VLAN协议详解

一、   为什么要产生VLAN？

冲突域和广播域：

冲突域指的是会产生冲突的最小范围，在同一个冲突域中的每一个节点都能收到所有被发送的帧。冲突域是基于OSI的第一层物理层，第二层的设备如交换机才能隔离冲突域，交换机的每一个端口就是一个冲突域。

广播域：如果站点发出一个广播信号，所有能接收到这个信号的设备范围称为一个广播域。广播域基于OSI的第三层，第三层才能隔离广播域。

一般交换机只能分割冲突域，而不能分割广播域。如果用交换机构造一个大型的网络，将会形成一个巨大的广播域，可能会造成网络拥堵以及安全问题。因此需要一种技术来分割这些广播域。根据路由器子网划分的原理，建立一种VLAN（虚拟局域网）即在逻辑上将广播域划分成几个独立的广播域。每一个VLAN就相当于一个广播域。这样某一个VLAN成员在发送广播域时就只会将数据包发给同一VLAN中的成员，而不会发给其他成员。这样就会减少了网络拥堵的可能，也提高了安全性能。

二、   VLAN原理

VLAN有三种连接方式：access、truck、hybrid。

Access连接：

接收端：

无tag，直接进入并打上端口所属的PVID

有tag，比较与端口是否一致，一致进入，否则丢弃。

发送端：

将标签去掉，直接转发。

Truck连接：

 

接收端：

无tag，直接进入并打上端口所属的PVID   

有tag，判断是否允许转发，允许则进入，否则丢弃。

发送端：

报文所在VLAN与端口PVID一致的，去掉tag转发，不一致的带tag转发。

Hybrid连接：（不常用）

接收端：

无tag，直接进入并打上端口所属的PVID

有tag，判断是否允许转发，允许则进入，否则丢弃。

发送端：

判断该VLAN在本端口的属性是带tag还是不带tag，带的话就带tag转发，不带就去掉tag转发。

只说access和trunk口。交换机对不带tag报文和带tag报文的处理原则：

Access端口：

Access端口的PVID	接收报文的VLAN ID	发送报文的VLAN ID	处理结果
VLAN 2	无		打上VLAN2标记后转发
VLAN 2	VLAN 3		丢弃
VLAN2	VLAN2		在VLAN 2内转发
VLAN 2		VLAN 2	去掉VLAN 2标记后转发
VLAN 2		VLAN 3	丢弃

 

Trunk端口：

Trunk端口的PVID	接收报文的VLAN ID	发送报文的VLAN ID	处理结果
VLAN 1	无		打上VLAN 1标记后在VLAN1内转发
VLAN2	无		打上VLAN 2标记后在VLAN2内转发
VLAN2	VLAN 2端口允许		去掉VLAN2标记转发
VLAN2	VLAN 3端口允许		在VLAN3直接转发
VLAN2	VLAN3端口不允许		丢弃
VLAN2		VLAN 2	去掉VLAN2标记发送
VLAN2		VLAN 3	直接发送

 

三．实验

1、

 

1、PC发出的是不带tag的报文

LSW1的GE1口

2、SW1的GE1口给报文打上VLAN 2的tag，并在VLAN2内转发

LSW1的GE2口:

3、SW1的GE2口允许VLAN2通过，比较报文的VLAN ID是否与端口的PVID相同，不同，不会去掉tag。在VLAN2内转发。

4、同理，LSW2的ge2和LSW3的ge1收到的报文都是上图的带tag的报文。

5、LSW3的GE2口收到报文后查看报文的VLAN ID与自己的相同，允许转发，而且与自己的PVID相同。去掉tag发送给PC。

LSW3的GE2口的报文不带tag：

 

二、

LSW1的GE2的PVID与报文的VLAN ID相同，将tag去掉

交换机2的GE1口会给报文打上vlan 3的tag，在VLAN3内转发。

LSW3的GE2将tag去掉后发送给PC2，当然如果GE 2不在VLAN3则GE2口会直接丢弃该报文。

 

四、   VLAN攻击

1、单tag攻击

思科交换机有一个动态中继协议，默认所有的access口都想成为trunk口，交换机如果连得不是PC，而是交换机，那么端口会立马从access口变为trunk口。这时，攻击者只需要将pc伪造DTP使交换机将pc认为成交换机，交换机就会将access口变为trunk口，这是攻击者只需要给报文加上想要通信的主机所在的VLAN的tag就可以了。

 

2、双tag攻击

交换机伪造报文加上两个tag，如下图：

VLAN 5

VLAN20

 

这样交换机就可以在LSW4的出口会将第一层的标签VLAN5去掉，PC1和PC2就可以通信了。