VLAN与三层交换机

目录

1、VLAN的概念及优势

2、VLAN的种类

3、静态VLAN的配置

4、Trunk介绍及配置

5、三层交换机的转发原理

6。三层交换机的配置

7、VRRP概述、术语、状态

8、Master与Backup

9、VRRP工作过程

---

VLAN的概念与优势

广播域概念：

在传统交换式以太网中，所有用户都在同一个局域网中，当网络规模较大时，广播、数据包的数量会急速增加，当广播包的数量占到总量的30%时，网络的传输速度就会明显下降。

特别是当网络设备故障时，就会不停的向网络发送广播，从而导致网络风暴，使网络通讯瘫痪。

分割广播域

• 分割广播域

物理分割、逻辑分割

物理分割：将网络从物理上划分为若干个小网络，在使用能隔离广播的路由设备来将不同的网络连接起来实现通讯。

逻辑分割：将网络从逻辑上划分为若干个虚拟小网络，即VLAN，VLAN工作在OIS参考模型的数据链路层，一个VLAN就是一个交换网络。其中所有用户都在同一个广播域中，各VLAN通过路由设备实现通讯连接。

VLAN的概述：VLAN（Virtual Local Area Network），意思为虚拟局域网。是一组逻辑上隔离的设备用户，这些设备和用户不受物理位置的限制，可根据部门或组进行灵活划分，保障信息安全。同时隔离广播信息提升网络效率。

• VLAN的优势

控制广播、增强网络的安全性、简化网络管理

控制广播：每个VLAN都是一个独立的广播域，这样就减少了广播对网络宽带的占用，提升了网络传输的效率。并且一个VLAN出现了网络风暴不会影响另外一个VLAN

增强网络的安全性：由于只能在同一VLAN内的端口之间交换数据，不同VLAN的端口之间不能直接访问，因此VLAN可以限制个别主机访问服务器等资源。

简化网络管理：一个VLAN可以根据内部职能、对象组或应用将不同地理位置的用户划分为一个逻辑网段，在不改动网络连接的情况下可以任意的将工作站在工作组或子网之间移动。利用VLAN技术，大大减轻了网络管理和维护工作的作用，降低了网络维护的费用。

 VLAN的种类

静态VLAN：基于端口划分静态VLAN

动态VLAN：基于MAC地址划分动态VLAN

VLAN的范围

静态VLAN的配置步骤

1、创建VLAN

2、将交换机的端口加入到相应的VLAN中

3、验证VLAN配置

交换机VLAN的接口类型

access 接口类型：接入模式，一般用于连接计算机或者路由的端口

作用：数据进交换机时，打上VLAN标签，出交换机，脱掉VLAN标签

trunk：中继 一般用于连接交换机与交换机的端口

作用：用于识别可放心行的VLAN标签

hybrid：华为私有协议，华为交换机接口上默认的接口类型

小结：VLAN是逻辑隔离的虚拟局域网

VLAN能隔离广播，提高安全性，简化管理

VLAN分为静态VLAN和动态VLAN两种

静态VLAN有两种配置方式：VLAN数据库和全局配置

Trunk的作用

如何实现交换机之中的VLAN通讯

• 为每个VLAN提供一条链路
• 只是用一条链路，且通过表示来区分不同的VLAN数据

VLAN的标识 

在以太网上实现中继，有两种封装类型

• ISL（Cisco私有标准）
• IEEE 802.1q

ISL帧格式

 IEEE 802.1q的工作原理

IEEE802.1q帧格式 

IEEE802.1q的帧标识（4字节）

2字节标识协议标识符（TPID）包含一个0x8100的固定值，在这个特定的TPID值指明了该帧带有IEEE802.1q的标识信息

2字节标识了控制信息（TCI）包含了下面三个元素

• 3位的用户优先级（Priority）：IEEE802.1q不使用该字段
• 1位的规范格式标识符（CFI）：CFI常用语以太网和令牌环网。在以太网中，CFI值通常设置为0
• 12位VLAN标识符（VLANID）该字段唯一标识了帧所属VLAN。VLAN ID可以唯一的标识4096个VLAN。但是VLAN0和VLAN4095是被保留的。

