不同vlan間的通信簡單配置的三種方式解析

　　在劃分VLAN后，不同VLAN之間不能直接進行二層通信。如果要實現(xiàn)VLAN間通信，可以采取以下3種方案之一。

　　1．三層VLANIF接口方案

　　這是一種通過計算機網(wǎng)絡體系結(jié)構中第三層（網(wǎng)絡層）來實現(xiàn)VLAN間通信的解決方案。每個VLAN都可以配置一個三層VLANIF邏輯接口，而這些VLANIF接口就作為對應VLAN內(nèi)部用戶主機的缺省網(wǎng)關，通過三層交換機內(nèi)部的IP路由功能可以實現(xiàn)同一交換機上不同VLAN的三層互通，不同交換機上不同VLAN間的三層互通需要配置各VLANIF接口所在網(wǎng)段間的路由。

　　該方案除S1700系列外，其他所有華為S系列交換機均支持。

　　在圖6-20所示的網(wǎng)絡中，Device交換機上劃分了兩個VLAN：VLAN2和VLAN3。可通過如下配置實現(xiàn)VLAN間互通。

　?。?）在Device上創(chuàng)建兩個VLANIF接口并配置VLANIF接口的IP地址，但這兩個VLANIF接口對應的IP地址不能在同一網(wǎng)段。

　　（2）將各VLAN中的用戶設備缺省網(wǎng)關設置為所屬VLAN對應VLANIF接口的IP地址。

　　現(xiàn)在僅以位于VLAN 2中的主機A向位于VLAN 3中的主機C發(fā)起通信為例，介紹通過VLANIF接口進行VLAN間三層互通的基本原理。具體通信流程如下。

　?。?）在主機A向主機C發(fā)送的數(shù)據(jù)包到了網(wǎng)絡層后，主機A先將包中的目的IP地址-主機C的IP地址和自己所在網(wǎng)段進行比較。

　?。?）發(fā)現(xiàn)主機C和自己不在同一個子網(wǎng)，于是主機A以廣播方式在本子網(wǎng)內(nèi)發(fā)送一個ARP請求幀，其目的是查尋自己的網(wǎng)關-VLANIF2接口的MAC地址。

　?。?）VLANIF2接口經(jīng)過與ARP請求幀中的目的IP地址進行比較，發(fā)現(xiàn)自己的IP地址與其一致，接收該ARP請求幀，然后以單播方式向主機A返回一個ARP應答幀，幀中的源MAC地址即為VLANIF2的MAC地址。

　?。?）在主機A接收由VLANIF2接口返回的ARP應答幀后從中學習到了VLANIF2接口的MAC地址。

　?。?）主機A利用所獲得的網(wǎng)關VLANIF2接口的MAC地址，重新進行數(shù)據(jù)幀封裝，把幀中的目的MAC改為VLANIF2接口MAC地址，目的IP仍為主機C的IP地址，然后發(fā)送給網(wǎng)關-VLANIF2接口。

　　（6）Device交換機在收到該數(shù)據(jù)幀后進行三層轉(zhuǎn)發(fā)，發(fā)現(xiàn)幀中的目的IP地址--主機C的IP地址為直連路由，數(shù)據(jù)幀直接通過該主機的網(wǎng)關-VLANIF3接口進行轉(zhuǎn)發(fā)。

　　（7）VLANIF3接口作為VLAN 3內(nèi)主機的網(wǎng)關，在收到數(shù)據(jù)幀后如果已有主機C的IP地址與MAC地址映射表，則直接發(fā)送給主機C，否則VLANIF3接口先在VLAN 3內(nèi)以廣播方式發(fā)送一個ARP請求幀，查尋主機C的MAC地址。

　　（8）主機C在收到ARP廣播幀后向VLANIF3接口返回一個ARP應答幀。

　?。?）VLANIF3接口在收到主機C發(fā)來的ARP應答幀后再次進行數(shù)據(jù)幀封裝，把幀中的目的MAC地址改為主機C的真實MAC地址（其他不變），然后把主機A發(fā)來的數(shù)據(jù)幀發(fā)送給主機C。這樣主機A之后要發(fā)給C的數(shù)據(jù)幀都先發(fā)送給網(wǎng)關，由網(wǎng)關-VLANIF3接口做三層轉(zhuǎn)發(fā)。

　　主機C與主機A之間的通信原理一樣，最終實現(xiàn)VLAN間的三層互通。

　　2．三層以太網(wǎng)子接口方案

　　三層以太網(wǎng)子接口是一種同時具備三層以太網(wǎng)物理接口和二層以太網(wǎng)物理接口雙重特性的邏輯接口。即它具有三層以太網(wǎng)物理接口的三層路由功能，同時又具有二層以太網(wǎng)物理接口封裝VLAN標簽的特性。通過三層以太網(wǎng)子接口就可以實現(xiàn)不同VLAN間的三層互通，也就是我們通常所說的“單臂路由”，在三層交換機和路由器中均可實現(xiàn)。

　　該方案僅5700HI和5710EI子系列、S7700、S9300和S9700系列華為交換機支持。

　　如圖6-21所示，DeviceA為支持配置子接口的三層設備，DeviceB為二層交換設備。LAN通過DeviceB的二層以太網(wǎng)接口與DeviceA的三層以太網(wǎng)接口相連。連接在DeviceB上的用戶主機被劃分到兩個VLAN：VLAN2和VLAN3。這時可通過如下配置實現(xiàn)VLAN間互通。

