《-網(wǎng)絡(luò)互連技術(shù)與實訓(xùn)》-第3章二層安全控制技術(shù)課件

第3章二層安全控制技術(shù)第3章1VLAN技術(shù)原理3.1VLAN的分類及實現(xiàn)3.2VLAN的擴展技術(shù)3.3端口接入控制3.4鏡像技術(shù)3.5VLAN技術(shù)原理3.1VLAN的分類及實現(xiàn)3.2VLAN的擴23.1VLAN技術(shù)原理·傳統(tǒng)的局域網(wǎng)使用的是二層交換機代替集線器（Hub），每個端口可以看成是一根單獨的總線，可以使沖突域縮小到每個端口，使得網(wǎng)絡(luò)發(fā)送單播報文的效率大大提高，極大地提高了二層網(wǎng)絡(luò)的性能。3.1VLAN技術(shù)原理·傳統(tǒng)的局域網(wǎng)使用的是二層交3·但是網(wǎng)絡(luò)中所有端口仍然處于同一個廣播域，交換機在傳遞廣播報文的時候依然要將廣播報文復(fù)制多份，發(fā)送到網(wǎng)絡(luò)的各個角落?！るS著網(wǎng)絡(luò)規(guī)模的擴大，網(wǎng)絡(luò)中的廣播報文越來越多，廣播報文占用的網(wǎng)絡(luò)資源越來越多，嚴(yán)重影響網(wǎng)絡(luò)性能，這就是所謂的廣播風(fēng)暴問題?！さ蔷W(wǎng)絡(luò)中所有端口仍然處于同一個廣播域，交換機在傳4·過去由于交換機的二層網(wǎng)絡(luò)工作原理的限制，交換機對廣播風(fēng)暴的問題無能為力?！榱颂岣呔W(wǎng)絡(luò)的效率，一般需要將通過路由器網(wǎng)絡(luò)進(jìn)行分段：把一個大的廣播域劃分成幾個小的廣播域?！み^去由于交換機的二層網(wǎng)絡(luò)工作原理的限制，交換機對廣5·圖3.1中用路由器替換圖3.2中的中心結(jié)點交換機，使得廣播報文的發(fā)·圖3.1中用路由器替換圖3.2中的中心結(jié)點交換機，6《-網(wǎng)絡(luò)互連技術(shù)與實訓(xùn)》-第3章二層安全控制技術(shù)課件7·送范圍大大減小?！み@種方案解決了廣播風(fēng)暴的問題，但是用路由器是在網(wǎng)絡(luò)層上分段將網(wǎng)絡(luò)隔離，網(wǎng)絡(luò)規(guī)劃復(fù)雜，組網(wǎng)方式不靈活，并且大大增加了管理維護(hù)的難度?！に头秶蟠鬁p小。8·作為替代的LAN分段方法，虛擬局域網(wǎng)（VLAN）被引入到網(wǎng)絡(luò)解決方案中來，用于解決大型的二層網(wǎng)絡(luò)環(huán)境面臨的問題?！ぷ鳛樘娲腖AN分段方法，虛擬局域網(wǎng)（VLAN）被93.1.1VLAN的定義和特點·虛擬局域網(wǎng)（VirtualLocalAreaNetwork，VLAN）邏輯上把網(wǎng)絡(luò)資源和網(wǎng)絡(luò)用戶按照一定的原則進(jìn)行劃分，把一個物理上實際的網(wǎng)絡(luò)劃分成多個小的邏輯的網(wǎng)絡(luò)?！み@些小的邏輯的網(wǎng)絡(luò)形成各自的廣播域，也就是虛擬局域網(wǎng)VLAN。3.1.1VLAN的定義和特點·虛擬局域網(wǎng)（Vi10《-網(wǎng)絡(luò)互連技術(shù)與實訓(xùn)》-第3章二層安全控制技術(shù)課件11·VLAN與傳統(tǒng)的LAN相比，具有以下優(yōu)勢?！