虛擬局域網(wǎng)VLAN在內(nèi)網(wǎng)中的管理應(yīng)用

1、虛擬局域網(wǎng)VLAN 在內(nèi)網(wǎng)中的管理應(yīng)用字體選擇：【大】 【中】 【小】最新推薦CERNET 第十七屆學(xué)術(shù)年會(huì)征文延. 05-05 特別策劃：桌面虛擬化正迎來(lái)發(fā). 04-14 中國(guó)電信聯(lián)合清華組建下一代互. 03-11 特別策劃：數(shù)字圖書館路在何方? 02-26 所謂VLAN 是指處于不同物理位置的節(jié)點(diǎn)根據(jù)需要組成不同的邏輯子網(wǎng)，即一個(gè)VLAN 就是一個(gè)邏輯廣播域，它可以覆蓋多個(gè)網(wǎng)絡(luò)設(shè)備。VLAN 允許處于不同地理位置的網(wǎng)絡(luò)用戶加入到一個(gè)邏輯子網(wǎng)中，共享一個(gè)廣播域。通過(guò)對(duì)VLAN 的創(chuàng)建可以控制廣播風(fēng)暴的產(chǎn)生，從而提高交換式網(wǎng)絡(luò)的整體性能和安全性。同一個(gè)VLAN 中的端口可以接受VLAN 中的廣

2、播包，別的VLAN 中的端口則接收不到。VLAN 在網(wǎng)絡(luò)管理中的應(yīng)用集團(tuán)公司下屬公司多，業(yè)務(wù)種類多，根據(jù)業(yè)務(wù)發(fā)展需要，經(jīng)過(guò)認(rèn)真規(guī)劃，將聯(lián)網(wǎng)后的統(tǒng)一網(wǎng)絡(luò)劃分為30個(gè)VLAN 。劃分原則為：集團(tuán)本部以樓層為單位進(jìn)行VLAN 劃分，各下屬公司以業(yè)務(wù)的不同來(lái)劃分VLAN ，不同的VLAN 具有不同的安全級(jí)別。其中生產(chǎn)用機(jī)及各種服務(wù)器所在的VLAN 具有的安全級(jí)別較高。同時(shí)利用路由器自身的訪問(wèn)控制功能，設(shè)置訪問(wèn)列表對(duì)特定的VLAN 用戶進(jìn)行保護(hù)，對(duì)特定的端口135、445、1434等進(jìn)行控制，保證了整個(gè)網(wǎng)絡(luò)中各個(gè)VLAN 用戶的安全隔離。VLAN 劃分的有4種策略：基于端口的VLAN 劃分、基于MAC

3、地址的VLAN 劃分、基于路由的VLAN 劃分、基于策略的VLAN 劃分。該集團(tuán)采用的方式是基于端口的VLAN 劃分的方式?；诙丝诘腣LAN 劃分是最簡(jiǎn)單、最有效的劃分方法。該方法只需網(wǎng)絡(luò)管理員對(duì)網(wǎng)絡(luò)設(shè)備的交換機(jī)端口進(jìn)行重新分配即可，不用考慮該端口所連接的設(shè)備。在交換機(jī)投入運(yùn)行前就把它的物理端口根據(jù)需要?jiǎng)澐纸o指定的VLAN 并分配給用戶。這種劃分使網(wǎng)絡(luò)管理員能夠隨時(shí)掌握網(wǎng)絡(luò)的負(fù)載情況，有利于網(wǎng)絡(luò)的優(yōu)化使用，并具有較高的安全性。那么VLAN 與VLAN 之間又是如何實(shí)現(xiàn)相互間的訪問(wèn)呢?在一般的二層交換機(jī)組成的網(wǎng)絡(luò)中，VLAN 實(shí)現(xiàn)了網(wǎng)絡(luò)流量的分割，不同的VLAN 間是不能互相通信的。要實(shí)現(xiàn)VL

