任务一 虚拟局域网

知识点

1.本项目（虚拟局域网和无线网络）要学什么？

项目导语：虚拟局域网（VLAN） 是一组逻辑上的设备，不受物理位置及连接设备的限制，可以根据功能、部门及应用等因素组织起来，使它们相互之间的通信好像在同一个网段中一样。无线局域网（WLAN） 是一种数据传输系统，利用射频技术用电磁波取代双绞线等有形介质，在空中进行通信连接。小型无线路由器是为计算机、移动终端等设备使用的一种分配器，可通过一条线路（电话线、有线电视线缆、宽带线缆、光纤等）让多台设备共享账号同时上网——这是目前小型办公室、尤其是家庭上网最常用的方式。

目标类别	内容
知识目标	① 了解虚拟局域网的作用；② 理解基于 MAC 地址、IP 地址、交换机端口等的 VLAN 划分；③ 熟悉 VLAN 的各种应用场景；④ 了解无线局域网的发展过程；⑤ 理解 802.11 标准及常用的子标准；⑥ 熟悉无线局域网的组网模式；⑦ 了解无线路由器的作用；⑧ 理解无线路由器各个接口的使用方法；⑨ 熟悉对无线路由器进行安全设置的途径
能力目标	① 掌握 VLAN 帧格式的特殊性；② 了解交换机对 VLAN 帧的分析与转发过程；③ 掌握 802.11 标准及其所处的层次；④ 了解 802.11 子标准的应用环境；⑤ 掌握组建无线路由器网络的连接方法；⑥ 掌握对无线路由器进行安全设置的项目；⑦ 了解不同加密方法加密效果的差异
素质目标	① 规范学生对于 VLAN 和 VLAN 数据帧格式的认识；② 通过对 VLAN 数据帧格式的学习，增强对数据通信协议及协议分析的理解；③ 规范学生对于各种无线局域网标准的理解与认识；④ 通过对非以太网络的学习，增强学生对于异构网络的理解；⑤ 规范学生对于无线路由器使用的各方面认识；⑥ 通过对无线路由器工作过程的认识，增强学生使用其进行实际网络连接的动手能力

本任务对应教材 177–181 页，解决一个问题：怎样在一堆物理互联的交换机上，切出一块块互不干扰的逻辑网络。

2.为什么需要 VLAN？——以太网的两个问题

由于以太网技术的普及，从小型办公网到大型园区网大都采用以太网。但在实际应用中，以太网存在两个问题：

问题	具体表现	后果
① 广播域过大	早期用集线器互联的共享式办公网中，所有节点位于同一广播域及同一冲突域；任意两节点通信时数据被广播到所有其他节点，其他节点只能等本次通信完成后才能发送	带宽资源和主机处理能力大量浪费。改用交换机做逻辑划分能解决冲突域，但不能克服广播域问题——一个 ARP 广播包会被交换机转发到与其相连的所有网段
② 逻辑工作组被物理位置绑死	传统以太网中，同一个物理网段中的节点就是一个逻辑工作组，不同物理网段的节点不能直接互访	用户移动位置但仍要属于原逻辑工作组时，就得重新连接甚至重新布线

广播风暴：当网络上存在大量广播包时，不仅浪费带宽，还会因过量广播产生"广播风暴"；网络规模越大越严重，并可能因此导致网络瘫痪。

为解决上述两个问题，虚拟局域网技术应运而生。VLAN 以局域网交换机为基础，通过交换机软件实现，根据功能、部门、应用等因素将设备或用户组成虚拟工作组或逻辑网段，最大特点是组成逻辑网时无需考虑用户或设备在网络中的物理位置，且 VLAN 可以在一个交换机或者跨交换机实现。

时间节点：1996 年 3 月，IEEE 802 委员会发布了 IEEE 802.1q VLAN 标准，对虚拟局域网技术进行了规范。

考点提示：交换机解决冲突域，VLAN 解决广播域——这是本任务最核心的一句话，也是几乎所有 VLAN 考题的出发点。

3.IEEE 802.1q 给出的定义

在 IEEE 802.1q 标准中，虚拟局域网的定义是：

虚拟局域网是由一些局域网网段构成的与物理位置无关的逻辑组，而这些网段具有某些共同的需求。每一个 VLAN 中节点发出的帧都有一个明确的标识符，用来指明发送这个帧的工作站所属的 VLAN。

