学海无涯 走一路学一路

集群是可以当作单一设备来管理的一组网络设备的集合，集群管理的主要目的是解决大量分散的网络设备的集中管理问题。网络管理者只需要在集群中的一个交换机上配置公网IP地址就可以实现对集群中其它交换机的管理和维护；配置公网IP地址并执行管理功能的交换机是命令交换机，其它被管理的交换机是成员交换机，命令交换机和成员交换机组成了一个“集群”。

典型拓扑图：

命令交换机：在集群中，唯一的可以配置和管理整个集群的交换机，也是在集群中唯一具有公网IP地址的交换机。命令交换机通过收集NDP（Neighbor Discovery Protocol，邻居发现协议）和NTDP（Neighbor Topology Discovery Protocol，邻居拓扑发现协议）信息来发现和确定候选交换机。

成员交换机：集群中被管理的交换机。

候选交换机：具有加入集群能力，但还没有加入任何集群的交换机。

独立交换机：未启用集群功能的交换机。

集群工作原理

集群通过NDP（Neighbor Discovery Protocol，邻居发现协议）、NTDP（Neighbor Topology Discovery Protocol，邻居拓扑发现协议）、CMP（Cluster Management Protocol，集群管理协议）三个协议，对集群内部的交换机进行配置和管理。

集群的过程分为拓扑发现、拓扑收集和集群的建立维护，具体工作过程如下：

拓扑发现：所有交换机通过NDP 来获取邻居交换机的信息。
拓扑收集：命令交换机通过NTDP 来收集网络内指定跳数范围内的交换机信息以及各个交换机的连接信息，并从收集到的拓扑信息中确定集群的候选交换机。
集群建立维护：命令交换机根据NTDP 收集到的候选设备信息完成将候选交换机加入集群、成员交换机离开集群等集群管理操作。

拓扑发现

集群中的交换机使用NDP来获取与其直接相连的邻居交换机的信息。交换机周期性地向邻居发送NDP报文，同时也会接收但不转发邻居交换机发送的NDP报文。NDP报文中包含NDP信息（包括本交换机的名称、MAC地址、软件版本等信息）等。

交换机会存储和维护一个邻居信息表，邻居信息表里包含每个邻居交换机的NDP信息表项。如果交换机收到新邻居的NDP信息，则会在邻居信息表新增一个表项；如果从邻居交换机收到的NDP信息与旧的信息不同，则更新邻居信息表中的数据，如果相同，则只更新老化时间，如果超过老化时间还没有收到邻居发送的NDP信息，将自动删除相应的邻居表项。

拓扑收集

NTDP用于命令交换机收集整个网络指定跳数的拓扑信息。NTDP 根据NDP邻居信息表发送和转发NTDP 拓扑收集请求，收集指定跳数内的网络中每个交换机的NDP 信息及其连接信息。命令交换机可以定时在网络内进行拓扑收集，您也可以随时在命令交换机上手动启用拓扑收集。

命令交换机发送拓扑收集请求报文后，大量交换机会同时收到拓扑收集请求并同时发送拓扑收集响应报文，如此以来可能造成网络拥塞和命令交换机负担过重。为了避免上述现象的产生，设计两个时间参数来控制拓扑收集请求报文扩散速度：

请求跳数延迟时间：交换机收到拓扑收集请求，会等待该时间段之后，才开始在第一个启用NTDP的端口转发该拓扑收集请求报文。
端口跳数延迟时间：在同一个交换机上，除第一个端口外，每个启用NTDP 功能的端口在前一个端口发送拓扑收集请求报文后，都会等待该时间段，再进行拓扑收集请求报文的转发。

集群管理

命令交换机通过NDP 和NTDP 协议发现和确定候选交换机，并将候选交换机自动加入集群，也可以通过手动配置将候选交换机加入到集群中。候选交换机成功加入集群后，将获得由命令交换机为它分配的私有IP 地址。可以在命令交换机上直接访问成员交换机的Web页面，对成员交换机进行管理。

STP（Spanning Tree Protocol，生成树协议）是根据IEEE 802.1D 标准建立的，用于在局域网中消除数据链路层物理环路的协议。运行该协议的设备通过彼此交互信息发现网络中的环路，并有选择的对某些端口进行阻塞，最终将环路网络结构修剪成无环路的树型网络结构，从而防止报文在环路网络中不断增生和无限循环，避免设备由于重复接收相同的报文所造成的报文处理能力下降的问题发生。

STP采用的协议报文是BPDU（Bridge Protocol Data Unit，桥协议数据单元），也称为配置消息，BPDU中包含了足够的信息来保证设备完成生成树的计算过程。STP即是通过在设备之间传递BPDU来确定网络的拓扑结构。