4、AN 間的通信必須借助：1 路由器來(lái)實(shí)現(xiàn);2 三層交換機(jī)。下屬公司采用的是使用三層交換機(jī)的方式。利用三層交換機(jī)實(shí)現(xiàn)VLAN 間通信，三層交換機(jī)是將第二層交換機(jī)和第三層路由器兩者的優(yōu)勢(shì)有機(jī)而智能化地結(jié)合起來(lái)，可在各個(gè)層次提供線速性能。三層交換機(jī)內(nèi)，分別設(shè)置了交換機(jī)模塊和路由器模塊; 而內(nèi)置的路由模塊與交換模塊類似，也使用ASIC 硬件處理路由。因此，與傳統(tǒng)的路由器相比，可以實(shí)現(xiàn)高速路由。并且，路由與交換模塊是匯聚鏈接的，由于是內(nèi)部連接，可以確保相當(dāng)大的帶寬。用三層交換機(jī)的路由功能來(lái)實(shí)現(xiàn)VLAN 間的通信。VLAN 對(duì)于網(wǎng)絡(luò)使用者來(lái)說(shuō)是完全透明的，用戶感覺(jué)不到使用中與交換式網(wǎng)絡(luò)有任何的差別，但對(duì)于

5、網(wǎng)絡(luò)管理人員則有很大的不同，因?yàn)檫@主要取決于VLAN 的幾點(diǎn)優(yōu)勢(shì)。(1控制廣播風(fēng)暴網(wǎng)絡(luò)管理必須解決因大量廣播信息帶來(lái)帶寬消耗的問(wèn)題。VLAN 作為一種網(wǎng)絡(luò)分段技術(shù)， 可將廣播風(fēng)暴限制在一個(gè)VLAN 內(nèi)部，避免影響其他網(wǎng)段。與傳統(tǒng)局域網(wǎng)相比，VLAN 能夠更加有效地利用帶寬。在VLAN 中，網(wǎng)絡(luò)被邏輯地分割成廣播域，由VLAN 成員所發(fā)送的信息幀或數(shù)據(jù)包僅在VLAN 內(nèi)的成員之間傳送，而不是向網(wǎng)上的所有工作站發(fā)送。這樣可減少主干網(wǎng)的流量，提高網(wǎng)絡(luò)速度。(2增強(qiáng)網(wǎng)絡(luò)的安全性共享式LAN 上的廣播必然會(huì)產(chǎn)生安全性問(wèn)題，因?yàn)榫W(wǎng)絡(luò)上的所有用戶都能監(jiān)測(cè)到流經(jīng)的業(yè)務(wù)，用戶只要插入任一活動(dòng)端口就可訪問(wèn)網(wǎng)段上的

6、廣播包。采用VLAN 提供的安全機(jī)制，可以限制特定用戶的訪問(wèn)，控制廣播組的大小和位置，甚至鎖定網(wǎng)絡(luò)成員的MAC 地址，這樣，就限制了未經(jīng)安全許可的用戶和網(wǎng)絡(luò)成員對(duì)網(wǎng)絡(luò)的使用。(3增強(qiáng)網(wǎng)絡(luò)管理采用VLAN 技術(shù)，使用VLAN 管理程序可對(duì)整個(gè)網(wǎng)絡(luò)進(jìn)行集中管理，能夠更容易地實(shí)現(xiàn)網(wǎng)絡(luò)的管理性。用戶可以根據(jù)業(yè)務(wù)需要快速組建和調(diào)整VLAN 。當(dāng)鏈路擁擠時(shí)，利用管理程序能夠重新分配業(yè)務(wù)。管理程序還能夠提供有關(guān)工作組的業(yè)務(wù)量、廣播行為以及統(tǒng)計(jì)特性等的詳盡報(bào)告。對(duì)于網(wǎng)絡(luò)管理員來(lái)說(shuō)，所有這些網(wǎng)絡(luò)配置和管理工作都是透明的。VLAN 變動(dòng)時(shí)，用戶無(wú)需了解網(wǎng)絡(luò)的接線情況和協(xié)議是如何重新設(shè)置的。另外在使用VLAN 劃分