Trunk的配置

三层交换技术

使用三层技术试验VLAN之间的通讯

三层交换=二层交换+三层转发

三层交换机中有两大硬件设施，分别是：ASIC和CPU

        ASIC主要是完成二层和三层的一个转发功能，它内部有我们二层转发的MAC地址表和IP的三层转发表

当三层设备接收到一个数据帧。会拆除原数据帧，重新封装源MAC地址和目的MAC地址，并且应为帧头部的信息发生了变化，最后帧效验CRC也应当随之而变化。

在这个流中的多个数据包，其中只有第一个数据包是由三层交换机和三层引擎来处理，处理的方式是软件处理，与路由器相同，三层引擎获取了新的二层封装信息后，路由这个数据包。

在第一个数据包完成转发后，在硬件中创建一个MLS条目，用于后续数据包由硬件执行的重新封装和快速转发，2层数据帧会被重新封装为需要转发的下一个网段的帧格式。

这就是MLS一次路由，多次交换的原理

传统的MLS

• 三层转发中要重新封装二层

三层交换机上，第三引擎处理的数据流的第一个包

 VLAN1转发数据给三层交换会封装：源IP VLAN1 IP、目的VLAN2 IP、源MAC VLAN1 MAC目的MAC网关的MAC

三层交换会查看VLAN2的MAC地址，如果有会直接转发数据进行单播，如果没有会进行ARP请求，并且重新封装。

重新封装MAC头部，源IP和目的IP不变，源MAC（三层交换机的MAC、VLAN2网关的MAC）目的MAC VLANMAC

交换机ASIC从三层引擎中获悉2层重写信息和硬件中创建一个MLS条目

负责重写和转发数据流中的后续数据包

基于CEF的MLS

1、CEF是一种基于拓扑转发的模型

• 转发信息库（FIB）
• 邻接关系表

 基于MLS的转发原理

工作原理：

主机A给主机B发送单播数据包

交换机查找FIB表，找到下一跳的地址

查找一条地址对应的邻接关系的二层封装信息

转发

小结：

单臂路由三层交换都可以实现VLAN之间的通信

单臂路由的工作原理：路由器重新封装MAC地址，转为VLANID

三层交换：一次路由，多次交换

一次路由：数据流的第一数据包由三层硬引擎处理，重新封装MAC地址，在路由转发数据包

多次交换：第一个数据包转发后，会在硬件创建一个LMS条目，MLS包含FIB（转发信息库：包含VLANID和主机IP ）、邻接关系表（邻接主机和MAC地址），通过查询FIB和邻接关系表重新封装数据帧，从相应端口转发数据。

三层交换机具有路由功能可以转发数据，IP地址是配置在虚拟接口上而不是物理接口上，物理接口对接交换机的配置Trunk，对接PC机的配置access

VRRP概述

• VRRP（Vritual Router Redundancy Protocol），即虚拟路由冗余协议
• 利用VRRP，一组路由（同一个LAN中的接口）协同工作，但只有一个处于Master状态，处于该状态的路由器承担实际的数据流量转发任务。在一个VRRP组内的多个路由器接口共用一个虚拟IP地址，该地址被作为局域网内所有主机的缺省网关地址。
• VRRP决定了那个路由是Master，Master路由器负责接收发送至用户网关的数据包并进行转发，以及相应PC对于其网关IP地址的ARP请求。
• Backup路由器侦听Master路由器的状态，并在Master路由器发生故障时，接替其工作，从而保证业务流量的平滑切换。
   

VRRP术语

• VRRP路由器

运行VRRP的路由器。一台VRRP路由器（的接口）可以同时参与到多个VRRP组中，在不同的组中，一台VRRP路由器可以充当不同的角色。

• VRRP组

一个VRRP组由多个VRRP路由器组成，使用相同的VRID（Virtual Router ID，虚拟路由器ID）进行标识，属于同一VRRP组的VRRP路由互相交换信息，每一个VRRP组中只能有一个Master。

• 虚拟路由器

对于每一个VRRP组，抽象出来的一个逻辑路由器，该路由器充当网络用户的网关，该路由器并非真实存在，事实上对于用户而言，只需知道虚拟路由器的lP，至于具体的虚拟路由器的角色由谁来承担、数据转发任务由谁来承担、Master故障后谁来接替，这是VRRP的工作。

• 虚拟IP地址、MAC地址

虚拟IP地址就是虚拟路由器的IP地址，该地址实际上就是用户的网关地址。
虚拟MAC地址就是虚拟路由器根据VRID生成的MAC地址。一个虚拟路由器拥有一个虚拟MAC地址，格式为：00-00-5E-00-01-{VRID}

