【文章內容簡介】 In the second VLAN port policy, the devices specified in VLAN Green can connect only to port 4/8 on the VMPS client . In the third VLAN port policy, the devices specified in VLAN Purple can connect to only port 1/2 on the VMPS client and the ports specified in the port group Executive Row. The following example shows a sample VMPS database configuration file.!Section 1: GLOBAL SETTINGS!VMPS File Format, version ! Always begin the configuration file with! the word VMPS!!vmps domain domainname! The VMPS domain must be defined.!vmps mode {open | secure}! The default mode is open.!vmps fallback vlanname!vmps nodomainreq { allow | deny }!! The default value is allow.vmps domain WBUvmps mode openvmps fallback defaultvmps nodomainreq deny!!Section 2: MAC ADDRESSES!MAC Addressesvmpsmacaddrs!! address addr vlanname vlan_name!address vlanname hardwareaddress vlanname hardwareaddress vlanname Greenaddress vlanname ExecStaffaddress vlanname NONEaddress vlanname Purple!!Section 3: PORT GROUPS!Port Groups!vmpsportgroup groupname! device deviceid { port portname | allports }!vmpsportgroup WiringCloset1device port 3/2device port 2/8vmpsportgroup Executive Rowdevice port 1/2device port 1/3device allports!!Section 4: VLAN GROUPS!VLAN groups!!vmpsvlangroup groupname! vlanname vlanname!vmpsvlangroup Engineeringvlanname hardwarevlanname software!!Section 5: VLAN PORT POLICIES!VLAN port Policies!!vmpsportpolicies {vlanname vlan_name | vlangroup groupname }! { portgroup groupname | device deviceid port portname }!vmpsportpolicies vlangroup Engineeringportgroup WiringCloset1vmpsportpolicies vlanname Greendevice port 4/8vmpsportpolicies vlanname Purpledevice port 1/2portgroup Executive Row 基于MAC地址的VLAN基于MAC地址的VLAN，就是通過查詢并記錄端口所連計算機上網卡的MAC地址來決定端口的所屬。假定有一個MAC地址“A”被交換機設定為屬于VLAN“10”，那么不論MAC地址為“A”的這臺計算機連在交換機哪個端口，該端口都會被劃分到VLAN10中去。