LAN與傳統(tǒng)的LAN相比，具有以下優(yōu)勢。12①減少移動和改變的代價—實現(xiàn)動態(tài)管理網(wǎng)絡(luò)。②虛擬工作組—使用VLAN的最終目標(biāo)就是建立虛擬工作組模型。①減少移動和改變的代價—實現(xiàn)動態(tài)管理網(wǎng)絡(luò)。13·它的主要特點集中表現(xiàn)在以下幾個方面。①提高帶寬的利用率②增強通信的安全性③增強網(wǎng)絡(luò)的健壯性④提高網(wǎng)絡(luò)管理效率·它的主要特點集中表現(xiàn)在以下幾個方面。143.1.2VLAN工作原理·交換機在網(wǎng)絡(luò)當(dāng)中處于第二層設(shè)備，主要功能就是數(shù)據(jù)幀的快速轉(zhuǎn)發(fā)，交換機在轉(zhuǎn)發(fā)數(shù)據(jù)時，不同于集線器，它主要依據(jù)內(nèi)部的轉(zhuǎn)發(fā)表項來轉(zhuǎn)發(fā)數(shù)據(jù)幀，那么這個轉(zhuǎn)發(fā)表就是MAC地址表，如圖3.3所示。3.1.2VLAN工作原理·交換機在網(wǎng)絡(luò)當(dāng)中處于15《-網(wǎng)絡(luò)互連技術(shù)與實訓(xùn)》-第3章二層安全控制技術(shù)課件16·在上一章中已經(jīng)詳細(xì)說明了交換機的MAC地址表的形成過程。·劃分VLAN之后的交換機的數(shù)據(jù)轉(zhuǎn)發(fā)流程發(fā)生了變化，因為此時交換機轉(zhuǎn)發(fā)數(shù)據(jù)時參考的依據(jù)多了一項，即VID表如表3.1所示?！ぴ谏弦徽轮幸呀?jīng)詳細(xì)說明了交換機的MAC地址表的形成17《-網(wǎng)絡(luò)互連技術(shù)與實訓(xùn)》-第3章二層安全控制技術(shù)課件18·VID表包含了VLAN編號和端口號的對應(yīng)關(guān)系，當(dāng)交換機再進(jìn)行轉(zhuǎn)發(fā)數(shù)據(jù)幀的時候，它會優(yōu)先檢查目的MAC地址所對應(yīng)的端口的VID號和數(shù)據(jù)源所對應(yīng)的端口的VID是否一致，如果一致則進(jìn)行數(shù)據(jù)轉(zhuǎn)發(fā)，否則丟棄該數(shù)據(jù)幀?！ID表包含了VLAN編號和端口號的對應(yīng)關(guān)系，當(dāng)交193.1.3IEEE802.1Q協(xié)議·IEEE802.1Q定義了以下內(nèi)容。①VLAN的架構(gòu)；②VLAN中所提供的服務(wù)；③VLAN實施中涉及的協(xié)議和算法3.1.3IEEE802.1Q協(xié)議·IEEE201．802.1Q幀的格式·IEEE802.1Q協(xié)議不僅規(guī)定VLAN中的MAC幀的格式，而且還制定諸如幀發(fā)送及校驗、回路檢測，對業(yè)務(wù)質(zhì)量（QoS）參數(shù)的支持以及對網(wǎng)管系統(tǒng)的支持等方面的標(biāo)準(zhǔn)。1．802.1Q幀的格式·IEEE802.1Q協(xié)議不21·傳統(tǒng)的以太網(wǎng)數(shù)據(jù)幀（見圖3.4）在目的MAC地址和源MAC地址之后封裝的是上層協(xié)議的類型字段?！