BPDU格式及字段说明

要实现生成树的功能，交换机之间传递BPDU报文实现信息交互，所有支持STP协议的交换机都会接收并处理收到的报文。该报文在数据区里携带了用于生成树计算的所有有用信息。

标准生成树的BPDU帧格式及字段说明：

Protocol identifier： 协议标识

Version： 协议版本

Message type： BPDU类型

Flag： 标志位

Root ID： 根桥ID，由两字节的优先级和6字节MAC地址构成

Root path cost： 根路径开销

Bridge ID： 桥ID，表示发送BPDU的桥的ID，由2字节优先级和6字节MAC地址构成

Port ID： 端口ID，标识发出BPDU的端口

Message age： BPDU生存时间

Maximum age： 当前BPDU的老化时间，即端口保存BPDU的最长时间

Hello time： 根桥发送BPDU的周期

Forward delay： 表示在拓扑改变后，交换机在发送数据包前维持在监听和学习状态的时间

STP的基本概念

桥ID（Bridge Identifier）：桥ID是桥的优先级和其MAC地址的综合数值，其中桥优先级是一个可以设定的参数。桥ID越低，则桥的优先级越高，这样可以增加其成为根桥的可能性。

根桥（Root Bridge）：具有最小桥ID的交换机是根桥。请将环路中所有交换机当中最好的一台设置为根桥交换机，以保证能够提供最好的网络性能和可靠性。

指定桥（Designated Bridge）：在每个网段中，到根桥的路径开销最低的桥将成为指定桥，数据包将通过它转发到该网段。当所有的交换机具有相同的根路径开销时，具有最低的桥ID的交换机会被选为指定桥。

根路径开销（Root Path Cost）：一台交换机的根路径开销是根端口的路径开销与数据包经过的所有交换机的根路径开销之和。根桥的根路径开销是零。

桥优先级（Bridge Priority）：是一个用户可以设定的参数，数值范围从0到32768。设定的值越小，优先级越高。交换机的桥优先级越高，才越有可能成为根桥。

根端口（Root Port）：非根桥的交换机上离根桥最近的端口，负责与根桥进行通信，这个端口到根桥的路径开销最低。当多个端口具有相同的到根桥的路径开销时，具有最高端口优先级的端口会成为根端口。

指定端口（Designated Port）：指定桥上向本交换机转发数据的端口。

端口优先级（Port Priority）：数值范围从0到255，值越小，端口的优先级就越高。端口的优先级越高，才越有可能成为根端口。

路径开销（Path Cost）：STP协议用于选择链路的参考值。STP协议通过计算路径开销，选择较为“强壮”的链路，阻塞多余的链路，将网络修剪成无环路的树型网络结构。

生成树基本概念的组网示意图如图所示。交换机A、B、C三者顺次相连，经STP计算过后，交换机A被选为根桥，端口2和端口6之间的线路被阻塞。

桥：交换机A为整个网络的根桥；交换机B是交换机C的指定桥。

端口：端口3和端口5分别为交换机B和交换机C的根端口；端口1和端口4分别为交换机A和交换机B的指定端口；端口6为交换机C的阻塞端口。

STP定时器

联络时间（Hello Time）：

数值范围从1秒到10秒。是指根桥向其它所有交换机发出BPDU数据包的时间间隔，用于交换机检测链路是否存在故障。

老化时间（Max. Age）：

数值范围从6秒到40秒。如果在超出老化时间之后，还没有收到根桥发出的BPDU数据包，那么交换机将向其它所有的交换机发出BPDU数据包，重新计算生成树。

传输时延（Forward Delay）：

数值范围从4秒到30秒。是指交换机的端口状态迁移所用的时间。

当网络故障引发生成树重新计算时，生成树的结构将发生相应的变化。但是重新计算得到的新配置消息无法立刻传遍整个网络，如果端口状态立刻迁移的话，可能会产生暂时性的环路。为此，生成树协议采用了一种状态迁移的机制，新的根端口和指定端口开始数据转发之前要经过2倍的传输时延，这个延时保证了新的配置消息已经传遍整个网络。