定义里三个要点：

1. 成员是"网段"，不是单台主机；
2. 分组依据是"共同的需求"（部门、功能、应用），与物理位置无关；
3. 每个帧都带标识符——这是 VLAN 能在数据链路层"认人"的技术基础。

重要判断：利用以太网交换机可以很方便地实现虚拟局域网。虚拟局域网其实只是局域网给用户提供的一种服务，而并不是一种新型局域网。

两个必须分清的概念（教材"说明"栏原文）：

概念	定义	关键词
广播域	在一个广播式的网络中，一个节点发出的数据帧能够被广播到的节点范围	范围由逻辑决定，VLAN 就是用来切小它
冲突域	也称为共享域。在竞争使用公共传输介质的网络（如以太网）中，一个节点发出的数据帧可能与其他节点的发送产生冲突的范围	范围由共享介质决定，交换机/网桥用来隔断它

4.图 6-9：一次看清"物理位置"与"VLAN"的关系

图中一共 4 台交换机、9 个工作站，分布在 3 个楼层，构成 3 个局域网段：

局域网段（按楼层）	成员	位置
LAN-1	Gp1、Gs1、Gt1	一层（或第一台交换机）
LAN-2	Gp2、Gs2、Gt2	二层
LAN-3	Gp3、Gs3、Gt3	三层

但这 9 个用户按工作组重新划分，得到 3 个 VLAN：

VLAN（按工作组）	成员	特点
VLAN1	Gp1、Gp2、Gp3	纵向跨三个楼层，"P"组
VLAN2	Gs1、Gs2、Gs3	纵向跨三个楼层，"S"组
VLAN3	Gt1、Gt2、Gt3	纵向跨三个楼层，"T"组

这个例子要说明的两句话（考试常考）：

• 当 Gp1 向工作组内成员发送数据时，Gp2 和 Gp3 会收到广播信息——尽管它们没有连在同一台交换机上；
• 但 Gs1 和 Gt1 不会收到 Gp1 发出的广播信息——尽管它们连在同一台交换机上。

一句话记住：VLAN 让"同一交换机上的不同端口"互相隔离，让"不同交换机上的同组成员"互相连通——连不连通看 VLAN 号，不看插在哪个口。

5.采用 VLAN 后的三大好处

采用 VLAN 后，在不增加设备投资的前提下，可在许多方面提高网络性能并简化网络管理：

（1）简化了网络管理

• 一方面，可以不受网络用户的物理位置限制，而根据用户需求进行网络管理；
• 另一方面，VLAN 可在单个交换设备或跨多个交换设备实现，大大减少在网络中增加、删除、移动用户时的管理开销：
  • 增加用户：只要将其所连接的交换机端口指定到其所属的 VLAN 中；
  • 删除用户：只要将其从 VLAN 配置中删除；
  • 移动用户：只要还能连接到任何交换机的端口，则无需重新布线。

（2）提高了网络的安全性

• VLAN 的数目、每个 VLAN 中的用户和主机由网络管理员决定；
• 管理员通过把可以相互通信的节点放在一个 VLAN 内，或把受限的应用和资源放在一个安全的 VLAN 内，并提供基于应用类型、协议类型、访问权限等不同策略的访问控制表，就能有效限制广播域或冲突域的大小。

（3）提供了一种控制网络广播的方法

• 通过划分不同 VLAN，一个 VLAN 中的广播不会影响其他 VLAN 的性能；
• 即使是同一交换机上的两个相邻端口，只要不在同一个 VLAN，相互之间也不会传递广播流量；
• 这种配置大大减少广播流量、提高用户可用带宽，弥补了网络易受广播风暴影响的弱点；
• 它也是比"用路由器在集线器间阻隔广播"更灵活有效的方法。

考点提示：VLAN 的三大作用 = 简化管理 + 提高安全 + 隔离广播。注意第三条的对比对象是路由器——路由器用物理接口隔广播，VLAN 用逻辑划分隔广播。

6.VLAN 的帧格式（802.3ac）

IEEE 802.3ac 标准定义了虚拟局域网中的以太网帧格式。做法是：在传统以太网帧格式中插入一个 4 字节的标识符，位置在以太网 MAC 帧的源地址字段和长度（或类型）字段之间，称为 VLAN 标记，用来指明发送该帧的工作站属于哪一个 VLAN。