7、后，也較好的解決了客戶機(jī)隨意使用IP 地址的問(wèn)題，因?yàn)槟撑_(tái)計(jì)算機(jī)是屬于某個(gè)特定的VLAN 的，如果設(shè)置其他VLAN 的IP 地址，則是不能接人局域網(wǎng)的。結(jié)語(yǔ)局域網(wǎng)通過(guò)使用VLAN 劃分技術(shù)，在安全性和穩(wěn)定性方面都有了很大的提升，為各種業(yè)務(wù)的開展提供了可靠的保證，總之VLAN 技術(shù)在集團(tuán)公司網(wǎng)絡(luò)管理中的重要性是不容忽視的。用802.1x 進(jìn)行自動(dòng)VLAN 分配字體選擇：【大】 【中】 【小】最新推薦關(guān)于舉辦“2009教育信息存儲(chǔ)大. 11-06 CERNET 第十六屆學(xué)術(shù)年會(huì)征文通知 10-16“2009教育網(wǎng)絡(luò)管理與應(yīng)用大會(huì). 08-20 聚焦應(yīng)用創(chuàng)新 提升服務(wù)水平 09-04 設(shè)備環(huán)境：Ci

8、sco Catalyst 3550-24-EMI(IOS：12.1(14EA1 EMI，Cisco Secure ACS v3.11、和802.1x 相關(guān)的交換機(jī)主要配置內(nèi)容：aaa new-modelaaa authentication dot1x default group radiusaaa authorization network default group radius!-如果只是做802.1x 認(rèn)證，則aaa authorization network這句可不要，如要做VLAN 分配或per-user ACL，則必須做network authorizationdot1x syst

9、em-auth-control!-注意在12.1(14EA1版以后802.1x 的配置有了修改，此句enable 802.1xinterface FastEthernet0/1description To Server_Farmswitchport mode accessdot1x port-control autodot1x max-req 3spanning-tree portfast!-dot1x port-control auto句在F0/1上enable dot1x，另外注意在F0/1口下我并沒(méi)有給它賦VLANradius-server vsa send authentication

10、!-因?yàn)橐渲肰LAN 分配必須使用IETF 所規(guī)定的VSA(Vendor-specific attributes 值，radius-server vsa send authentication句允許交換機(jī)識(shí)別和使用這些VSA 值。配置802.1x 動(dòng)態(tài)分配VLAN 所用到的VSA 值規(guī)定如下：64 Tunnel-Type = VLAN65 Tunnel-Medium-Type = 80281 Tunnel-Private-Group-ID = VLAN name or VLAN ID2、和802.1x 相關(guān)的ACS 主要配置內(nèi)容：在Interface Configuration 中對(duì)RADI

11、US(IETF進(jìn)行配置，在組用戶屬性中選中64Tunnel-Type、65 Tunnel-Medium-Type、81Tunnel-Private-Group-ID(見下圖 。在Group Setup 中對(duì)RADIUS V endor-Specific Attributes 值進(jìn)行編輯：勾選64Tunnel-Type，將tag 1的值選為VLAN ；勾選65 Tunnel-Medium-Type，將tag 1的值選為802；勾選81Tunnel-Private-Group-ID，將tag 1的值設(shè)為7，表明為VLAN 7(見下圖 。設(shè)置完后，Submit+Rest。3、工作站端的設(shè)置：WINX

12、P 本身內(nèi)置對(duì)802.1x 的支持，微軟在前不久出了一個(gè)補(bǔ)丁可以讓W(xué)IN2K 也支持802.1x ，需要注意的是WIN2K SP4已經(jīng)內(nèi)置了對(duì)802.1x 的支持，SP3以下可使用此補(bǔ)丁：安裝完此補(bǔ)丁后，802.1x 默認(rèn)是不啟動(dòng)的，可在服務(wù)中手動(dòng)打開Wireless Configuration 服務(wù)，打開此服務(wù)后，在網(wǎng)卡連接屬性中會(huì)多出一欄Authenticatioin ，在此欄中勾選Enable network access control using IEEE 802.1x ，同時(shí)在EAP type 中選中MD5-Challenge 。4、測(cè)試：在所有設(shè)置完成后，可以觀察到802.1x

