VLAN与路由设计

路由器和vlan的区别~

路由器是硬件设备，属于ISO三层网络层设备，负责流量转发和路由表控制，路由寻向作用。
VLAN是软件虚拟，一般由ISO二层，数据链路层也就是交换机来做，但VLAN属于三层，这个不太确定，已经忘了十年前学的理论了。VLAN是虚拟局域网，也就是将一个大的广播域重新虚拟出多外小的广播域，目的是为了安全和便于管理还有分离广播流量。举个例子比如十几台交换机相连，同时接了上千台主机，这么一个大的广播域只要一台电脑中了网络病毒，整个网络会挂掉，而且广播和组播流量包括IP分配是很难实现的，并且不同部门都在同一网络，安全也是问题，但由交换机的VLAN功能将不同部门划分成不同VLAN，不同VLAN之间相当于不同网络，这样不在同一广播域，分离了广播组播流量，不同VLAN分别作不出功能和策略， 便于管理，不同VLAN之间不能互相访问，也安全了，VLAN之间访问需要路由或三层交换机寻路由表才能互访问，共享是不能用了，这样就是VLAN的作用和好处。

VLAN间路由
1、VLAN间路由的需求
二层交换网络——广播网络

（1）二层广播问题
二层网络广播问题，二层交换式网络，整个网络是一个扁平结构，网络全部由二层交换机构造起来，整个网络是一个大的广播域；在以太网中，所谓广播域就是指在一个网络范围中，广播帧（目的MAC地址为ff-ff-ff-ff-ff-ff的帧）将要被转发的最大范围；在二层交换机中，交换机仅根据MAC地址进行帧的选路和转发，当一个完整正确的以太网帧从一个交换机端口上被接收上来以后，交换机将在自己维护的MAC地址表中去查找地址，根据地址类型的不同和查找结果的不同情况，交换机对帧采取不同的处理：
单播帧（unicast），目的地址在MAC地址表中存在，则按照地址表中表项所指的输出端口，将帧转发到相应的端口上（单播MAC地址在地址表中只能指向一个输出端口）
单播帧（unicast），目的地址在MAC地址表中不存在，则在广播域的所有端口上广播该帧；
组播帧（Multicast），目的地址在MAC地址表中存在，则按照目的地址在地址表中的表项所指的输出端口，将帧转发到相应的端口上。（组播MAC地址在地址表中可以指向一个或一组输出端口）
组播帧（Multicast），目的地址在MAC地址表中不存在，则则在广播域的所有端口上广播该帧；
广播帧（Broadcast），则在广播域的所有端口上广播该帧
（2）VLAN隔离二层广播域

在支持VLAN功能的交换机组成的网络中，每一个VLAN被设计为一个独立的广播域；VLAN之间被严格隔离开来，任何一个帧都不能从自己所属的VLAN被转发到其他的VLAN中。整个网络被划分为若干个规模更小的广播域，改善了网络性能。
（3）连接不同的VLAN——VLAN间路由

“无连不成网”，一个网络在使用VLAN隔离成多个广播域后，各个VLAN之间是不能互相访问的，因为各个VLAN的流量实际上已经物理上隔离开来了，隔离网络只是为了优化网络，最终还是要让整个网络能够畅通起来。
VLAN之间的通信解决方法是，在VLAN之间配置路由器，这样VLAN内部的流量仍然通过原来的VLAN内部的二层网络进行，从一个VLAN到另一个VLAN的通信流量，通过路由在三层上进行转发，转发到目的网络后，再通过二层交换网络把报文最终发送给目的主机。
由于路由器对以太网上的广播报文采取不转发策略，因此中间配置的路由器仍然不会改变划分VLAN所达到的广播隔离的目的。
（4）三层交换机做VLAN间路由
1）VLAN间路由的解决方案：VLAN间通信的路由选择