• Master、Backup路由器

Master路由器：在VRRP组中实际转发数据包的路由器，在每一个VRRP组中，仅有Master响应对虚拟IP地址的ARP请求。Master路由器同时以一定的时间间隔发送VRRP消息，以便通知Backup路由器自己的存活情况。
Backup路由器：处于监听状态的路由器，一旦Master路由器出现故障，Backup路由器就开始接替工作。
选举依据：先比较接口VRRP优先级（比大），如果相等，则比较接口的IP地址（比大）。
VRRP状态

 VRRP协议的状态共有三种：分别是lnitialize，Master , Backup，初始状态都是lnitialize，通过优先级产生Master和Backup，在规定时间内，Backup没有收到Master发来的心跳报文，将切换成Master。

Master与Backup

Master路由器：

• 定时（Advertisement Interval）发送VRRP通告报文，以便向Backup路由器告知自己的存活情况。
• 以虚拟MAC地址响应其他设备对虚拟IP的ARP请求。
• 转发目的MAC地址为虚拟MAC地址的报文。
• 如果它是这个虚拟IP地址的拥有者（接口实际IP地址为虚拟IP地址），则接收目的IP地址为这个虚拟IP地址的IP报文。否则，丢弃这个IP报文。
• 如果收到比自己优先级大的报文，立即成为Backup。
• 如果收到与自己优先级相等的VRRP报文且本地接口IP地址小于对端接口IP，立即成为Backup。
   

Backup路由器：

• 接受Master设备发送的VRRP通告报文，判断Master设备的状态是否正常。
• 对虚拟IP地址的ARP请求，不做响应。
• 丢弃目的IP地址为虚拟IP地址的IP报文。
• 如果接收到优先级和自己相同或者比自己大的报文，则重置Master＿Down＿Interval定时器，不进一步比较IP地址。
• 如果收到比自己优先级小的报文且该报文优先级是０时，定时器时间设置为Skew＿time（偏移时间），如果该报文优先级不是０，丢弃报文，立刻成为Master。
   

Master＿Down＿Interval定时器：Backup设备在该定时器超时后仍未收到通告报文，则会转换为Master状态。计算公式如下：Master＿Down＿Interval＝(3＊Advertisement＿Interval)＋Skew＋time。 其中，Skew＿Time＝(256－ Priority)／256。
 

VRRP工作过程

• VRRP组中的设备选举出Master。Master设备通过发送免费ARP报文，将虚拟MAC地址通知给与它连接的设备或主机，从而承担报文转发任务。
• Master设备周期性向备份组内所有Backup设备发送VRRP通告报文。
• 如果Master设备出现故障，VRRP备份组中的Backup设备重新选举新的Master。
• VRRP组状态切换时，Master设备由一台设备切换为另一台设备，新的Master设备会立即发送携带虚拟路由器的虚拟MAC地址和虚拟IP地址信息的免费ARP报文，刷新与它连接的主机或设备中的MAC表项，从而把用户流量引到新的Master设备上来，整个过程对用户完全透明。
• 原Master设备故障恢复时，若该设备为IP地址拥有者（则其优先级为255），将直接切换至Master状态。若该设备优先级小于255，将首先切换至Backup状态，且其优先级恢复为故障前配置的优先级。
• Backup设备的优先级高于Master设备时，由Backup设备的工作方式（抢占方式和非抢占方式）决定是否重新选举Master。
   

小节：

• VRRP组通过vrid来识别的，一个VRRP组可以有多个VRRP路由，其中包含一个Master，一个或者多个Backup
• VRRP会虚拟出一个虚拟路由，包含了虚拟IP和虚拟MAC（有固定格式，00-00-5E-00-01-{VRID}，）虚拟IP要和Master/Backup在同一网段。
• VRRP虚拟IP地址，是用于在VRRP路由器局域网下所有主机的默认网关IP地址
• 一般是通过优先级来决定谁是Master和Backup的角色。优先级较大的一方为Master，如果优先级相同，使用IP较大的一方作为Master，Master实际转发数据和响应局域网主机的ARP请求，定时发送VRRP报文给Backup，Backup用于监听Master发来的VRRP报文，如果超过一定时限，就会抢占Master地位。