計算機連在端口1時，端口1屬于VLAN10；而計算機連在端口2時，則是端口2屬于VLAN10。圖35 基于MAC的VLAN由于是基于MAC地址決定所屬VLAN的，因此可以理解為這是一種在OSI的第二層設定訪問鏈接的辦法。但是，基于MAC地址的VLAN，在設定時必須調查所連接的所有計算機的MAC地址并加以登錄。而且如果計算機交換了網卡，還是需要更改設定。 基于子網的VLAN基于子網的VLAN，則是通過所連計算機的IP地址，來決定端口所屬VLAN的。不像基于MAC地址的VLAN，即使計算機因為交換了網卡或是其他原因導致MAC地址改變，只要它的IP地址不變，就仍可以加入原先設定的VLAN。圖35基于子網的VLAN因此，與基于MAC地址的VLAN相比，能夠更為簡便地改變網絡結構。IP地址是OSI參照模型中第三層的信息，所以我們可以理解為基于子網的VLAN是一種在OSI的第三層設定訪問鏈接的方法。 基于用戶的VLAN基于用戶的VLAN，則是根據交換機各端口所連的計算機上當前登錄的用戶，來決定該端口屬于哪個VLAN。這里的用戶識別信息，一般是計算機操作系統(tǒng)登錄的用戶，比如可以是Windows域中使用的用戶名。這些用戶名信息，屬于OSI第四層以上的信息。總的來說，決定端口所屬VLAN時利用的信息在OSI中的層面越高，就越適于構建靈活多變的網絡。3．7 訪問鏈接的總結綜上所述，設定訪問鏈接的方法有靜態(tài)VLAN和動態(tài)VLAN兩種，其中動態(tài)VLAN又可以繼續(xù)細分成幾個小類。其中基于子網的VLAN和基于用戶的VLAN有可能是網絡設備廠商使用獨有的協(xié)議實現(xiàn)的，不同廠商的設備之間互聯(lián)有可能出現(xiàn)兼容性問題；因此在選擇交換機時，一定要注意事先確認。下表總結了靜態(tài)VLAN和動態(tài)VLAN的相關信息：種類說明靜態(tài)VLAN（基于端口的VLAN）將交換機的各端口固定指派給VLAN動態(tài)VLAN基于MAC地址的VLAN根據各端口所連計算機的MAC地址設定基于子網的VLAN根據各端口所連計算機的IP地址設定基于用戶的VLAN根據端口所連計算機上登錄用戶設定4． VLAN間路由據目前為止學習的知識，我們已經知道兩臺計算機即使連接在同一臺交換機上，只要所屬的VLAN不同就無法直接通信。接下來就是如何在不同的VLAN間進行路由，使分屬不同VLAN的主機能夠互相通信。為什么不同VLAN間不通過路由就無法通信。在LAN內的通信，必須在數據幀頭中指定通信目標的MAC地址。而為了獲取MAC地址，TCP/IP協(xié)議下使用的是ARP。ARP解析MAC地址的方法，則是通過廣播。也就是說，如果廣播報文無法到達，那么就無從解析MAC地址，亦即無法直接通信。計算機分屬不同的VLAN，也就意味著分屬不同的廣播域，自然收不到彼此的廣播報文。因此，屬于不同VLAN的計算機之間無法直接互相通信。為了能夠在VLAN間通信，需要利用OSI參照模型中更高一層——網絡層的信息（IP地址）來進行路由。路由功能，一般主要由路由器提供。但在今天的局域網里，我們也經常利用帶有路由功能的交換機——三層交換機（Layer 3 Switch）來實現(xiàn)[8]。接下來就讓我們分別看看使用路由器和三層交換機進行VLAN間路由時的情況。 使用路由器進行VLAN間路由在使用路由器進行VLAN間路由時，與構建橫跨多臺交換機的VLAN時的情況類似，我們還是會遇到“該如何連接路由器與交換機”這個問題。路由器和交換機的接線方式，大致有以下兩種：l 將路由器與交換機上的每個VLAN分別連接l 不論VLAN有多少個，路由器與交換機都只用一條網線連接最容易想到的，當然還是“把路由器和交換機以VLAN為單位分別用網線連接”了。將交換機上用于和路由器互聯(lián)的每個端口設為訪問鏈接，然后分別用網線與路由器上的獨立端口互聯(lián)。如下圖所示，交換機上有2個VLAN，那么就需要在交換機上預留2個端口用于與路由器互聯(lián)；路由器上同樣需要有2個端口；兩者之間用2條網線分別連接。圖41 VLAN間路由如果采用這個辦法，應該不難想象它的擴展性很成問題。每增加一個新的VLAN，都需要消耗路由器的端口和交換機上的訪問鏈接，而且還需要重新布設一條網線。而路由器，通常不會帶有太多LAN接口的。