　?。?）在DeviceA與DeviceB相連的三層以太網(wǎng)接口上創(chuàng)建兩個子接口Port1.1和Port1.2，并配置802.1Q封裝與VLAN2和VLAN3分別對應。

　?。?）為以上這兩個子接口配置與各自所屬VLAN對應網(wǎng)段的IP地址。

　?。?）將DeviceB與DeviceA相連的二層以太網(wǎng)接口類型配置為Trunk或Hybrid類型，并同時允許VLAN2和VLAN3的幀通過。

　?。?）將VLAN 2和VLAN 3中的用戶設備的缺省網(wǎng)關設置為所屬VLAN對應三層以太網(wǎng)子接口的IP地址。

　　現(xiàn)在同樣以主機A向主機C發(fā)起通信為例介紹三層以太網(wǎng)子接口的VLAN間通信方案的基本原理（其實基本過程與前面介紹的VLANIF接口VLAN間通信方案是一樣的，只不過這里的網(wǎng)關是各VLAN所對應的子接口）。具體流程如下。

　?。?）在主機A向主機C發(fā)送的數(shù)據(jù)包到了網(wǎng)絡層后，主機A先將包中的目的IP地址-主機C的IP地址和自己所在網(wǎng)段進行比較。

　?。?）發(fā)現(xiàn)主機C和自己不在同一個子網(wǎng)，于是主機A以廣播方式在本子網(wǎng)內(nèi)發(fā)送一個ARP請求幀，其目的是查尋自己的網(wǎng)關VLAN 2對應的Port1.1子接口的MAC地址。

　　（3）Port1.1子接口經(jīng)過與ARP請求幀中的目的IP地址進行比較，發(fā)現(xiàn)自己的IP地址與其一致，接收該ARP請求幀，然后以單播方式向主機A返回一個ARP應答幀，幀中的源MAC地址即為Port1.1子接口的MAC地址。

　?。?）主機A接收由Port1.1子接口返回的ARP應答幀后從中學習到該子接口的MAC地址。

　?。?）主機A利用所獲得的網(wǎng)關Port1.1子接口的MAC地址，重新封裝數(shù)據(jù)幀，把目的MAC地址改為Port1.1子接口MAC，目的IP仍為主機C的IP地址，然后發(fā)送給網(wǎng)關Port1.1子接口。

　　（6）DeviceA交換機在收到該數(shù)據(jù)幀后進行三層轉(zhuǎn)發(fā)，發(fā)現(xiàn)其目的IP地址-主機C的IP地址為直連路由，數(shù)據(jù)幀直接通過該主機的網(wǎng)關-VLAN 3對應Port1.2子接口進行轉(zhuǎn)發(fā)。

　?。?）Port1.2子接口作為VLAN 3內(nèi)主機的網(wǎng)關，在收到數(shù)據(jù)幀后如果已有主機C的IP地址與MAC地址映射表，則直接發(fā)送給主機C，否則Port1.2子接口先在VLAN 3內(nèi)以廣播方式發(fā)送一個ARP請求幀，查尋主機C的MAC地址。

　?。?）主機C在收到ARP廣播幀后向Port1.2子接口返回一個ARP應答幀。

　?。?）Port1.2子接口在收到主機C的ARP應答幀后，再次進行數(shù)據(jù)幀封裝，把幀中的目的MAC地址改為主機C的真實MAC地址（其他不變），然后就把主機A發(fā)來的數(shù)據(jù)幀發(fā)送給主機C。這樣主機A之后要發(fā)給C的數(shù)據(jù)幀都先發(fā)送給網(wǎng)關，由網(wǎng)關-Port1.2子接口做三層轉(zhuǎn)發(fā)。

　　主機C與主機A之間的通信原理一樣，最終實現(xiàn)VLAN間的三層互通。

　　3．VLAN Switch方案

　　通過VLAN Switch（VLAN交換）也可以實現(xiàn)不同VLAN間的通信。VLAN交換是一種按照VLAN標簽進行數(shù)據(jù)轉(zhuǎn)發(fā)的技術，需要預先在網(wǎng)絡中的各交換機上建立一條靜態(tài)轉(zhuǎn)發(fā)路徑。當交換機接收到符合轉(zhuǎn)發(fā)條件的VLAN數(shù)據(jù)后，根據(jù)VLAN交換表將報文直接轉(zhuǎn)發(fā)到相應的出接口，無需查看MAC地址表，提高了轉(zhuǎn)發(fā)效率及安全性，可有效地避免MAC地址攻擊及廣播風暴。

　　該方案僅在S7700、S9300、S9300E和S9700等華為高端S系列交換機中支持。

　　VLAN交換功能如下。

　?。?）添加外層VLAN標簽功能，即VLAN Switch stack-vlan功能。

　　（2）在不同接口之間轉(zhuǎn)換外層VLAN標簽，即VLAN Switch switch-vlan功能。

　　VLAN Switch stack-vlan功能與VLAN Stacking（VLAN堆疊，將在下章介紹）功能類似，也是一種針對用戶不同VLAN封裝外層VLAN標簽的二層技術。與VLAN Stacking功能的差異如表6-11所示。

　　表6-11 VLAN Switch功能與VLAN Stacking功能比較

　　VLAN Switch switch-vlan功能與VLAN Mapping（VLAN映射，將在下章具體介紹）功能類似，也可以實現(xiàn)不同VLAN間的通信。與VLAN Mapping功能的差異如表6-12所示。

　　表6-12 VLAN Switch功能與VLAN Mapping功能比較