鹘y(tǒng)的以太網(wǎng)數(shù)據(jù)幀（見圖3.4）在目的MAC地址和22·而IEEE802.1Q協(xié)議規(guī)定在目的MAC地址和源MAC地址之后封裝4個字節(jié)的VLAN標(biāo)志（Tag），用以標(biāo)識VLAN的相關(guān)信息，如圖3.5所示。·而IEEE802.1Q協(xié)議規(guī)定在目的MAC地址和23《-網(wǎng)絡(luò)互連技術(shù)與實訓(xùn)》-第3章二層安全控制技術(shù)課件242．交換機端口類型·支持802.1Q的交換機端口類型一般分為Accesss、Trunk，思科、華為以及H3C等廠商的交換機均是這樣劃分的，但對于其他廠商的交換機叫法不同，如D-LINK的交換機的端口類型稱之為Untagged和Tagged，對于H3C的交換機它還增加了一個新的端口類型Hybrid。2．交換機端口類型·支持802.1Q的交換機端口類型25（1）Access①Access類型的端口只能屬于一個VLAN，一般用于連接計算機的端口；②Access接口接收到的數(shù)據(jù)幀都是untag報文，如果收到tag報文將自動丟棄；（1）Access①Access類型的端口26③Access接口向外發(fā)送的數(shù)據(jù)幀時，必須保證數(shù)據(jù)幀中不包含VLAN標(biāo)簽，即必須是untag報文；④在交換機初始狀態(tài)所有端口的類型默認(rèn)為Access。③Access接口向外發(fā)送的數(shù)據(jù)幀時，必須27（2）Trunk①Trunk類型的端口默認(rèn)屬于VLAN1，當(dāng)Trunk端口所存在的本地交換機VID表中有多個VLAN時，那么Trunk端口也自動屬于這些VLAN，并自動加入到VID表中，例如假設(shè)端口E1/0/1屬性為Trunk時，其交換機VID表如表3.2所示。（2）Trunk①Trunk類型的端口默認(rèn)28《-網(wǎng)絡(luò)互連技術(shù)與實訓(xùn)》-第3章二層安全控制技術(shù)課件29②Trunk類型的端口可以接收和發(fā)送VLAN1的untag報文。③Trunk類型的端口可以接收本地交換機VID表中存在的所有VLAN的tag報文，然后查找VID表向相應(yīng)端口轉(zhuǎn)發(fā)；當(dāng)Trunk端口接收到含有本地交換機VID表不存在的VID標(biāo)簽的tag報文時將自動丟棄該數(shù)據(jù)幀。②Trunk類型的端口可以接收和發(fā)送VLA30④Trunk類型的端口向外發(fā)送數(shù)據(jù)幀時，都是含有VID值的tag報文；當(dāng)向外發(fā)送的tag幀VID值為1時，其自動將其變?yōu)閡ntag報文。⑤Trunk類型的端口一般用于交換機之間連接的端口，兩臺交換機Trunk端口之間所連接的鏈路稱之為802.1Q中繼鏈路。④Trunk類型的端口向外發(fā)送數(shù)據(jù)幀時，都31①由于思科高端交換機對中繼鏈路封裝格式有兩種標(biāo)準(zhǔn)分別是802.1Q（前面已經(jīng)介紹不再重復(fù)）和ISL（Inter-SwitchLink）思科所獨有的標(biāo)準(zhǔn)。①由于思科高端交換機對中繼鏈路封裝格式有兩32②ISL稱之為交換機間鏈路，ISL所產(chǎn)生的tag報文是在每個untag幀的頭部增加26字節(jié)信息VLAN標(biāo)簽，在幀尾部附加4字節(jié)CRC，因此ISL的tag報文中含有更多的域，但是它只支持1