STP模式的BPDU的优先级比较原则

假定有两条BPDU X和Y，则：

如果X的根桥ID小于Y的根桥 ID，则X优于Y

如果X和Y的根桥ID相同，但X的根路径开销小于Y，则X优于Y

如果X和Y的根桥ID和根路径开销相同，但X的桥ID小于Y，则X优于Y

如果X和Y的根桥ID、根路径开销和桥ID相同，但X的端口ID小于Y，则X优于Y

STP的计算过程

初始状态：每台交换机在初始时会生成以自己为根桥的BPDU，根路径开销为0，指定桥ID为自身设备ID，指定端口为本端口。

最优BPDU的选择：每台交换机都向外发送自己的BPDU，同时也会收到其它交换机发送的BPDU。比较过程如下表所述：

根桥的选择：通过交换配置消息，设备之间比较根桥ID，网络中根桥ID 最小的设备被选为根桥。

根端口、指定端口的选择过程如下表所述：

RSTP

RSTP（Rapid Spanning Tree Protocol，快速生成树协议）是优化版的STP，他大大缩短了端口进入转发状态的延时，从而缩短了网络最终达到拓扑稳定所需要的时间。RSTP的端口状态实现快速迁移的前提如下：

根端口的端口状态快速迁移的条件是：本设备上旧的根端口已经停止转发数据，而且上游指定端口已经开始转发数据。

指定端口的端口状态快速迁移的条件是：指定端口是边缘端口或者指定端口与点对点链路相连。如果指定端口是边缘端口，则指定端口可以直接进入转发状态；如果指定端口连接着点对点链路，则设备可以通过与下游设备握手，得到响应后即刻进入转发状态。

RSTP的基本概念

边缘端口（Edge Port）：直接与终端相连而不是与其它交换机相连的端口。

点对点链路：是两台交换机之间直接连接的链路。

MSTP

MSTP（Multiple Spanning Tree Protocol，多生成树协议）是在STP和RSTP的基础上，根据IEEE协会制定的802.1S标准建立的，他既可以快速收敛，也能使不同VLAN的流量沿各自的路径转发，从而为冗余链路提供了更好的负载分担机制。

MSTP的特点如下：

MSTP通过VLAN-实例映射表，把VLAN和生成树联系起来，将多个VLAN捆绑到一个实例中，并以实例为基础实现负载均衡。

MSTP把一个生成树网络划分成多个域，每个域内形成多棵内部生成树，各个生成树之间彼此独立。

MSTP在数据转发过程中实现VLAN 数据的负载分担。

MSTP 兼容STP 和RSTP。

MSTP的基本概念

MST域（Multiple Spanning Tree Region，多生成树域）：由具有相同域配置和相同Vlan-实例映射关系的交换机所构成。

IST（Internal Spanning Tree，内部生成树）：MST域内的一棵生成树。

CST（Common Spanning Tree，公共生成树）：连接网络内所有MST域的单生成树。

CIST（Common and Internal Spanning Tree，公共和内部生成树）：连接网络内所有设备的单生成树，由IST和CST共同构成。

MSTP基本概念的组网图如图所示。

MSTP的基本原理

MSTP将整个网络划分为多个MST域，各个域之间通过计算生成CST；域内则通过计算生成多棵生成树，每棵生成树都被称为是一个多生成树实例。MSTP同STP一样，使用BPDU进行生成树的计算，只是BPDU中携带的是MSTP的配置信息。