图 6-10 的帧结构对照：

帧类型	字段顺序
标准以太网帧	DA（6）→ SA（6）→ Type（2）→ Data（46~1500）→ CRC（4）
加入 VLAN 标记的帧	DA（6）→ SA（6）→ Tag（4） → Type（2）→ Data（46~1500）→ CRC（4）

4 字节 VLAN 标记的内部结构：

字段	长度	说明
802.1q 标记类型	2 字节	作用与原来的类型字段相同，但总是设置为 0x8100
用户优先级（Priority）	3 比特	共 8 级，用于区分业务优先级
规范格式指示符（Canonical Format Indicator，CFI）	1 比特	指示 MAC 地址是否为规范格式（以太网取 0）
VLAN 标识符（VID）	12 比特	指出该以太网帧属于哪一个 VLAN，可表示 4096 个 VLAN（有效 1~4094）

其中 0x8100 后面的 2 字节（即优先级 + CFI + VID）称为帧控制信息 TCI（Tag Control Information）字段。

交换机识别 VLAN 标记的过程：

1. 数据链路层检测到 MAC 帧源地址字段后面的长度（或类型）字段的值是 0x8100；
2. 就知道现在插入了 4 字节的 VLAN 标记；
3. 于是检查该标记后两个字节的内容——前 3 比特是用户优先级，接着 1 比特是 CFI，最后 12 比特是 VID。

帧长的变化：因为用于 VLAN 的以太网帧首部增加了 4 个字节，所以在 VLAN 中以太网帧的最大长度从原来的 1518 字节变为 1522 字节。

考点提示：三个数字必背——标记 4 字节、类型值 0x8100、帧长 1518 → 1522。VID 只有 12 位，所以理论上限是 2 的 12 次方 = 4096 个 VLAN。

7.VLAN 的三种类型

常见的 VLAN 有 3 种：基于交换机端口的 VLAN、基于节点 MAC 的 VLAN 和 基于网络层的 VLAN。

（1）基于交换机端口的 VLAN

• 做法：按照交换机的端口进行分组，将每一分组定义为一个虚拟局域网；
• 范围：分组中的交换机端口可以在一台交换机上，也可以跨越多个交换机；
• 限制：不能在给定的端口上支持一个以上的 VLAN（每个端口只能属于一个 VLAN）；
• 举例：
  • 1 号交换机的端口 1、2 以及 2 号交换机的端口 4、5、6、7 上的计算机组成虚拟局域网 A；
  • 1 号交换机的端口 3、4、5、6、7、8 和 2 号交换机的端口 1、2、3、8 上的计算机组成虚拟局域网 B；
• 优点：简单、容易实现；从一个端口发出的广播直接发送到 VLAN 内的其他端口，便于直接监控；
• 缺点：使用不够灵活——当用户从一个端口移动到另一个端口时，网络管理员必须重新配置虚拟局域网成员。

（2）基于节点 MAC 的 VLAN

• 做法：要求交换机对节点的 MAC 地址和交换机端口进行跟踪；新节点入网时按需要将其划归至某一 VLAN（通过定义 VLAN-MAC 对应表）；
• 优点：无论工作站在网络中怎样移动，由于 MAC 地址保持不变，故不需重新配置 VLAN；减少了网络管理员的日常维护工作量；
• 缺点：
  • 所有终端必须被明确分配在一个具体的 VLAN，任何时候增加工作站或更换网卡，都要对 VLAN 数据表进行调整，以实现动态跟踪；
  • 一开始必须用人工配置 VLAN 的方法，在非常大的网络中缺点非常明显——几千个用户必须逐个分配到各自特定的 VLAN 中；
• 改进：已有根据网络当前状态生成 VLAN 的工具软件，可搜索网络内各节点的 MAC 地址，由管理员指定其所在的虚拟局域网。

（3）基于网络层的 VLAN

• 又叫：基于策略的划分；
• 地位：这几种划分方式中最高级也是最复杂的；
• 依据：使用协议（如果网络中存在多协议）或网络层地址（如 TCP/IP 中的网络地址）来确定网络成员；
• 三点优势：
  1. 可以按传输协议划分虚拟局域网；
  2. 用户可以在网络内部自由移动，管理员不必进行任何配置更改；
  3. 这种类型的虚拟网可以改善由于协议转换而造成的网络延迟。

三种类型对比表：

划分方式	依据	灵活性	维护成本	典型缺点
基于端口	交换机端口号	差（换口就要重配）	低（配置最简单）	用户移动后必须重新配置
基于 MAC	MAC 地址	较好（地址不变就能跟随）	中（需维护 VLAN-MAC 表）	换网卡/新增工作站要改表；大网需逐个分配
基于网络层	协议 / IP 网络地址	最好（移动免配置）	高（最复杂）	处理层次高、开销大