024個VLAN。②ISL稱之為交換機間鏈路，ISL所產(chǎn)生的33·大部分思科交換機只支持802.1Q，但也有的思科交換機支持ISL?！ぎ?dāng)網(wǎng)絡(luò)中同時存在802.1Q的tag報文和ISL的tag報文時，這兩種技術(shù)無法兼容，會造成內(nèi)部網(wǎng)絡(luò)VLAN的混亂。·大部分思科交換機只支持802.1Q，但也有的思科交34·如果真的存在上述情況，唯一的解決方法就是通過路由器透明橋接實現(xiàn)兼容。·如果真的存在上述情況，唯一的解決方法就是通過路由器35③對于negotiate參數(shù)，屬于默認(rèn)模式會自動檢測對端端口的封裝格式；·Switch（config-if）#switchportmodetrunk“在接口模式下指定類型為trunk”。③對于negotiate參數(shù)，屬于默認(rèn)模式36（3）Hybrid

①H3C獨有的類型，功能上可以認(rèn)為是Access和Trunk的混合體。（3）Hybrid

①H3C獨有的類型，功37②Hybrid類型的端口通過設(shè)置PVID參數(shù)來指定該端口屬于哪一個VLAN，當(dāng)Hybrid端口所存在的本地交換機VID表中有多個VLAN時，那么Hybrid端口不能自動但可以人為指定屬于這些VLAN或者某幾個VLAN，并將VID表專門分為了PVID表和VID表。②Hybrid類型的端口通過設(shè)置PVID參38·例如假設(shè)端口E1/0/1屬于Hybrid類型時，它的PVID值設(shè)為2，允許該端口可以訪問VLAN3、4，但不能訪問VLAN5、6，其PVID表和VID表分別如表3.3和表3.4所示。·例如假設(shè)端口E1/0/1屬于Hybrid類型時，它39③Hybrid端口接收untag報文時，首先查找PVID表讀取本地端口所對應(yīng)的PVID值，然后根據(jù)PVID值所對應(yīng)的VID值，查找VID表來確定哪些端口可以訪問，然后轉(zhuǎn)發(fā)untag報文；接收到tag報文時，與Trunk端口處理方式一樣。③Hybrid端口接收untag報文時，首40④Hybrid端口向外發(fā)送數(shù)據(jù)幀時，如果此前本地交換機收到的該幀為tag報文則發(fā)送tag報文，如果此前本地交換機收到的該幀為untag報文則發(fā)送untag報文。⑤Hybrid端口可以用于交換機之間連接，也可以用于連接用戶的計算機。④Hybrid端口向外發(fā)送數(shù)據(jù)幀時，如果此41《-網(wǎng)絡(luò)互連技術(shù)與實訓(xùn)》-第3章二層安全控制技術(shù)課件42《-網(wǎng)絡(luò)互連技術(shù)與實訓(xùn)》-第3章二層安全控制技術(shù)課件433.2VLAN的分類及實現(xiàn)·一般來說，按照VLAN技術(shù)的應(yīng)用對象進(jìn)行分類可以分為基于端口的VLAN、基于MAC的VLAN、基于協(xié)議的VLAN、基于IP的VLAN等?！τ诨诙丝诘腣LAN，又可以分為基于單臺交換機的VLAN應(yīng)用和跨交換機VLAN應(yīng)用。3.2VLAN的分類及實現(xiàn)·一般來說，按照VLAN技術(shù)443.2.1基于端口的VLAN