MSTP模式的BPDU优先级比较原则

假定有两条MSTP的BPDU X和Y，则：

如果X的总根ID小于Y的总根ID，则X优于Y

如果X和Y的总根ID相同，但X的外部路径开销小于Y，则X优于Y

如果X和Y的总根ID和外部路径开销相同，但X的域根ID小于Y的域根ID，则X优于Y

如果X和Y的总根ID、外部路径开销和域根ID相同，但X的内部路径开销小于Y，则X优于Y

如果X和Y的总根ID、外部路径开销、域根ID和内部路径开销相同，但X的桥ID小于Y，则X优于Y

如果X和Y的总根ID、外部路径开销、域根ID、内部路径开销和桥ID均相同，但X的端口ID小于Y，则X优于Y

端口状态

MSTP中，根据端口是否转发数据和如何处理BPDU报文，可将端口状态划分为以下四种：

转发：接收并转发数据，接收并发送BPDU报文，进行地址学习。

学习：不接收或转发数据，接收并发送BPDU报文，进行地址学习。

阻塞：不接收或转发数据，接收但不发送BPDU报文，不进行地址学习。

断开：物理链路断开。

端口角色

MSTP的端口角色分为以下几种：

根端口：到根桥的路径开销最低，负责向根桥方向转发数据的端口。

指定端口：负责向下游网段或设备转发数据的端口。

Master端口：连接MST域到总根的端口，位于整个域到总根的最短路径上。

替换端口：根端口和Master端口的备份端口。

备份端口：指定端口的备份端口。

禁用端口：物理链路断开的端口。

内网经常有人接入非法dhcp服务器，如无线路由器等，导致其它用户获取到错误的IP地址而上不了网或地址冲突，如图：

以锐捷交换机为例：
1、在接入交换机上开启dhcp snooping功能
2、上联口配置可信任口 

配置步骤：
配置之前建议使用 Ruijie#show interface status查看接口名称，常用接口名称有FastEthernet（百兆）、GigabitEthernet（千兆）和TenGigabitEthernet(万兆),以下配置以百兆接口为例
1、在接入交换机上开启dhcp snooping功能
Ruijie>enable
Ruijie#configure terminal
Ruijie(config)#ip dhcp snooping //开启DHCP snooping功能
2、连接合法DHCP服务器的接口配置为可信任口
Ruijie(config)#int FastEthernet0/24
Ruijie(config-FastEthernet 0/24)#ip dhcp snooping trust //开启DHCP snooping的交换机所有接口缺省为untrust口，交换机只转发从trust口收到的DHCP响应报文（offer、ACK、NAK）
3、保存配置
Ruijie(config-FastEthernet 0/24)#end
Ruijie#write   //确认配置正确，保存配置

注：连接DHCP服务器的端口一定要配置ip dhcp snoopint trust，否则会发现电脑都获取不到地址。

早先的网管交换机需要通过CLI方式管理配置，需要记一堆操作指令（有的支持WEB方式，但默认是关闭的，需要通过CLI方式开启动），通过WEB方式配置交换机，操作上类同于配置家用路由器，操作简单，只是相关概念较多，需要进一步了解。

华为网管交换机的连接方法，两种方式：

通过电脑直连ETH管理接口模式首次登录设备。
设备的ETH管理接口上存在缺省IP地址192.168.1.253/24，直接将设备的ETH管理接口和电脑用网线进行连接

通过长按“MODE”模式首次登录设备。
若设备为全光口，需要将设备的管理接口和电脑用网线进行连接。长按“MODE”按键6s或以上，当设备所有的模式灯变为绿色常亮时，设备进入初始设置模式，此时系统默认在设备ETH管理接口上配置缺省IP地址192.168.1.253/24。
若设备存在以太网口，将设备的除管理接口之外的任意以太网口和PC用网线进行连接。长按“MODE”按键6s或以上，当设备所有的模式灯变为绿色常亮时，设备进入初始设置模式，此时系统默认在设备Vlanif1上配置缺省IP地址192.168.1.253/24

上述方式适用于首次登录网络交换机设备。

1、通过Web网管首次登录设备的前提是设备处于出厂配置状态，因此配置此功能时，建议用户不要通过串口登录设备。通过串口进行任何操作，都将导致通过Web网管首次登录设备失败。
2、进入初始设置模式10分钟后，如果用户没有保存配置信息，计算机将会自动退出初始设置模式，恢复出厂配置。
3、如果设备处于出厂配置状态，但是设备刚启动或者通过串口对设备进行了操作，那么长按“MODE”按键6s后，设备有可能出现进入初始设置模式失败的情况。此时所有模式灯快速闪烁10s后设备恢复到默认状态。
4、如果已使用MODE模式按键首次登录了设备（长按MODE按键6s或以上）并保存了配置，会清除ETH口上的默认配置，则不能再使用ETH口首次登录。建议优先使用ETH口首次登录设备。

VLAN的设计可从以下三个方面来考虑：确定VLAN类型，划分VLAN成员，规划VLAN间路由。

1、确定 VLAN 类型。设计 VLAN 的首要任务是确定使用哪种 VLAN 类型。我们经常使用的是 802.1Q VLAN，这种 VLAN 的划分方法比较简单直接，实用性也比较强。我司交换机还提供 MAC VLAN、协议 VLAN 等 VLAN 划分类型。

2、划分 VLAN 成员。确定 VLAN 类型之后，要规划好将哪些用户划分到哪个 VLAN 中，最好是在建网的同时将 VLAN 成员的划分作为一个因素综合考虑进工程中，这样能充分考虑 VLAN 的需求，全盘规划好网络结构。在网络建成之后，如果用户有了新需求，则有可能需要对原有结构做出适应性的改变。

3、规划 VLAN 间路由。VLAN 的设计很大程度上和路由的规划密切相关，其中最直观的就是 IP 子网的划分。一般有如下几种情况：

同一 IP 子网的成员属于不同的 VLAN。当一个 IP 子网的范围还不能足够细分工作组时，可以采用 VLAN 将其中的成员划分到更小的组里面，此时，不需要为这些VLAN 的成员指定路由，因为他们已经在同一个子网了。

同一 VLAN 的成员属于不同 IP 子网。这种划分方式主要适用于那些地理位置较远但需求相近的用户组，此时他们之间的路由就要使用 IP 子网间的路由。

不同的 VLAN 和 IP 子网一一对应，即一个 IP 子网的成员都属于一个 VLAN。此时，VLAN 之间的路由与 IP 子网之间的路由重合。

同一个 VLAN 中的设备可以进行数据链路层的通信，而不同 VLAN 之间的设备通信则需要建立在网络层的基础上。一般有两种方法来实现 VLAN 之间的通信：通过路由器和通过三层交换机。下面分别介绍这两种实现不同 VLAN 之间通信的方法。