考点提示：题干出现"最简单、最常用"→ 基于端口；出现"最高级、最复杂、基于策略"→ 基于网络层；出现"用户移动无需重新配置"→ 基于 MAC（或基于网络层，注意题干的"人工配置表"提示词）。

8.VLAN 的三个应用场景

（1）局域网内部的局域网（部门隔离）

很多企业已有相当规模的局域网，如果因保密或其他原因要求各业务部门或课题组独立组成一个局域网，且人员不一定在同一地点办公、各网络之间不允许互相访问，建立 VLAN 或许是最好的解决方法。

实施步骤：先收集各部门/课题组的人员组成、所在位置、与交换机连接的端口等信息 → 根据部门数量对交换机进行配置 → 创建虚拟局域网。效果：同一部门（课题组）内部可互访资源，不同部门之间不能相互通信。

（2）共享访问——访问共同的接入点和服务器（写字楼/酒店场景）

大型写字楼或商业建筑（酒店、展览中心等）常把大楼出租给各个单位，大楼内部已建好局域网，提供网络平台并通过共同出口访问 Internet 或大楼内部的综合信息服务器。客户既有物业管理人员，也有其他不同单位的客户。既要满足各单位对网络的需求，又要保证各企业间信息的独立性。

VLAN 的解决办法：管理员为入驻企业各创建一个独立的 VLAN，保证企业内互访、企业间独立；然后利用中继技术，把提供接入服务的代理服务器或路由器所对应的局域网接口配置成中继模式，从而实现共享接入。附带好处：可根据需要设置中继的访问许可，灵活地允许或拒绝某个 VLAN 的访问。

（3）交叠虚拟局域网（临时工作组）

交叠 VLAN 是在端口划分 VLAN 的基础上提出来的——最早的交换机每一个端口只能属于一个 VLAN，而交叠 VLAN 允许一个交换机端口同时属于多个 VLAN。

这种技术可以解决一些突发的、临时性的 VLAN 划分需求。例如某科研机构已划分了若干个 VLAN，但因某个科研任务，要从各个 VLAN 中抽调技术人员临时组成课题组，要求：课题组内部通信自如，同时各科研人员还要保持和原来 VLAN 的信息交流。

• 如果用路由 + 访问列表控制技术，成本较大，同时会降低网络性能；
• 用交叠技术只需：把要加入课题组的人员所对应的交换机端口设置成支持多个 VLAN → 创建一个新 VLAN → 把所有人员划分到新 VLAN 中，同时保持各人员原来所属 VLAN 不变即可。

三个场景一句话对照：

场景	需求本质	技术要点
部门隔离	部门内部通、部门之间不通	按部门建 VLAN，按端口划成员
共享接入	共用出口，但彼此独立	各企业独立 VLAN + 中继模式（Trunk）
交叠 VLAN	临时跨组，新旧归属都要保留	一个端口同时属于多个 VLAN

9.任务实施（教材要求的检索与实训）

1. 启动计算机，在搜索工具中以"虚拟局域网"为关键词进行搜索；
2. 浏览搜索结果中关于虚拟局域网组网方法的叙述，如按端口、MAC 地址、IP 地址组网；
3. 搜索虚拟局域网的实现方法及帧结构；
4. 按照《计算机网络基础综合模拟实训》中"项目二十六 VLAN 综合实验"的内容，通过对交换机的设置实现 VLAN 功能。

10.本任务速查表

考点	结论
VLAN 解决的问题	广播域（交换机解决冲突域）
标准与时间	IEEE 802.1q，1996 年 3 月
VLAN 的本质	局域网提供的一种服务，不是新型局域网
帧格式标准	IEEE 802.3ac
标记位置	SA 与 Type 之间，共 4 字节
标记类型值	0x8100
TCI 组成	优先级 3 位 + CFI 1 位 + VID 12 位
帧长变化	1518 → 1522 字节
VLAN 数量上限	4096（VID 12 位）
划分方式	端口 / MAC / 网络层（三种）
端口方式限制	一个端口只能属于一个 VLAN（交叠 VLAN 例外）
三大好处	简化管理、提高安全、控制广播
三种应用	部门隔离、共享接入、交叠 VLAN