携带VLAN标签(TAG)的数据包通过,这些端口就构成VLAN。由于不同VLANID的端口可以允许不同的VLAN标签(TAG)通过。所以每种VLANID端口的广播域可以不一样。
虚拟局域网的定义:
1)按端口的PVID定义,即相同的VLANID为同一个VLAN(VLANID为端口打印的虚拟局域网标签)。每个端口只允许携带该VLAN标签的数据包通过。
2)不同VLANTAG(标签)也被允许通过,当某个VLANID(列如:VLAN100的端口,允许VLAN200端口打印的数据包也能通过),这样如果VLAN100和VLAN200 都允许彼此打印的数据包通过。则VLAN100和VLAN200构成一个VLAN。同理如下图:
简单实现一个虚拟网络的访问控制逻辑拓扑
习惯上VLANID,即VLAN100、VLAN200中数字100、200代表了每个VLAN号。尊重这种习惯,在此、我们用“组VLAN”来代表一个虚拟局域网,我们设置VLAN100 不仅允许自身VLANID的IP包通过,也允许VLAN200的数据包(VLANTAG)通过,同时设置VLAN200也允许VLAN100的数据包通过。VLAN100和VLAN200就构成了一个虚拟局域网。同理,如果我们设置VLAN100和VLAN300互通,VLAN200和VLAN400互通。如图1所示:由于,端口对VLANTAG的选择性限制,VLAN100与VLAN400不能互通、VLAN200不能与VLAN300互通。VLAN300也不能与VLAN400互通。
MAC-VLAN ,IP-VLAN.主要是网卡设置,即通过网卡设置MAC和IP和VLAN成员的对应关系,此地就不再重复说明。早中卜
VLAN逻辑拓扑设计和VLAN直接访问控制目前是最新的技术,可以按照服务器及其服务对象(客户端)划入同个VLAN。服务器和客户端都可以加入不同的组“VLAN”。陆穗如下图所示:
愿能帮助到你!
标签:vlan,实现