通过路由器实现 VLAN 间通信

路由器和交换机的连接方式有两种。一种是把路由器的不同物理接口分别连接到交换机上的每个VLAN，并将交换机上与路由器相连的端口设置为相应VLAN的访问链路，如图：

这种连接方法比较简单，但是网络扩展难度大。每增加一个新的 VLAN，都需要消耗路由器和交换机上的端口，而且还需要重新布设一条网线。而路由器较交换机而言，所提供的端口较少，这使得网络管理的成本增加，因此不推荐此方法。

此外，我们还可以采用单臂路由的方式来实现 VLAN 之间的通信。这种方法是在路由器与交换机相连的那个物理端口上定义多个逻辑子接口，也就是从逻辑上将它分为多个虚拟端口。一个子接口连接一个 VLAN，每个子接口配置相应 VLAN 内的 IP 地址，并封装 802.1Q 协议。同时，在交换机上把与路由器相连的端口设置为 Trunk 端口。在这种方法中，路由器只使用一个端口连接到交换网络中，因此被称为单臂路由，如图

802.1Q VLAN 技术白皮书802.1Q VLAN 技术实现 3-4图3-4 通过单臂路由方式实现VLAN间通信该网络拓扑包含了 3 台主机、一台交换机和一台路由器，路由器和交换机之间配置中继链路Trunk，交换机上设置了 3 个 VLAN，分别是 VLAN10，VLAN20 和 VLAN30。

当 VLAN10 中的主机 A 向 VLAN20 中的主机 B 发送信息时，交换机端口 1 收到主机 A 发出的数据帧，查询自己的 MAC 地址表，然后将数据帧从 Trunk 端口 4 转发出去，并为数据帧添加 VLAN ID=10 的标签。路由器收到数据帧后，发现它属于 VLAN10，因此把它交给负责VLAN10 的子接口，该接口判断数据帧应发往负责 VLAN20 的子接口。负责 VLAN20 的子接口再为数据帧添加 VLAN ID=20 的标签并发回给交换机。交换机收到该数据后查询 MAC 地址表，去掉数据帧中的 VLAN 标签，将它从端口 2 发送给主机 B。这样主机 B 就接收到了主机A发给它的信息。可以看到，通过路由器进行VLAN之间的通信时，信息传输经过以下过程：发送者 -> 交换机 -> 路由器 -> 交换机 -> 接收者，即使通信的双方处在同一台交换机上，也必须经过这样的过程。

802.1Q VLAN 技术白皮书802.1Q VLAN 技术实现 3-4图3-4 通过单臂路由方式实现VLAN间通信该网络拓扑包含了 3 台主机、一台交换机和一台路由器，路由器和交换机之间配置中继链路Trunk，交换机上设置了 3 个 VLAN，分别是 VLAN10，VLAN20 和 VLAN30。当 VLAN10 中的主机 A 向 VLAN20 中的主机 B 发送信息时，交换机端口 1 收到主机 A 发出的数据帧，查询自己的 MAC 地址表，然后将数据帧从 Trunk 端口 4 转发出去，并为数据帧添加 VLAN ID=10 的标签。路由器收到数据帧后，发现它属于 VLAN10，因此把它交给负责VLAN10 的子接口，该接口判断数据帧应发往负责 VLAN20 的子接口。负责 VLAN20 的子接口再为数据帧添加 VLAN ID=20 的标签并发回给交换机。交换机收到该数据后查询 MAC 地址表，去掉数据帧中的 VLAN 标签，将它从端口 2 发送给主机 B。这样主机 B 就接收到了主机A发给它的信息。可以看到，通过路由器进行VLAN之间的通信时，信息传输经过以下过程：发送者 -> 交换机 -> 路由器 -> 交换机 -> 接收者，即使通信的双方处在同一台交换机上，也必须经过这样的过程。一般这种拓扑适用于小型网络，在已有的二层交换机的基础上，只需要购买一台路由器就能实现不同 VLAN 之间的通信。

