不同vlan間的通信簡單配置的三種方式解析

　　在劃分VLAN后，不同VLAN之間不能直接進(jìn)行二層通信。如果要實(shí)現(xiàn)VLAN間通信，可以采取以下3種方案之一。

　　1．三層VLANIF接口方案

　　這是一種通過計(jì)算機(jī)網(wǎng)絡(luò)體系結(jié)構(gòu)中第三層（網(wǎng)絡(luò)層）來實(shí)現(xiàn)VLAN間通信的解決方案。每個VLAN都可以配置一個三層VLANIF邏輯接口，而這些VLANIF接口就作為對應(yīng)VLAN內(nèi)部用戶主機(jī)的缺省網(wǎng)關(guān)，通過三層交換機(jī)內(nèi)部的IP路由功能可以實(shí)現(xiàn)同一交換機(jī)上不同VLAN的三層互通，不同交換機(jī)上不同VLAN間的三層互通需要配置各VLANIF接口所在網(wǎng)段間的路由。

　　該方案除S1700系列外，其他所有華為S系列交換機(jī)均支持。

　　在圖6-20所示的網(wǎng)絡(luò)中，Device交換機(jī)上劃分了兩個VLAN：VLAN2和VLAN3。可通過如下配置實(shí)現(xiàn)VLAN間互通。

　?。?）在Device上創(chuàng)建兩個VLANIF接口并配置VLANIF接口的IP地址，但這兩個VLANIF接口對應(yīng)的IP地址不能在同一網(wǎng)段。

　　（2）將各VLAN中的用戶設(shè)備缺省網(wǎng)關(guān)設(shè)置為所屬VLAN對應(yīng)VLANIF接口的IP地址。

　　現(xiàn)在僅以位于VLAN 2中的主機(jī)A向位于VLAN 3中的主機(jī)C發(fā)起通信為例，介紹通過VLANIF接口進(jìn)行VLAN間三層互通的基本原理。具體通信流程如下。

　?。?）在主機(jī)A向主機(jī)C發(fā)送的數(shù)據(jù)包到了網(wǎng)絡(luò)層后，主機(jī)A先將包中的目的IP地址-主機(jī)C的IP地址和自己所在網(wǎng)段進(jìn)行比較。

　?。?）發(fā)現(xiàn)主機(jī)C和自己不在同一個子網(wǎng)，于是主機(jī)A以廣播方式在本子網(wǎng)內(nèi)發(fā)送一個ARP請求幀，其目的是查尋自己的網(wǎng)關(guān)-VLANIF2接口的MAC地址。

　?。?）VLANIF2接口經(jīng)過與ARP請求幀中的目的IP地址進(jìn)行比較，發(fā)現(xiàn)自己的IP地址與其一致，接收該ARP請求幀，然后以單播方式向主機(jī)A返回一個ARP應(yīng)答幀，幀中的源MAC地址即為VLANIF2的MAC地址。

　?。?）在主機(jī)A接收由VLANIF2接口返回的ARP應(yīng)答幀后從中學(xué)習(xí)到了VLANIF2接口的MAC地址。

　　（5）主機(jī)A利用所獲得的網(wǎng)關(guān)VLANIF2接口的MAC地址，重新進(jìn)行數(shù)據(jù)幀封裝，把幀中的目的MAC改為VLANIF2接口MAC地址，目的IP仍為主機(jī)C的IP地址，然后發(fā)送給網(wǎng)關(guān)-VLANIF2接口。

　?。?）Device交換機(jī)在收到該數(shù)據(jù)幀后進(jìn)行三層轉(zhuǎn)發(fā)，發(fā)現(xiàn)幀中的目的IP地址--主機(jī)C的IP地址為直連路由，數(shù)據(jù)幀直接通過該主機(jī)的網(wǎng)關(guān)-VLANIF3接口進(jìn)行轉(zhuǎn)發(fā)。

　?。?）VLANIF3接口作為VLAN 3內(nèi)主機(jī)的網(wǎng)關(guān)，在收到數(shù)據(jù)幀后如果已有主機(jī)C的IP地址與MAC地址映射表，則直接發(fā)送給主機(jī)C，否則VLANIF3接口先在VLAN 3內(nèi)以廣播方式發(fā)送一個ARP請求幀，查尋主機(jī)C的MAC地址。