1．基于單臺交換機的VLAN應(yīng)用·例如，在某一小型公司只有20個左右的網(wǎng)絡(luò)用戶，在這種情況下，一臺24口的二層可網(wǎng)管交換機就可以滿足用戶的網(wǎng)絡(luò)需求。3.2.1基于端口的VLAN1．基于單臺45·但是，為了保障相關(guān)部門的獨立性和安全行，我們需要將其按照部門劃分VLAN，根據(jù)用戶所連接的以太網(wǎng)交換機的端口來劃分?！さ牵瑸榱吮Ｕ舷嚓P(guān)部門的獨立性和安全行，我們需要將46·假設(shè)我們將端口E1/0/1到E1/0/5分給財務(wù)部，將端口E1/0/6到E1/0/10分給行政部，將端口E1/0/11到E1/0/20分給市場部，此時我們需要建立3個VLAN，分別是VLAN2、3、4。·假設(shè)我們將端口E1/0/1到E1/0/5分給財務(wù)部47·這種劃分的方法的優(yōu)點是，定義VLAN成員時非常簡單，只要將所有的端口都指定一下就可以了。·它的缺點是，如果VLANA的用戶離開了原來的端口，到了一個新的交換機的某個端口，那么就必須重新定義?！み@種劃分的方法的優(yōu)點是，定義VLAN成員時非常簡單48《-網(wǎng)絡(luò)互連技術(shù)與實訓(xùn)》-第3章二層安全控制技術(shù)課件49（1）H3C設(shè)備的配置命令第1步，創(chuàng)建VLAN并進(jìn)入VLAN視圖；第2步，將指定端口加入到當(dāng)前VLAN中。（1）H3C設(shè)備的配置命令第1步，創(chuàng)建VLAN并進(jìn)入50（2）思科設(shè)備的配置命令第1步，創(chuàng)建VLAN；第2步，將指定端口加入到當(dāng)前VLAN中。（2）思科設(shè)備的配置命令第1步，創(chuàng)建VLAN；512．公共端口的應(yīng)用·公共端口是指獨立于其他VLAN的一個接口（見圖3.6），可以同時是被多個VLAN訪問，但又不影響其他VLAN的訪問控制功能。·公共端口技術(shù)常用于寬帶路由器、打印服務(wù)器等網(wǎng)絡(luò)公共資源的設(shè)置。2．公共端口的應(yīng)用·公共端口是指獨立于其他VLAN的52《-網(wǎng)絡(luò)互連技術(shù)與實訓(xùn)》-第3章二層安全控制技術(shù)課件533．跨交換機的VLAN應(yīng)用·跨交換機的VLAN（見圖3.7）是指在多個交換機上分別設(shè)置VLAN參數(shù)，將不同的交換機通過Trunk接口級聯(lián)在一起，在中繼鏈路傳輸tag報文，從而實現(xiàn)相同VLAN的通信以及不同VLAN的訪問控制功能。3．跨交換機的VLAN應(yīng)用·跨交換機的VLAN（見圖354《-網(wǎng)絡(luò)互連技術(shù)與實訓(xùn)》-第3章二層安全控制技術(shù)課件55·當(dāng)同一VLAN的PCB與PCD通信時，其通信步驟如下。·第1步，PCB發(fā)出的untag報文進(jìn)入交換機端口E1/0/2，交換機會根據(jù)VID表，發(fā)現(xiàn)可以向端口E1/0/24轉(zhuǎn)發(fā)報文。·當(dāng)同一VLAN的PCB與PCD通信時，其通信步驟如56·第2步，當(dāng)E1/0/24向外轉(zhuǎn)發(fā)報文時，由于其為Trunk屬性且報文來自于VLAN20，則生成VID值為20的tag報文?！さ?步，當(dāng)帶有VID值為20的tag報文進(jìn)入另一臺交換Trunk端口時，Trunk端口會讀取tag報文的VID值，并查找本地交換機的VID表，向端口E1/0/2轉(zhuǎn)發(fā)?！さ?步，當(dāng)E1/0/24向外轉(zhuǎn)發(fā)報文時，由于其為T57·第4步，當(dāng)端口E1/0/2向外轉(zhuǎn)發(fā)報文時，由于其屬性為Access，則去除VLAN標(biāo)志，向外發(fā)送untag報文。·第5步，當(dāng)PCD收到untag報文時，會做出響應(yīng)，發(fā)出untag的響應(yīng)報文。·兩臺交換機VID表如表3.6所示?！さ?步，當(dāng)端口E1/0/2向外轉(zhuǎn)發(fā)報文時，由于其屬58《-網(wǎng)絡(luò)互連技術(shù)與實訓(xùn)》-第3章二層安全控制技術(shù)課件593.2.2GVRP3.2.2GVRP60《-網(wǎng)絡(luò)互連技術(shù)與實訓(xùn)》-第3章二層安全控制技術(shù)課件61《-網(wǎng)絡(luò)互連技術(shù)與實訓(xùn)》-第3章二層安全控制技術(shù)課件62《-網(wǎng)絡(luò)互連技術(shù)與實訓(xùn)》-第3章二層安全控制技術(shù)課件63·GVRP（GARPVLANregistrationprotocol）被稱為通用VLAN注冊協(xié)議，專門用于解決多交換機中的VLAN信息不一致的問題?！て渲蠫ARP（通用屬性注冊協(xié)議）主要用于建立一種屬性傳遞擴散的機制，以保證協(xié)議實體能夠注冊和注銷該屬性?！VRP（GARPVLANregistrat64·GARP作為一個屬性注冊協(xié)議的載體，可以用來傳播屬性?！ARP報文的內(nèi)容映射成不同的屬性即可支持不同上層協(xié)議應(yīng)用?！ARP作為一個屬性注冊協(xié)議的載體，可以用來傳播屬65《-網(wǎng)絡(luò)互連技術(shù)與實訓(xùn)》-第3章二層安全控制技術(shù)課件66·手工配置的VLAN稱為靜態(tài)VLAN，通過GVRP創(chuàng)建的VLAN稱為動態(tài)VLAN?！VRP有3種注冊模式，不同的模式對靜態(tài)VLAN和動態(tài)VLAN的處理方式也不同。·GVRP的3種注冊模式分別定義如下?！な止づ渲玫腣LAN稱為靜態(tài)VLAN，通過GVRP創(chuàng)67①Normal模式②Fixed模式③Forbidden模式①Normal模式68