通过三层交换机实现 VLAN 间通信

802.1Q VLAN 技术白皮书802.1Q VLAN 技术实现 3-4图3-4 通过单臂路由方式实现VLAN间通信该网络拓扑包含了 3 台主机、一台交换机和一台路由器，路由器和交换机之间配置中继链路Trunk，交换机上设置了 3 个 VLAN，分别是 VLAN10，VLAN20 和 VLAN30。当 VLAN10 中的主机 A 向 VLAN20 中的主机 B 发送信息时，交换机端口 1 收到主机 A 发出的数据帧，查询自己的 MAC 地址表，然后将数据帧从 Trunk 端口 4 转发出去，并为数据帧添加 VLAN ID=10 的标签。路由器收到数据帧后，发现它属于 VLAN10，因此把它交给负责VLAN10 的子接口，该接口判断数据帧应发往负责 VLAN20 的子接口。负责 VLAN20 的子接口再为数据帧添加 VLAN ID=20 的标签并发回给交换机。交换机收到该数据后查询 MAC 地址表，去掉数据帧中的 VLAN 标签，将它从端口 2 发送给主机 B。这样主机 B 就接收到了主机A发给它的信息。可以看到，通过路由器进行VLAN之间的通信时，信息传输经过以下过程：发送者 -> 交换机 -> 路由器 -> 交换机 -> 接收者，即使通信的双方处在同一台交换机上，也必须经过这样的过程。一般这种拓扑适用于小型网络，在已有的二层交换机的基础上，只需要购买一台路由器就能实现不同 VLAN 之间的通信。3.3.2 通过三层交换机实现 VLAN 间通信使用路由器来实现 VLAN 之间的通信，VLAN 之间的流量会集中到路由器和交换机互连的中继链路部分，这部分就容易成为速度的瓶颈。而三层交换机采用的是“一次路由，多次转发”的机制，能实现数据的高速转发，因此采用三层交换机来实现 VLAN 之间的通信更适合用于中大型网络，此时三层交换机可作为整个网络的核心。图 3-5所示即为通过三层交换机进行VLAN 之间通信的一个简单示意图。

图中，有一个三层交换机，连接了 4 台主机，分别属于 VLAN10 和 VLAN20。当主机 A（192.168.1.2）与主机 D（192.168.2.2）要通信时，主机 A 发送一个数据帧。三层交换机的交换模块接收该数据帧之后查询 MAC 地址表，为它添加一个 VLAN ID=10 的标签，然后转发给路由模块。路由模块接收数据帧后会通过 VLAN 信息判断将此数据交给 VLAN10 接口来处理。VLAN10 接口判断将数据帧交给 VLAN20 接口，VLAN20 接口再将数据帧转发回交换模块，最终数据帧中的 VLAN 信息被去掉后转发到主机 D。

可以看到，三层交换机进行 VLAN 间通信也会经过“发送者 -> 交换模块 -> 路由模块 ->交换模块 -> 接收者”这样几个过程。但三层交换机一旦转发过一组目的 IP 相同的数据包之后，就会把该信息缓存，以后相同的数据包就能进行直接转发，而不需要通过路由处理了。由于交换模块对于数据包的二层转发速率远高于三层的路由模块，因此，通过三层交换机实现 VLAN 之间的通信能极大提高网络的数据转发效率，从而解决网络瓶颈的问题。

VLAN 的 MAC 地址学习机制
交换机是通过 VLAN ID 来区分识别不同 VLAN 的。对于支持 802.1Q VLAN 的交换机，其MAC 地址表需同时维护 MAC 地址、转发端口和 VLAN ID 信息。其中，VLAN ID 信息将根据收到数据帧的 Tag 字段来确定，当收到的数据帧不带 Tag 时，则根据接收端口的缺省 VLAN来确定。
在配置了 VLAN 后，交换机的 MAC 地址学习方式有两种：
1、SVL（Shared VLAN Learning，共享式 VLAN 学习）：
MAC 地址表项全部记录到一张共享的 MAC 地址转发表中，一个 MAC 地址在整张表中是唯一的。当交换机收到数据帧时会先进行 MAC 地址查询，然后再进行后续的 VLAN 查询。
2、IVL（Independent VLAN Learning，独立 VLAN 学习）：
交换机为每个 VLAN 维护独立的 MAC 地址转发表，因此 MAC 地址表在逻辑上可以看成根据 VLAN 信息被分成了多张地址表。某个 VLAN 的成员端口接收到数据帧时，其源 MAC 地址只被记录到该VLAN 的 MAC 地址转发表中，且只依据该表中的信息转发数据帧。
下图中简要表示了这两种MAC地址学习机制。在SVL中，所有MAC地址被记录到同一张表中，且一个 MAC 地址只能属于一个 VLAN；在 IVL 中，我们可以从逻辑上认为每个 VLAN 单独拥有一张地址表，一个 MAC 地址可以同时记录到不同 VLAN 的表项中。