在划分了VLAN并且使用路由器将VLAN互联起来的网络中，网络主机是怎样互相通信的呢？
首先，做这样一个定义：
处于相同VLAN内部的主机叫做本地主机，与本地主机之间的通信叫做本地通信。处于不同VLAN的主机叫做非本地主机，与非本地主机之间的通信叫做非本地通信。
对于本地通信，通信两端的主机同处于一个相同的广播域，两台主机之间的流量可以直接互相到达，通信的过程与扁平二层网络中的情况相同。
对于非本地通信，通信两端的主机位于不同的广播域内，两台主机的流量不能互相到达，主机通过ARP广播请求也不能请求到对方的地址，此时的通信必须借助于中间的路由器来完成。
路由器在各个VLAN中间，实际上是作为各个VLAN的网关起作用的。因此要通过路由器来互相通信的主机必须知道这个路由器的存在，并且知道它的地址。
在路由器配置好之后，就要在主机上配置默认网关为路由器在本VLAN上的接口地址。
上图1.1.1.10要想与2.2.2.20通信，首先，主机1.1.1.10根据本地的子网掩码比较，发现目的主机不是本地主机，不能直接访问目的主机；根据IP通信的规则，主机1.1.1.10将要查找本机的路由表寻找相应的网关，在实际网络中，主机通常只配置了默认网关，因此这里主机1.1.1.10找到了默认网关。
通过以上过程， VLAN之间的互通和其他的网络配置相同，要根据网络的实际设计情况，同步的配置网络各个部分的设置。如果单独配置了路由器的地址，而没有在主机上【配置网关，VLAN间的通信依然无法运行起来。
2）路由器做VLAN间路由的局限

按照传统的建网原则，应该从每一个需要进行互通的VLAN单独建立一个物理连接到路由器，每一个VLAN都要独占一个交换机端口和一个路由器的端口。在这样的配置下，路由器上的路由接口和物理接口是一对一的对应关系，路由器在进行VLAN间路由的时候就要把报文从一个路由器接口上转发到另一个路由器接口上，同时也是从一个物理接口上转发到其他的物理接口上去。
3）使用VLAN Trunking

使用VLAN Trunking技术可以优化上面网络
使用VLAN Trunking，可以使多个VLAN的业务流量共享相同的物理连接，通过在VLAN Trunking的物理连接上传递打标记的帧将各个VLAN的流量区分开来。
在做VLAN间互通的时候，对于网络中多个VLAN，只需要共享一条物理链路。在交换机上配置连接到路由器的端口使用VLAN Trunking，在路由器上也做相同的配置。在这样的配置下，路由器上的路由接口和物理接口是多对一的对应关系，路由器在进行VLAN间路由的时候把报文从一个路由接口上转发到另一个路由接口上，但从物理接口上看是从一个物理接口上转发回同一个物理接口上去，但是VLAN标记在转发后被替换为目标网络的标记。
在通常情况下，VLAN间路由的流量不足以达到链路的线速度，使用VLAN Trunking的配置，可以提高链路的带宽利用率，节省端口资源，和简化管理。
使用VLAN Trunking之后，用传统的路由器进行VLAN之间的路由在性能上还有一定的不足：由于路由器利用通用CPU转发完全依靠软件进行，同时支持各种通信接口，给软件带来的负担比较大。软件要处理包括报文接收、校验、查找路由、选项处理、报文分片，导致性能不能做到很高，要实现高的转发率就会带来高昂的成本。由此诞生了三层交换机，利用三层交换技术来进一步改善性能。
4）基于内部硬件路由引擎的三层交换机
交换和路由的集成


三层交换机使用硬件技术，采用巧妙的处理方法把二层交换机和路由器在网络中的功能集成到一个盒子里，提高了网络的集成度，增强了转发性能。
标准的IP路由需要在转发每一个IP报文的时候做很多处理，经过很多流程，如前所述，但是这样的工作并不是在处理每个报文时都必须的，绝大多数的报文只需要经过很少一部分过程，IP路由的方法有很大的改进余地。
三层交换机的设计基于对IP路由的仔细分析，把IP路由中每一个报文都必须经过的过程提取出来，这个过程是个十分简化的过程：
- IP路由中绝大多数报文是不包含IP选项的报文，因此处理报文IP选项的工作在多数情况下是多余的
- 不同网络报文长度是不同的，为了适应不同网络，IP实现了报文分片功能，但是在全以太网的环境中，网络的帧（报文）长度是固定的，因此报文分片功能也可以裁剪。
- 三层交换机采用了和路由器的最长地址掩码匹配不同的方法，使用精确地址匹配方式处理，有利于硬件实现快速查找。
- 三层交换机采用cache方法，把最近经常使用的主机路由放到了硬件的查找表中，只有在cache中无法匹配的项目才会通过软件去转发。这样，只有每个流的第一个报文会通过软件进行转发，其后的大量数据流则可以在硬件中得以完成。
三层交换机实现了简化的IP转发流程。
2、三层交换机基本介绍
1）三层交换机功能模型

