当前位置：首页文档资料课件教案

无线局域网安全

陈*** 21-10-08 局域网知识

二层交换是一个局域网的技术，我们通过二层交换机，可以组建校园网、办公网等小型的网络，如果一个交换机的接口数量不够，或者各个办公室之间距离稍有点远，可以采用交换机级联的方式组网，交换机下面再下挂交换机。

网络的大小是相对的，如果一个公司的主机的数量有上百台，虽然和广域网比很少，但也是一个不小的公司了，采用二层组网的话，二层交换有一个无法回避的广播域的问题，这几百台的电脑广播起来也是很烦的。

如果一个公司有技术部、市场部、财务部、后勤部等各个部门，这些部门的主机主要还是和本部门的主机互相打交道比较多，跨部门的业务很少，我们可以采用一种技术，将一个局域网的广播域的范围再进一步划小一点，这就是VLAN。

VLAN(Virtual Local Area Network，虚拟局域网)，VLAN是一种将局域网从逻辑上划分成一个个更小的局域网，VLAN之间在二层上是隔离的，从而实现虚拟工作组的数据交换技术。

从物理上来说，所有的主机下挂在一个交换机下，逻辑上通过VLAN划分，相当于将一个交换机分成若干个逻辑上独立的交换机，各个部门的主机之间隔离开，不会收到其他VLAN的广播，耳根就清净了不少。

跨交换机划分VLAN也是一样，交换机1和交换机2在两个办公楼里，从逻辑上划分了VLAN之后，位于两个楼里的同一部门的人组成了VLAN。

VLAN划分方式有多种，可以根据物理端口、MAC地址、IP地址划分，如果是基于端口的，只要接在指定端口之下的主机就固定属于某个VLAN;而基于地址的划分，只要地址不变，将主机换个地方，通过另外一个端口接入交换机，交换机还是认识它是属于哪个部门的。

VLAN是靠在二层帧格式中间加了一个VLAN标签()，比如市场部VLAN标签是1，技术部VLAN标签是2，交换机可以识别这个标签，哪个VLAN发来的数据帧，交换机只向本VLAN的端口进行广播。

VLAN标签中包含4部分。

：类型，固定是0x8100(0x表示后面的数字是十六进制数，每位也就相当于二进制的4bit)，以太网帧有可能是含有或不含VLAN标签的，接收方读到这个8100的时候就知道这是一个带VLAN标签的数据帧。

：Priority优先级，3bit也就是8个优先级，0～7值越大代表业务的级别越高。如果交换机的端口速率有限，无法按时发送每个VLAN的数据时，就按照这个优先级排个队，先将级别高的数据帧转发。

关于优先级这里多介绍一下，后面很多的帧格式里都会包含优先级的字段，优先级可以用来区分不同的端口、业务、用户等，就像我们去消费时VIP永远会得到更优质体贴的服务，对于网络来说就是VIP能够优先获得网络资源，通过优先转发保证网络对高等级业务的服务质量。每个帧结构里的优先级的表示都是在对应的层次有效的，交换机认识VLAN标签里这个PRI，而到了路由器查看IP地址，就要通过IP地址里的DSCP去判断优先级，就像我们可以用工牌在本公司内通行无阻，但是到了其他公司就要使用人家的来宾证。

：Canonical Format Indicator，标准格式指示位，CFI为0时表示规范格式，为1时表示非规范格式，以太网帧CFI为0。

：VLAN ID，12bit，也就是一共4096个ID号可用，用来区分不同的VLAN。

VLAN标签是可以嵌套的，也就是可以在以太网帧中插入两层VLAN标签，也就是QinQ技术，可以支持4096×4096个不同VLAN。

VLAN将一个局域网划分为若干个虚拟局域网，VLAN之间无法再通过二层交换的方式通信了，可是不同部门之间还是要偶尔发送个邮件，那就只能通过更高的层面——三层路由去互通。