IVL 交换机二层转发的基本流程如下：
1、 收到数据帧后，根据其源 MAC 地址和 VLAN ID 信息添加或更新 MAC 地址表项。
2、 根据目的 MAC 地址和 VLAN ID 信息查找 MAC 地址表项。如果没有找到匹配项，则将数据帧在 VLAN ID 对应的 VLAN 内广播；如果能找到匹配表项，则将数据帧向表项中对应的端口进行转发。

VLAN 内的通信

下面通过一个示例来讲解同一 VLAN 内的设备进行通信的过程。在两台出厂设置的交换机上分别创建两个 VLAN，VLAN10 和 VLAN20，并分别设置交换机与主机相连的端口类型为Access，两台交换机相连的端口类型为 Trunk。将交换机 1 的端口 2 加入 VLAN10，端口 3加入 VLAN20，端口 24 同时加入 VLAN10 和 VLAN20；将交换机 2 的端口 4 加入 VLAN10，端口 5 加入 VLAN20，端口 24 同时加入 VLAN10 和 VLAN20，如图：

主机 A 与主机 C 第一次通信的过程如下：

1、主机 A 向交换机 1 发送一个不带 VLAN Tag 的数据帧，交换机 1 的 Access 端口接收该数据帧后，由于该端口的 PVID 值为 10，故为数据帧添加一个带有 VLAN ID=10 的标签。
2、 由于交换机 1 的 MAC 地址表中暂时还没有该数据帧对应的 MAC 地址信息，故将数据帧中的源 MAC 地址、VLAN ID 信息以及对应的端口号 2 添加到 MAC 地址表中，并将该数据帧在 VLAN 10 内广播。
3、交换机1的Trunk端口24属于VLAN10，故该端口接收数据帧，保持VLAN ID=10的标签，并从该端口转发给交换机 2。
4、 交换机 2 的 Trunk 端口 24 也属于 VLAN 10，故该端口接收数据帧。交换机 2 查询自己的 MAC 地址表，发现不存在该表项，故将数据帧中的源 MAC 地址、VLAN ID 信息以及对应的端口号 24 添加到自己的 MAC 地址表中，并将该数据帧在 VLAN 10 内广播。
5、交换机 2 的 Access 端口 4 属于 VLAN10，故该端口接收数据帧，并将帧中的 VLAN 标签去掉后转发给主机 C。此外，由于主机 C 会给交换机返回信息，故交换机也会将主机C 的 MAC 地址以及对应的端口号添加到地址表中。

这样，跨交换机的 VLAN 内通信就完成了。当主机 A 和主机 C 再次进行通信的时候，就能直接通过查询 MAC 地址表进行数据转发了。同样的，主机 B 与主机 D 之间也可以通过这样的过程实现 VLAN 内的通信。

不同 VLAN 间的通信

VLAN帧格式
为使交换机能够分辨不同 VLAN 的报文，IEEE 802.1Q 协议标准规定，在传统以太网数据帧中的 DA&SA（目的 MAC 地址和源 MAC 地址）之后封装 4 个字节的 802.1Q VLAN 标签，即 VLAN Tag，用以标识 VLAN 的相关信息，如图 所示。VLAN Tag 包含四个字段，分别是 TPID、Priority、CFI 和 VLAN ID。

VLAN 标签中的四个字段分别标识了该数据帧不同的信息，下面通过表 2-1对这四个字段进行具体的说明

PVID（Port VLAN ID）
用于表示端口默认所属的 VLAN，即缺省 VLAN。
PVID 主要用于以下两种情形：当设备收到不带 Tag 的数据帧时，将根据 PVID 为数据帧插入 VLAN Tag；当设备接收到 UL 包或广播包的时候，由于 PVID 指定了端口默认所属的 VLAN，设备会将这些数据包在该端口的缺省 VLAN 内广播。

VLAN（Virtual Local Area Network，虚拟局域网）是一种将局域网设备从逻辑上划分成不同网段，从而实现虚拟工作组的数据交换技术。

产生背景

二层交换机工作在数据链路层，在收到广播报文或未知的单播报文时，会向其他所有端口转发该报文，这样，我们可以认为一个二层交换机构成一个广播域，即广播帧能够直接到达的范围。若整个网络只有一个广播域，那么当某台设备发出广播报文时，其他所有设备都会收到该报文。随着网络中计算机数量的增多，广播报文的数量也会急剧增加，从而导致网络的传输效率下降。特别是当某个网络设备出现故障或者网络中出现环路时，广播信息会大量泛洪，从而导致广播风暴，使整个网络陷于瘫痪。因此，当网络中的设备数量增加到一定规模时，必须采取措施对网络进行分段，从而分隔广播域，减小这些潜在问题可能造成的不良影响。通过路由器，我们可以对网络进行分段，从而隔离广播域，如图所示：