三层交换机功能上相当于上图中虚线框中的部分。
三层交换机把支持VLAN的二层交换机和路由器的功能集成在一起，因此也称为二三层交换机。
二层交换机的功能和路由器的功能，在三层交换机中分别体现为二层VLAN转发引擎和三层转发引擎两个部分。二层VLAN引擎与支持VLAN的二层交换机的二层转发引擎相同，三层转发引擎使用硬件ASIC技术实现高速的IP转发，对应到IP网络模型中，每个VLAN对应一个IP网段，三层交换机中的三层转发引擎在各个网段（VLAN）间转发报文，实现VLAN之间的互通，因此三层交换机的路由功能通常叫做VLAN间路由（Inter-VLAN Routing）。
2）三层交换机中的路由和二层交换

每个VLAN对应一个IP网段，在二层上，VLAN之间是隔离的。
- 不同的IP网段之间的访问要跨越VLAN，要使用三层转发引擎提供的VLAN间路由功能（相当于路由器）
- 在使用二层交换机和路由器的组网中，每个需要与其他IP网段（VLAN）通信的IP网段（VLAN）都需要使用一个路由器接口做网关。
- 三层交换机的应用也同样符合IP的组网模型，三层转发引擎就相当于传统组网中的路由器的功能，当需要与其他VLAN通信的时候也要为之在三层交换引擎上分配一个路由器接口，用来做VLAN的网关。
- 在三层交换机上的这个路由接口是在三层转发引擎和二层转发引擎上的，是通过配置转发芯片来实现的，与路由器的接口不同，这个接口不是直观可见的。
在VLAN指定路由接口的操作实际上就是为VLAN指定一个IP地址、子网掩码和MAC地址，MAC地址是由设备制造过程中分配的，在配置过程中由交换机自动配置。

VLAN的设计与应用
iTbulo.COM 2006-2-17 未知(183)

近来参加了不少医院网络方案的讨论和评标活动，在几乎所有医院的方案中都或多或少地采用了虚拟局域网(VLAN)技术，但笔者发现大多数方案中的VLAN设计都存在一个共同且致命的缺陷，那就是VLAN跨越网络的核心。本文就这个问题谈一谈自己的看法，供同行们参考。

VLAN相互受影响

根据VLAN的定义和技术规范，VLAN不是由独享的物理设备和物理链路搭建的物理子网或网段，VLAN与实实在在的物理子网的本质区别在于，VLAN之间要共享物理设备和物理链路，因此，VLAN间就会通过所共享的设备和链路相互影响。这种影响是如何产生的呢?VLAN是通过将一个物理拓扑中的两个或多个节点通过逻辑组合而形成的��胧迪终庵致呒�淖楹暇捅匦胧褂弥С谚LAN的交换设备，但真正提供VLAN功能的是这些设备内部的软件。也就是说，VLAN所构造的子网(广播域)是软件实现的，而不是由网络拓扑所决定的。网络拓扑仅对由软件所建立的VLAN有所限制。

知道了VLAN的工作原理，就不难解释VLAN间的影响了，同一交换机上的不同VLAN要共享交换机、要争夺交换机的CPU和背板资源。VLAN对交换机和链路的共享可分为两种类型:一种是“广播共享”，即VLAN划定的广播域贯穿共享设备和链路(如图1所示)，换句话说广播共享是二层的共享。另一种我们称之为“路由共享”，也可以说是三层共享，在这种类型的共享中，不同VLAN的数据包是以路由(三层交换)方式穿过交换机的(如图2中虚线所示)，通过的包基本上不含有一般的广播包(DHCP和特殊协议的广播除外)。VLAN在“广播共享”网络资源时的相互影响要比“路由共享”时更大。

从图1可清楚地看出所共享的网络资源(交换机和链路)。在正常情况下，VLAN间的这种影响不被我们所注意，原因是共享的交换机有足够的交换能力，链路不是很拥挤，但在某一VLAN出现异常时(如感染病毒或出现环路)情况就不同了。这时被感染VLAN(如VLAN1)中的大量数据帧将挤占该VLAN所及的所有交换机的CPU资源、背板带宽，并长时间占用物理链路，其他VLAN(如VLAN2)中的设备尽管“看”不到出现异常VLAN中的数据帧，但其所依赖的网络资源已被用尽，因此，VLAN1所覆盖的网络区域就会出现异常。如果故障点发生在核心交换机附近，那么整个网络就有可能瘫痪。这在各网络拓扑层交换机的性能相差不多的情况下尤为严重。