13、enable 的F0/1口上狀態(tài)燈顯示為黃燈，而在工作站端過(guò)一會(huì)后會(huì)彈出一個(gè)認(rèn)證窗口，在用戶名/口令處填入ACS 中定義好的用戶名/口令，域名處不填，同時(shí)觀察WIN2K systray處的連接圖標(biāo)，上面會(huì)有和認(rèn)證服務(wù)器聯(lián)系及認(rèn)證用戶的浮動(dòng)提示，同時(shí)F0/1的狀態(tài)燈也會(huì)順利變?yōu)榫G燈。認(rèn)證通過(guò)后檢驗(yàn)VLAN 值是否已正確分配：先ping VLAN7的網(wǎng)關(guān)地址，通；再ping 其它VLAN 的網(wǎng)關(guān)地址，通；最后看可否上Internet ，通。注：1、ip 可以由3550 來(lái)作dhcp server ，顯示802。1x 激活端口，然后用dhcp 分ip ，至于mac 地址再綁定，這里沒(méi)有必要了，有了8

14、02。1x 就不用vmps 拉， 802。1x 可以根據(jù)用戶名來(lái)分vlan 。2、接注1問(wèn)題，我是想確定每臺(tái)電腦的IP 地址。例如現(xiàn)在用的6509，如果直接用它做DHCP , 那么端口激活得到VLAN TAG 后，分配的IP 地址我想固定死。因?yàn)槲覀冡槍?duì)防火墻日志自己開發(fā)了一個(gè)分析軟件是基于IP 地址的。這種情況下我想固定分配給客戶端IP 。但是客戶端電腦又要從DHCP 中得到固定IP .成都中醫(yī)藥大學(xué)基于802.1X 網(wǎng)絡(luò)的一卡通實(shí)現(xiàn)字體選擇：【大】 【中】 【小】最新推薦關(guān)于舉辦“2009教育信息存儲(chǔ)大. 11-06 CERNET 第十六屆學(xué)術(shù)年會(huì)征文通知 10-16“2009教育網(wǎng)絡(luò)管理

15、與應(yīng)用大會(huì). 08-20 聚焦應(yīng)用創(chuàng)新 提升服務(wù)水平 09-04 成都中醫(yī)藥大學(xué)數(shù)字化校園建設(shè)包括了骨干光纖、數(shù)據(jù)中心等基礎(chǔ)建設(shè)和網(wǎng)絡(luò)寬帶建設(shè)、一卡通建設(shè)等7大應(yīng)用系統(tǒng)。在此基礎(chǔ)上，如何在不重復(fù)建設(shè)的情況下實(shí)現(xiàn)校園網(wǎng)絡(luò)的802.1X 認(rèn)證和一卡通是必須突破的重點(diǎn)。我校校園寬帶網(wǎng)絡(luò)根據(jù)安全需求采用了HUAWEI5200和CAMS 來(lái)實(shí)現(xiàn)802.1X 認(rèn)證?？蛻舳税l(fā)起認(rèn)證請(qǐng)求，認(rèn)證成功后，下發(fā)認(rèn)證通過(guò)信息，通知5200相關(guān)IP 地址通過(guò)，如果沒(méi)有認(rèn)證成功，則5200上做限制，不允許上線。我校溫江校區(qū)數(shù)字化校園一卡通系統(tǒng)由中心數(shù)據(jù)庫(kù)、卡務(wù)管理、一卡通財(cái)務(wù)清算、收費(fèi)(消費(fèi) 管理、浴室(開水房 、機(jī)房管