　?。?）主機(jī)C在收到ARP廣播幀后向VLANIF3接口返回一個ARP應(yīng)答幀。

　?。?）VLANIF3接口在收到主機(jī)C發(fā)來的ARP應(yīng)答幀后再次進(jìn)行數(shù)據(jù)幀封裝，把幀中的目的MAC地址改為主機(jī)C的真實(shí)MAC地址（其他不變），然后把主機(jī)A發(fā)來的數(shù)據(jù)幀發(fā)送給主機(jī)C。這樣主機(jī)A之后要發(fā)給C的數(shù)據(jù)幀都先發(fā)送給網(wǎng)關(guān)，由網(wǎng)關(guān)-VLANIF3接口做三層轉(zhuǎn)發(fā)。

　　主機(jī)C與主機(jī)A之間的通信原理一樣，最終實(shí)現(xiàn)VLAN間的三層互通。

　　2．三層以太網(wǎng)子接口方案

　　三層以太網(wǎng)子接口是一種同時具備三層以太網(wǎng)物理接口和二層以太網(wǎng)物理接口雙重特性的邏輯接口。即它具有三層以太網(wǎng)物理接口的三層路由功能，同時又具有二層以太網(wǎng)物理接口封裝VLAN標(biāo)簽的特性。通過三層以太網(wǎng)子接口就可以實(shí)現(xiàn)不同VLAN間的三層互通，也就是我們通常所說的“單臂路由”，在三層交換機(jī)和路由器中均可實(shí)現(xiàn)。

　　該方案僅5700HI和5710EI子系列、S7700、S9300和S9700系列華為交換機(jī)支持。

　　如圖6-21所示，DeviceA為支持配置子接口的三層設(shè)備，DeviceB為二層交換設(shè)備。LAN通過DeviceB的二層以太網(wǎng)接口與DeviceA的三層以太網(wǎng)接口相連。連接在DeviceB上的用戶主機(jī)被劃分到兩個VLAN：VLAN2和VLAN3。這時可通過如下配置實(shí)現(xiàn)VLAN間互通。

　?。?）在DeviceA與DeviceB相連的三層以太網(wǎng)接口上創(chuàng)建兩個子接口Port1.1和Port1.2，并配置802.1Q封裝與VLAN2和VLAN3分別對應(yīng)。

　　（2）為以上這兩個子接口配置與各自所屬VLAN對應(yīng)網(wǎng)段的IP地址。

　　（3）將DeviceB與DeviceA相連的二層以太網(wǎng)接口類型配置為Trunk或Hybrid類型，并同時允許VLAN2和VLAN3的幀通過。

　　（4）將VLAN 2和VLAN 3中的用戶設(shè)備的缺省網(wǎng)關(guān)設(shè)置為所屬VLAN對應(yīng)三層以太網(wǎng)子接口的IP地址。

　　現(xiàn)在同樣以主機(jī)A向主機(jī)C發(fā)起通信為例介紹三層以太網(wǎng)子接口的VLAN間通信方案的基本原理（其實(shí)基本過程與前面介紹的VLANIF接口VLAN間通信方案是一樣的，只不過這里的網(wǎng)關(guān)是各VLAN所對應(yīng)的子接口）。具體流程如下。

　?。?）在主機(jī)A向主機(jī)C發(fā)送的數(shù)據(jù)包到了網(wǎng)絡(luò)層后，主機(jī)A先將包中的目的IP地址-主機(jī)C的IP地址和自己所在網(wǎng)段進(jìn)行比較。

　　（2）發(fā)現(xiàn)主機(jī)C和自己不在同一個子網(wǎng)，于是主機(jī)A以廣播方式在本子網(wǎng)內(nèi)發(fā)送一個ARP請求幀，其目的是查尋自己的網(wǎng)關(guān)VLAN 2對應(yīng)的Port1.1子接口的MAC地址。

　?。?）Port1.1子接口經(jīng)過與ARP請求幀中的目的IP地址進(jìn)行比較，發(fā)現(xiàn)自己的IP地址與其一致，接收該ARP請求幀，然后以單播方式向主機(jī)A返回一個ARP應(yīng)答幀，幀中的源MAC地址即為Port1.1子接口的MAC地址。