三层共享有作用

由VLAN的性质所决定，完全消除VLAN间的链路和设备的共享在理论上是不可能的。我们所做的努力只能尽量减少相互影响的范围、降低相互影响的程度。如何做到这一点呢?在实践中我们总结出如下原则:1)应尽量避免在同一交换机中配置多个VLAN;2)不同物理位置上的交换机上的端口尽量不要划归到同一个VLAN。前者较好理解，也容易实现，我们重点讨论后者，即如何做到VLAN不跨越核心交换机和拓扑结构的“层”。从图1可以看出，由于VLAN1(VLAN2也是这样)的范围跨越了整个网络，如果把所有VLAN的覆盖面都限定在核心交换机的同一侧，这些资源被共享的程度不就减轻了吗?按此想法我们可以将图1所示的网络改变为图2所示的结构。

由于在这种结构中不存在跨越核心交换机的虚网，因此各VLAN的广播包就不会穿过核心交换机，但这些广播包却均能到达核心交换机，同时核心交换机上还会有ACL允许的VLAN间的正常数据流(如图2中的虚线所示)通过。很显然，这时的核心交换机既阻挡了各VLAN的广播包，又转发了VLAN间的正常数据流，其被共享的形式由“广播式”变成了“路由式”，受VLAN影响的程度变小。

有人可能会说，把核心交换机从二层提到了三层，性能会下降。这种说法无疑是正确的，但这点性能的降低对于当今的三层交换机所能提供的性能来说已经算不得什么了。从图2还可以看出，尽管受单个VLAN影响的程度和范围均变小，但共享链路的长度和强度并没有本质的变化。

三层结构最有效

细心的读者可能还会发现，图2所示网络中的VLAN没有体现VLAN技术的原始目的——不同物理位置上的计算机能像在同一物理网中一样相互访问。这个问题正是本文涉及的核心问题，也是针对规划、部署VLAN提出的新观点:在网络中，特别是较大型网络，不要企图利用VLAN去实现不同物理位置上计算机的互联互通，互通性要由路由策略去实现。这在以往会有些问题，但网络技术发展到今天，交换机与路由器间的差别变得越来越小，原来用二层实现的方法很多都能够用三层技术所代替。用三层技术代替二层的功能有很多优点，主要表现在:结构更加清晰、控制更加丰富、扩展更加灵活、网络更加稳定、实现更加容易。

继续分析图2中所存在的问题不难看出，尽管核心交换机被共享的形式改变了，但仍存在受到各VLAN出现异常情况的影响。要想避免核心交换机受到各个VLAN的影响、减小影响范围、避免全网瘫痪的发生，很容易想到在核心交换机和划有VLAN的交换机之间加上一层，以隔离核心交换机和各个VLAN。这时就形成了目前较为流行的三层拓扑结构的网络，如图3所示。

在三层网络结构中，汇聚层与核心层之间的区域不再有VLAN，汇聚层交换机的VLAN也仅限于部分端口，这时汇聚层交换机成为被“路由共享”的交换机，而且这种“路由共享”比图2的情况更弱。

如果使汇聚层交换机的性能远高于接入层的交换机，那么由VLAN的广播(多由病毒引起)所引起的整网瘫痪问题就基本解决了。

任何方案都具有利的一面和不利的一面，三层拓扑结构的网络也会带来一些问题:1)利用一般的手段较难实现对各个VLAN进行集中式的远程管理，对于这个问题的解决方案可充分利用网管软件。2)由于VLAN数量的增多、路由协议等技术的引入，此时的网络会比二层平面交换网络要复杂，对网络技术人员的要求更高，管理维护成本会有所增加。

这两点是大型网络管理本身的要求，大型网络的管理不可能不使用网络管理工具，技术人员的缺乏更是各个企业都面临的问题，对此有的专家提出了“IT物业”的理念，也许这就是将来解决这个问题的最终方案。
还有图，http://edu.itbulo.com/200602/84538.htm