16、理、Web 查詢管理(包含觸摸屏查詢 、大門機(jī)動(dòng)車出入管理八個(gè)子系統(tǒng)組成。系統(tǒng)設(shè)計(jì)用戶為2萬(wàn)人，整個(gè)系統(tǒng)配置了4臺(tái)HP 服務(wù)器，其中中心數(shù)據(jù)庫(kù)的硬件平臺(tái)采用了兩臺(tái)高性能的HP GL580服務(wù)器作雙機(jī)設(shè)備，一臺(tái)HP 201723-B22磁盤陣列柜(14個(gè)SICS 存儲(chǔ)磁盤 ，一臺(tái)HP GL380服務(wù)器做為前端服務(wù)器，一臺(tái)HP GL380服務(wù)器作為系統(tǒng)的Web 服務(wù)器。同時(shí)還配備了一臺(tái)阿姆瑞特高端硬件防火墻。平臺(tái)操作系統(tǒng)為L(zhǎng)inux ，數(shù)據(jù)庫(kù)管理平臺(tái)為Oracle 10。 一卡通的數(shù)據(jù)實(shí)現(xiàn)包含兩部分，一部分包含食堂、水控、計(jì)財(cái)處等終端數(shù)據(jù)，另一部分則是校園超市、機(jī)房收費(fèi)系統(tǒng)以及停車系統(tǒng)。食堂、水控

17、、計(jì)財(cái)處等處信息點(diǎn)相對(duì)集中，并且安全性要求高，所以這部分終端采用專用485通訊線綜合布線，如圖2中紅線標(biāo)示，然后利用USB 轉(zhuǎn)RS232的網(wǎng)卡接入一卡通專用TCP/IP網(wǎng)絡(luò)中，通過(guò)光纖接入中心機(jī)房的數(shù)據(jù)服務(wù)器。校園超市、機(jī)房收費(fèi)系統(tǒng)以及停車系統(tǒng)等，因?yàn)榉謩e位于教學(xué)樓、學(xué)生公寓、南大門處信息點(diǎn)分散。如果要建立專門的一卡通網(wǎng)點(diǎn)，進(jìn)行綜合布線則投入成本過(guò)高。而以校園網(wǎng)現(xiàn)有綜合布線實(shí)現(xiàn)校園網(wǎng)一卡通的全網(wǎng)聯(lián)通，又必須解決兩個(gè)問(wèn)題：一是校園寬帶網(wǎng)絡(luò)為802.1X 網(wǎng)絡(luò)，而一卡通的消費(fèi)終端都是不能認(rèn)證的; 二是一卡通服務(wù)器為內(nèi)網(wǎng)服務(wù)器，與校園寬帶網(wǎng)絡(luò)沒(méi)有網(wǎng)絡(luò)互連。為解決這兩個(gè)問(wèn)題我校采取了以下措施：1. 建立一卡通Web 服務(wù)器，在Web 服務(wù)器上使用雙網(wǎng)卡。內(nèi)網(wǎng)網(wǎng)卡與一卡通數(shù)據(jù)服務(wù)器連接，交換數(shù)據(jù)。外網(wǎng)網(wǎng)卡接入校園網(wǎng)服務(wù)器區(qū)，提供給校園超市、機(jī)房收費(fèi)系統(tǒng)以及停車系統(tǒng)一個(gè)通過(guò)TCP/IP可以訪問(wèn)的Web 服務(wù)器。2. 在校園超市、機(jī)房收費(fèi)系統(tǒng)以及停車系統(tǒng)使用TCP/IP消費(fèi)終端。3. 接入層交換機(jī)設(shè)定VLAN 透?jìng)?，如我們?cè)O(shè)定VLAN1023為一卡通專用VLAN ，則需要把接入一卡通信息點(diǎn)的端口都配置為VLAN1023，然后通過(guò)VLAN 透?jìng)鳎?jīng)過(guò)會(huì)聚，到核心 520