但是，这也不能解决同一交换机下的用户隔离。并且，随着网络的不断扩展，网络结构也日趋复杂，必须使用更多的路由器才能将不同的用户划分到各自的广播域中，而路由器数量的增多也会导致网络延时加长，网络数据传输速度下降。其次，不管从网络建设的成本还是管理上，这种方式都存在不足。

与路由器相比，交换机具有多个网络接口，通过它来分隔广播域，能使网络划分方式更加灵活，成本也相对更低。因此，VLAN 技术应运而生。利用 VLAN 技术，网络管理者可以根据实际应用需求，将局域网中的不同用户从逻辑上划分成不同的广播域，也就是 VLAN。VLAN从逻辑上划分，不受物理位置的限制，一个 VLAN 包含的用户可以连接在同一台交换机上，也可以跨越交换机。如图 所示，一台路由器连接了两台二层交换机，交换机上划分了不同的 VLAN，若干主机通过交换机接入网络中，并分别属于不同的 VLAN。通过这样的划分，不同 VLAN 之间的设备就不能直接互相通信了。

VLAN优点

VLAN 在逻辑上把网络资源和网络用户按照一定的规则进行划分，其主要优点表现在以下几个方面：
1、提高网络性能。VLAN技术把网络划分成逻辑上的不同广播域，将广播帧限制在VLAN中，从而避免了带宽的浪费，提高了网络处理能力。同时，VLAN 还能有效控制广播风暴的范围，减小此类网络问题所带来的损失。
2、方便网络管理。VLAN 将物理的局域网划分成了逻辑意义上的子网，不必考虑具体的物理位置。每一个 VLAN 都可以对应一个逻辑单位，如部门、项目组等，方便了企业或科研机构的管理。同时，这种划分方式增加了网络的灵活性，若某个用户从一个部门调到另一个部门，而办公位置没有发生改变，网络管理员只需对交换机等设备进行相应配置即可，而无需通过改变物理线路来将此用户接入到新部门中。
3、 增强网络安全。不同 VLAN 内的设备要互相通信，必须通过路由器或三层交换机等设备。网络管理员可在三层设备上设置访问控制规则，确保 VLAN 内的数据不会被其他 VLAN的设备窃听，从而提高了网络的安全性。

VLAN 分类
根据不同的网络需求，可以选择不同的 VLAN 划分方式。目前我们最常用的 VLAN 划分方式是 802.1Q VLAN，这种方法配置比较简单，但当 VLAN 变更时，网络管理者的工作量较大。在 802.1Q VLAN 的基础上，我们可以添加一些标识，来实现其他几种 VLAN，比如 MAC VLAN、协议 VLAN 等。实现 VLAN 的方式多种多样，但几乎所有的这些实现方式都基于IEEE 802.1Q 协议。本文档将详细介绍 802.1Q VLAN 的相关内容。
IEEE 802.1Q 协议规定了 VLAN 的实现标准。过去各个厂商实现 VLAN 的方法并不完全相同，所以彼此无法兼容。IEEE 于 1999 年发布了用以规范 VLAN 实现方法的 IEEE 802.1Q 标准，进一步完善了 VLAN 的体系结构，统一了不同厂商的 VLAN 帧格式，从而使得不同厂商之间的 VLAN 互通成为可能。

TP-LINK网管交换机在创建802.1Q VLAN时，需要根据端口连接的设备设置端口的链路类型。端口的链路类型有下面三种：
1、Access 端口Access 端口只能属于 1 个 VLAN，出口规则为 UNTAG，也就是从该端口发送出去的数据帧不携带 VLAN Tag。Access 端口连接的多为不支持 VLAN 技术的终端设备，比如用户主机。
2、Trunk 端口Trunk 端口可以属于多个 VLAN，出口规则为 TAG，也就是从该端口发送出去的数据帧会携带 VLAN Tag。Trunk 端口一般用于连接支持 VLAN 技术的网络设备，比如交换机或路由器。在实际网络中，VLAN 经常跨接在不同的通信设备上。

3、General 端口General 端口可以属于多个 VLAN，出口规则可以根据该端口连接设备的实际情况灵活配置，既可以设置为带 Tag 发送报文，也可以设为不带 Tag 发送报文。因此，它既能用于网络设备之间的连接，也能用于网络设备和用户之间的连接。当与交换机相连的某个网络环境比较复杂，无法判断网络中的设备是哪种类型，或者该网络中有多种类型的设备时，可将交换机和该网络相连端口类型设置为 General。

端口类型本质是通信设备接收和转发数据帧的处理方式。每一种类型的端口都有相应的数据进出口处理规则，入口规则表示接收数据帧时的处理方式，出口规则表示转发数据帧时的处理方式，如图：