新建VLAN時，為了對應增加的VLAN所需的端口，就必須將路由器升級成帶有多個LAN接口的高端產品，這部分成本、還有重新布線所帶來的開銷，都使得這種接線法成為一種不受歡迎的辦法。那么，第二種辦法“不論VLAN數目多少，都只用一條網線連接路由器與交換機”呢？當使用一條網線連接路由器與交換機、進行VLAN間路由時，需要用到匯聚鏈接。具體實現(xiàn)過程為：首先將用于連接路由器的交換機端口設為匯聚鏈接，而路由器上的端口也必須支持匯聚鏈路。雙方用于匯聚鏈路的協(xié)議自然也必須相同。接著在路由器上定義對應各個VLAN的“子接口（Sub Interface）”。盡管實際與交換機連接的物理端口只有一個，但在理論上我們可以把它分割為多個虛擬端口。VLAN將交換機從邏輯上分割成了多臺，因而用于VLAN間路由的路由器，也必須擁有分別對應各個VLAN的虛擬接口。圖42 支持匯聚鏈路采用這種方法的話，即使之后在交換機上新建VLAN，仍只需要一條網線連接交換機和路由器。用戶只需要在路由器上新設一個對應新VLAN的子接口就可以了。與前面的方法相比，擴展性要強得多，也不用擔心需要升級LAN接口數不足的路由器或是重新布線。 同一VLAN內的通信使用匯聚鏈路連接交換機與路由器時，VLAN間路由是如何進行的。如下圖所示，為各臺計算機以及路由器的子接口設定IP地址。圖43路由子接口紅色VLAN（VLAN ID=1），藍色VLAN（VLAN ID=2）。各計算機的MAC地址分別為A/B/C/D，路由器匯聚鏈接端口的MAC地址為R。交換機通過對各端口所連計算機MAC地址的學習，生成如下的MAC地址列表。端口MAC地址VLAN1A12B13C24D25－－6R匯聚首先考慮計算機A與同一VLAN內的計算機B之間通信時的情形。計算機A發(fā)出ARP請求信息，請求解析B的MAC地址。交換機收到數據幀后，檢索MAC地址列表中與收信端口同屬一個VLAN的表項。結果發(fā)現(xiàn)，計算機B連接在端口2上，于是交換機將數據幀轉發(fā)給端口2，最終計算機B收到該幀。收發(fā)信雙方同屬一個VLAN之內的通信，一切處理均在交換機內完成。圖44同一VLAN內的通信 不同VLAN間通信下面是核心內容：不同VLAN間的通信。讓我們來看一下計算機A與計算機C之間通信時的情況。圖45不同VLAN間通信計算機A從通信目標的IP地址（）得出C與本機不屬于同一個網段。因此會向設定的默認網關（Default Gateway，GW）轉發(fā)數據幀。在發(fā)送數據幀之前，需要先用ARP獲取路由器的MAC地址。得到路由器的MAC地址R后，接下來就是按圖中所示的步驟發(fā)送往C去的數據幀。①的數據幀中，目標MAC地址是路由器的地址R、但內含的目標IP地址仍是最終要通信的對象C的地址。交換機在端口1上收到①的數據幀后，檢索MAC地址列表中與端口1同屬一個VLAN的表項。由于匯聚鏈路會被看作屬于所有的VLAN，因此這時交換機的端口6也屬于被參照對象。這樣交換機就知道往MAC地址R發(fā)送數據幀，需要經過端口6轉發(fā)。從端口6發(fā)送數據幀時，由于它是匯聚鏈接，因此會被附加上VLAN識別信息。由于原先是來自紅色VLAN的數據幀，因此如圖中②所示，會被加上紅色VLAN的識別信息后進入匯聚鏈路。路由器收到②的數據幀后，確認其VLAN識別信息，由于它是屬于紅色VLAN的數據幀，因此交由負責紅色VLAN的子接口接收。接著，根據路由器內部的路由表，判斷該向哪里中繼。，且該網絡通過子接口與路由器直連，因此只要從負責藍色VLAN的子接口轉發(fā)就可以了。這時，數據幀的目標MAC地址被改寫成計算機C的目標地址；并且由于需要經過匯聚鏈路轉發(fā)，因此被附加了屬于藍色VLAN的識別信息。這就是圖中③的數據幀。交換機收到③的數據幀后，根據VLAN標識信息從MAC地址列表中檢索屬于藍色VLAN的表項。由于通信目標——計算機C連接在端口3上、且端口3為普通的訪問鏈接，因此交換機會將數據幀除去VLAN識別信息后（數據幀④）轉發(fā)給端口3，最終計算機C才能成功地收到這個數據幀。進行VLAN間通信時，即使通信雙方都連接在同一臺交換機上，也必須經過：發(fā)送方——交換機——路由器——交換機——接收方，這樣一個流程[9]。．3 VLAN間路由單臂路由實驗法。實驗拓撲圖：COLOR: 000000實驗環(huán)境說明：、R2模擬PC，關閉其