路由很简单 只要做个NAT
核心交换机配置比较多
先划分vlan
一个部门一个vlan
每个vlan 一个IP地址
此地址将作为 这个vlan 里面多有用户的 网关
然后将 相应部门的 接口划入相应的 vlan
再把 核心交换与 下一层交换机之间做 trunk
接着 是在和姓交换机上做 DHCP
使得 左右计算机能自动获取IP地址
如果 要做相应的 限制的话 要在路由上做 访问控制列表

图我已经给了你了！！

---

桓仁满族自治县19455913428： 只有路由器和二层交换机,如何配置VLAN 且能互访? - ？
赞爱哈力： 对于没有路由功能的二层交换机,若要实现VLAN间的相互通信,就要借助外部的路由器来为VLAN指定默认路由. VLAN创建一个对应的逻辑子接口,并设置逻辑子接口的IP地址,该IP地址以后就成为该VLAN的默认网关.交换机上做VLAN; 交换机上与路由器连接的接口设置成TRUNK模式; 再在路由器上做子接口,做单臂路由; 在路由器一个端口上直接配置多个IP的话,不能互相PING通;

桓仁满族自治县19455913428： 子网与路由设计？
赞爱哈力：我只是画的星型结构,没有画核心、汇聚、接入三层结构.只供楼主参考,给予灵感! IP地址分配 可以分为8个子网(掩码:255.255.255.224) 192.168.1.0 192.168.1.32 192.168.1.64 192.168.1.96 192.168.1.128 192.168.1.160 192.168.1.192...

桓仁满族自治县19455913428： 什么是Vlan?怎么划分Vlan?？
赞爱哈力： VLAN又称虚拟局域网,可以在三层交换机上进行划分Vlan~!~

桓仁满族自治县19455913428： 简述交换机配置跨交换机VLAN并实现VLAN间路由的实验步骤. 急用!!!!1 - ？
赞爱哈力： 1、用二层交换机和三层交换组合,启用三层交换的路由功能,然后给需要通讯的vlan配置ip地址作为此vlan的网关,并且开启trunk.2、用二层交换和路由器组合,在路由器上启用子端口,使用单臂路由的方式!注意进入子接口前先把物理端口启用,进入后要定义封装类型,不定义的话会使配置失效的!3、两交换之间的相同vlan的通讯直接在连接的端口上开通trunk就可以了!

桓仁满族自治县19455913428： 交换和路由的区别?vlan的特点是什么? - ？
赞爱哈力： 交换和路由最大的区别在于交换是通过ASIC专用硬件处理数据,路由是通过CPU用软件的形式处理数据.VLAN的特点为将一个物理网络从逻辑上划分出了多个广播域.

桓仁满族自治县19455913428： vlan静态路由 - ？
赞爱哈力： 二层交换机Vlan之间是不能互通的,Vlan1的IP地址只是二层交换机的管理地址,二层交换机也无法配置静态路由,只能配置缺省网关,必须通过三层交换机或者路由器实现各个Vlan的互通.

桓仁满族自治县19455913428： 如何通过路由器的不同物理接口与交换机上的每个VLAN 分别连接 - ？
赞爱哈力： 貌似路由器提供VLAN间路由只能做单臂路由,也就是设置子接口和封装协议.第一步:在交换机上建立VLAN,并将交换机的各端口按照你的意愿划分到你所创建的VLAN中.实例:con t vlan 10 vlan 20 vlan 30 interface range fastetherner 0/1-8...

桓仁满族自治县19455913428： 网络中vlan配置和静态路由配置怎么能做一个大的实验 - ？
赞爱哈力： 使用vlan之后,路由器应该使用子接口,例如e1.0和e1.1两个子接口,分别设置IP作为网关如果使用三层交换机,就直接把接VLAN的端口设置IP作为网关,即192.168.10.1和192.168.20.1三层交换机会学习到路由,就可以通信了以上是解决内部线路对外线路,设为原来路由器的IP就可以了另外要设置NAT,不然的话,IP转不出去

桓仁满族自治县19455913428： VLAN间路由的配置方法？
赞爱哈力： router interface fastethernet 0/0 no ip address no shutdown int fastehternet 0/0.1 encapsultation dot1q 1 ip address 192.168.1.254 255.255.255.0 int fastehternet 0/0.2 encapsultation dot1q 2 ip address 192.168.2.254 255.255.255.0 switch:2924 >...