（1）H3C設(shè)備的配置命令（2）思科設(shè)備的配置命令

（1）H3C設(shè)備的配置命令693.2.3VTP·VTP（VLAN中繼協(xié)議）是一種消息協(xié)議，使用第二層幀，在全網(wǎng)的基礎(chǔ)上管理VLAN的添加、刪除和重命名，以實現(xiàn)VLAN配置的一致性。3.2.3VTP·VTP（VLAN中繼協(xié)議）是一70·VTP模式有以下3種模式。①服務(wù)器模式（Server缺?。诳蛻魴C模式（Client）③透明模式（Transparent）·VTP模式有以下3種模式。71·使用VTP時，加入VTP域的每臺交換機在其中繼端口上通告如下信息。①管理域；②配置版本號；③它所知道的VLAN；④每個已知VLAN的某些參數(shù)?！な褂肰TP時，加入VTP域的每臺交換機在其中繼端口723.2.4基于MAC地址的VLAN3.2.4基于MAC地址的VLAN73

1．H3C交換機的配置2．思科交換機的配置1．H3C交換機的配置74《-網(wǎng)絡(luò)互連技術(shù)與實訓(xùn)》-第3章二層安全控制技術(shù)課件753.2.5基于協(xié)議的VLAN

3.2.5基于協(xié)議的VLAN

763.2.6基于IP的VLAN

3.2.6基于IP的VLAN

773.3VLAN的擴展技術(shù)3.3.1Isolate-user-vlan3.3VLAN的擴展技術(shù)3.3.1Is78《-網(wǎng)絡(luò)互連技術(shù)與實訓(xùn)》-第3章二層安全控制技術(shù)課件793.3.2SuperVLAN3.3.2SuperVLAN803.3.3VLANVPN

3.3.3VLANVPN

813.4端口接入控制·端口接入控制的主要目的是驗證用戶身份的合法性，以及在認(rèn)證基礎(chǔ)上對用戶的網(wǎng)絡(luò)訪問行為進(jìn)行授權(quán)和計費?！つ壳坝卸喾N方式實現(xiàn)端口接入控制，常見的接入控制技術(shù)有802.1x、MAC地址認(rèn)證，當(dāng)然對于互聯(lián)網(wǎng)的訪問控制技術(shù)還有以太網(wǎng)訪問控制列表以及PORTAL認(rèn)證。3.4端口接入控制·