　　（4）主機(jī)A接收由Port1.1子接口返回的ARP應(yīng)答幀后從中學(xué)習(xí)到該子接口的MAC地址。

　?。?）主機(jī)A利用所獲得的網(wǎng)關(guān)Port1.1子接口的MAC地址，重新封裝數(shù)據(jù)幀，把目的MAC地址改為Port1.1子接口MAC，目的IP仍為主機(jī)C的IP地址，然后發(fā)送給網(wǎng)關(guān)Port1.1子接口。

　?。?）DeviceA交換機(jī)在收到該數(shù)據(jù)幀后進(jìn)行三層轉(zhuǎn)發(fā)，發(fā)現(xiàn)其目的IP地址-主機(jī)C的IP地址為直連路由，數(shù)據(jù)幀直接通過該主機(jī)的網(wǎng)關(guān)-VLAN 3對應(yīng)Port1.2子接口進(jìn)行轉(zhuǎn)發(fā)。

　?。?）Port1.2子接口作為VLAN 3內(nèi)主機(jī)的網(wǎng)關(guān)，在收到數(shù)據(jù)幀后如果已有主機(jī)C的IP地址與MAC地址映射表，則直接發(fā)送給主機(jī)C，否則Port1.2子接口先在VLAN 3內(nèi)以廣播方式發(fā)送一個ARP請求幀，查尋主機(jī)C的MAC地址。

　?。?）主機(jī)C在收到ARP廣播幀后向Port1.2子接口返回一個ARP應(yīng)答幀。

　?。?）Port1.2子接口在收到主機(jī)C的ARP應(yīng)答幀后，再次進(jìn)行數(shù)據(jù)幀封裝，把幀中的目的MAC地址改為主機(jī)C的真實(shí)MAC地址（其他不變），然后就把主機(jī)A發(fā)來的數(shù)據(jù)幀發(fā)送給主機(jī)C。這樣主機(jī)A之后要發(fā)給C的數(shù)據(jù)幀都先發(fā)送給網(wǎng)關(guān)，由網(wǎng)關(guān)-Port1.2子接口做三層轉(zhuǎn)發(fā)。

　　主機(jī)C與主機(jī)A之間的通信原理一樣，最終實(shí)現(xiàn)VLAN間的三層互通。

　　3．VLAN Switch方案

　　通過VLAN Switch（VLAN交換）也可以實(shí)現(xiàn)不同VLAN間的通信。VLAN交換是一種按照VLAN標(biāo)簽進(jìn)行數(shù)據(jù)轉(zhuǎn)發(fā)的技術(shù)，需要預(yù)先在網(wǎng)絡(luò)中的各交換機(jī)上建立一條靜態(tài)轉(zhuǎn)發(fā)路徑。當(dāng)交換機(jī)接收到符合轉(zhuǎn)發(fā)條件的VLAN數(shù)據(jù)后，根據(jù)VLAN交換表將報(bào)文直接轉(zhuǎn)發(fā)到相應(yīng)的出接口，無需查看MAC地址表，提高了轉(zhuǎn)發(fā)效率及安全性，可有效地避免MAC地址攻擊及廣播風(fēng)暴。

　　該方案僅在S7700、S9300、S9300E和S9700等華為高端S系列交換機(jī)中支持。

　　VLAN交換功能如下。

　　（1）添加外層VLAN標(biāo)簽功能，即VLAN Switch stack-vlan功能。

　?。?）在不同接口之間轉(zhuǎn)換外層VLAN標(biāo)簽，即VLAN Switch switch-vlan功能。

　　VLAN Switch stack-vlan功能與VLAN Stacking（VLAN堆疊，將在下章介紹）功能類似，也是一種針對用戶不同VLAN封裝外層VLAN標(biāo)簽的二層技術(shù)。與VLAN Stacking功能的差異如表6-11所示。

　　表6-11 VLAN Switch功能與VLAN Stacking功能比較

　　VLAN Switch switch-vlan功能與VLAN Mapping（VLAN映射，將在下章具體介紹）功能類似，也可以實(shí)現(xiàn)不同VLAN間的通信。與VLAN Mapping功能的差異如表6-12所示。

　　表6-12 VLAN Switch功能與VLAN Mapping功能比較