【文章內容簡介】 劃分虛擬局域網最簡單也是最有效的方法，這實際上是某些交換端口的集合，網絡管理員只需要管理和配置交換端口，而不管交換端口連接什么設備。　　　　由于只有網卡才分配有MAC地址，因此按MAC地址來劃分VLAN實際上是將某些工作站和服務器劃屬于某個VLAN。事實上，該VLAN是一些MAC地址的集合。當設備移動時，VLAN能夠自動識別。網絡管理需要管理和配置設備的MAC地址，顯然當網絡規(guī)模很大，設備很多時，會給管理帶來難度?！　　　∵@種劃分VLAN的方法是根據(jù)每個主機的網絡層地址或協(xié)議類型(如果支持多協(xié)議)劃分的，雖然這種劃分方法是根據(jù)網絡地址，比如IP地址，但它不是路由，與網絡層的路由毫無關系?！　∵@種方法的優(yōu)點是用戶的物理位置改變了，不需要重新配置所屬的VLAN，而且可以根據(jù)協(xié)議類型來劃分VLAN，這對網絡管理者來說很重要，還有，這種方法不需要附加的幀標簽來識別VLAN，這樣可以減少網絡的通信量。　　這種方法的缺點是效率低，因為檢查每一個數(shù)據(jù)包的網絡層地址是需要消耗處理時間的(相對于前面兩種方法)，一般的交換機芯片都可以自動檢查網絡上數(shù)據(jù)包的以太網幀頭，但要讓芯片能檢查IP幀頭，需要更高的技術，同時也更費時。當然，這與各個廠商的實現(xiàn)方法有關。　　　　IP 組播實際上也是一種VLAN的定義，即認為一個組播組就是一個VLAN，這種劃分的方法將VLAN擴大到了廣域網，因此這種方法具有更大的靈活性，而且也很容易通過路由器進行擴展，當然這種方法不適合局域網，主要是效率不高?！　　　∫卜Q為基于策略的VLAN。這是最靈活的VLAN劃分方法，具有自動配置的能力，能夠把相關的用戶連成一體，在邏輯劃分上稱為“關系網絡”。網絡管理員只需在網管軟件中確定劃分VLAN的規(guī)則（或屬性），那么當一個站點加入網絡中時，將會被“感知”，并被自動地包含進正確的VLAN中。同時，對站點的移動和改變也可自動識別和跟蹤?！　〔捎眠@種方法，整個網絡可以非常方便地通過路由器擴展網絡規(guī)模。有的產品還支持一個端口上的主機分別屬于不同的VLAN，這在交換機與共享式Hub共存的環(huán)境中顯得尤為重要。自動配置VLAN時，交換機中軟件自動檢查進入交換機端口的廣播信息的IP源地址，然后軟件自動將這個端口分配給一個由IP子網映射成的VLAN。　　6. 按用戶定義、非用戶授權劃分VLAN　　基于用戶定義、非用戶授權來劃分VLAN，是指為了適應特別的VLAN網絡，根據(jù)具體的網絡用戶的特別要求來定義和設計VLAN，而且可以讓非VLAN群體用戶訪問VLAN，但是需要提供用戶密碼，在得到VLAN管理的認證后才可以加入一個VLAN。 企業(yè)VLAN的規(guī)劃與劃分（1）VLAN的規(guī)劃根據(jù)本公司的網絡現(xiàn)狀，員工的IP是通過DHCP服務器自動獲取的，在這里我們可以使用基于端口地址的VLAN劃分來對公司的局域網進行劃分，這樣當員工的IP地址有變動也還是在其所在的部門VLAN。（2）VLAN的劃分本公司主要分三個部門：開發(fā)部、設計部、策劃部、財務部，所以在這里我們劃分四個VLAN：VLAN 10 、VLAN VLAN 30 、VLAN 40l VLAN 10：S1中端口16l VLAN 20：S1中端口712l VLAN 30：S1中端口1315l VLAN 40：S1中端口1618l VLAN 10：S2中端口16l VLAN 20：S2中端口712l VLAN 30：S2中端口1315l VLAN 40：S2中端口1618注：沒有劃分的端口，留之備用 VLAN項目實施S1配置（H3C S2126）H3Csystem[H3C]sysname Switch A 配置VLAN [Switch A]vlan 10[Switch AVlan10]port Ethernet0/1 to Ethernet0/6[SwitchAVlan10] quit[SwitchA] vlan 20[SwitchAVLAN20] port Ethernet0/7 to Ethernet0/12[SwitchAVLAN20] quit[SwitchA] vlan 30[SwitchAVLAN30] port Ethernet0/13 to Ethernet0/15[SwitchAVLAN30] quit[SwitchA] vlan 40[SwitchAVLAN40] port Ethernet0/16 to Ethernet0/18[Switch AVLAN40] quit配置交換機間的端口為Trunk，并且允許所有VLAN通過[Switch A] interface Ethernet 0/24[Switch AEthernet0/24] port linktype trunk[Switch AEthernet0/24] port trunk permits vlan all[SwitchAEthernet0/24] quit[SwitchA]S2配置（H3 S2126）H3Csystem[H3C]sysname SwitchA 配置VLAN [SwitchA]vlan 10[SwitchAVlan10]port Ethernet0/1 to Ethernet0/6[SwitchAVlan10]quit[SwitchA]vlan 20[SwitchAVLAN20]port Ethernet0/7 to Ethernet0/12[SwitchAVLAN20]quit[SwitchA]vlan 30[SwitchAVLAN30]port Ethernet0/13 to Ethernet0/15[SwitchAVLAN30]quit[SwitchA] vlan 40[SwitchAVLAN40] port Ethernet0/16 to Ethernet0/18[SwitchAVLAN40]quit配置交換機間的端口為Trunk，并且允許所有VLAN通過[SwitchA]interface Ethernet 0/24[SwitchAEthernet0/24]port linktype trunk[SwitchAEthernet0/24] port trunk permit vlan all[SwitchAEthernet0/24]quit[SwitchA] ACL包過濾技術（1）ACL概述ACL（Access Control List,訪問控制列表）是用來實現(xiàn)數(shù)據(jù)識別功能的。為了實現(xiàn)數(shù)據(jù)識別，網絡設備需要配置一系列條件對報文進行分類，這些條件可以是報文的源地址、目的地址、端口號、協(xié)議類型等。當設備的端口接收到報文后，即根據(jù)當前端口上應用的ACL 規(guī)則對報文的字段進行分析，在識別出特定的報文之后，根據(jù)預先設定的策略允許或禁止該報文通過。由 ACL 定義的報文匹配規(guī)則，可以被其它需要對流量進行區(qū)分的場合引用，如包過濾、QoS 中流分類規(guī)則的定義等。（2）ACL應用在生活中有許多ACL應用，主要包括：l 包過濾防火墻（packet filter firewall）l NET(Network Address Translation,網絡地址轉換)l QOS（Quality of Service,服務質量）的數(shù)據(jù)分類l 路由策略和過濾l 按需撥號 在本公司網絡中我們應用到的是“路由策略和過濾”，在路由器上進行配