ＶＬＡＮ技術在校園網中的應用

摘要：校園網絡中實施VLAN技術可以提高網絡管理效率、性能、帶寬及靈活性，同時還能控制廣播風暴，提高校園網安全性能。該文對VLAN技術在網絡構建中的應用作了介紹。

關鍵詞：VLAN；校園網；路由

中圖分類號：TP311文獻標識碼：A 文章編號：1009-3044(2008)30-0745-02

The Application of VLAN Technology to Campus Network

WEI Lin

(School of Computer Science， Xihua Normal University， Nanchong 637002，China)

Abstract: On the campus network the implementation of the VLAN technology can enhance the network management efficiency， the performance， the band width and the flexibility， meanwhile can control the broadcast storm， enhance the campus net security performance. This article introduces the VLAN technology applied in the network construction.

Key words: VLAN; campus network; routing

1 引言

隨著計算機和網絡技術的日漸普及，各高校紛紛建立了自己的校園網絡。并且隨著各種校園管理和教學軟件的應用，校園網已逐漸成為教學、管理及交流的重要平臺。因此高等學校必須建設一個高質量、高速度且安全良好的校園網絡以滿足教學、科研、行政等需求。隨著高校網絡用戶的迅速增加，對網絡性能和網絡管理提出了更高的要求。目前高校網絡一般采用分層次設計模型，并采用VLAN技術。VLAN技術使不同部門之間的信息得到有效保護，提高了網絡性能，增強了網絡安全性。

2 VLAN技術概述

2.1 VALN技術簡介

VLAN（Virtual Local Area Network）即“虛擬局域網”，VLAN是指在交換局域網的基礎上，采用網絡管理軟件構建的可跨越不同網段，不同網絡的端到端的邏輯網絡。它可以不考慮用戶的物理位置，而根據功能，應用等因素將用戶從邏輯上劃分為一個個功能相對獨立的工作組。VLAN與傳統網絡最本質的區別就在于不受網絡用戶的物理位置限制，它將局域網內的設備邏輯地劃分成一個個網段，從而實現虛擬工作組，網絡用戶就可以越過地域障礙，像在一個局域網中那樣快速、安全地通信。因此，對于用戶而言，其面對的就是一個邏輯而非物理位置上的局域網。

2.2 VALN的技術優點

1）提高網絡整體安全性：傳統的校園網大多為共享式局域網，很難保證網絡的安全性，這是因為只要用戶插入一個活動端口，就能訪問和監聽整個網段。VLAN能通過路由訪問列表和MAC地址分配等VLAN劃分原則，可以控制用戶訪問權限和邏輯網段大小，將不同用戶群劃分在不同VLAN中，限制個別用戶的訪問權限，嚴格控制廣播組的大小和位置，甚至能鎖定某臺設備的MAC地址，因此VLAN能提高整個校園網的性能，確保網絡的安全性。

2）提高了網絡管理效率：網絡管理員能借助VLAN技術輕松管理整個網絡。例如需要為多個校區建立一個協作網絡，網絡管理員只需設置幾條命令，就能在幾分鐘內建立該項目的VLAN網絡，其成員使用VLAN網絡，就像在本地使用局域網一樣。

3）隔離廣播：劃分虛擬局域網后，所有廣播將局限在本VLAN內，從而有效地提高了網絡整體的有效帶寬，隔絕了網絡的廣播風暴。

4）降低管理成本：

如果使用了VLAN，當一臺計算機從一個子網轉移到另一個子網，遷移的工作只是在交換機上重新定義VLAN即可。尤其是采用網卡的MAC地址來劃分VLAN時，交換機能夠自動跟蹤該終端的MAC地址，并自動將其納入定義的VLAN中，減輕網絡管理負擔。

3 VLAN的劃分方式

VLAN的工作方式有以下幾種。

1）基于端口：這種方式是把局域網交換機的某些端口的集合作為VLAN的成員。VLAN的管理應用程序根據交換機端口的標識ID，將不同的端口分到對應的分組中。這種VLAN方式簡單，容易實現，也便于直接監控，但自動化程度低，缺乏靈活性。

2）基于MAC地址：這種方式的虛擬局域網，交換機對終端的MAC地址和交換機端口進行跟蹤，在新終端入網時根據已經定義的虛擬局域網——MAC對應表將其劃歸至某一個虛擬局域網，由于其MAC地址保持不變，故終端在網絡中移動時，不需對VLAN重新配置。其缺點是初始化會耗費大量的配置時間。而且這種劃分的方法也導致了交換機執行效率的降低，在每一個交換機的端口都可能存在很多個VLAN組的成員，無法限制廣播包。

3）基于第三層的VLAN劃分：路由協議工作在網絡層，相應的工作設備有路由器和路由交換機(即三層交換機)。基于路由的VLAN允許一個VLAN跨越多個交換機，或一個端口位于多個VLAN中。該方式是采用在路由器中常用的方法:IP子網和IPX網絡號等。其中，局域網交換機允許一個子網擴展到多個局域網交換端口，甚至允許一個端口對應于多個子網。

4）根據IP組播劃分VLAN：IP 組播實際上也是一種VLAN的定義，即認為一個組播組就是一個VLAN，這種劃分的方法將VLAN擴大到了廣域網，因此這種方法具有更大的靈活性，而且也很容易通過路由器進行擴展。這種方法適合與大型的園區網絡。

5）基于策略的VLAN：基于策略組成的VLAN能實現多種分配方法，包括VLAN交換機端口、MAC地址、IP地址、網絡層協議等。網絡管理人員可根據自己的管理模式和本單位的需求來決定選擇哪種類型的VLAN 。

各種劃分方法原理和側重點不同，所達到的效果就不盡相同。目前在網絡產品中融合多種劃分VLAN的方法，以便根據實際情況尋找最合適的途徑。

4 VLAN的實現

4.1 整體規劃

針對高校運作特點，可按職能部門劃分，將整個校園網劃分為5個VLAN：網絡中心、行政辦公、財務、圖書館、宿舍，劃分時要注意合理規劃，避免VLAN范圍的過大或過小。

4.2 方案設計

VLAN的設計應以實用性、靈活性、安全性、效率性與業務應用需要為原則，既要符合當前的需要，又要考慮到今后的發展，并且具有較好的可操作性。在VLAN劃分方案的選擇上，考慮到校園中計算機數量較多，若采用基于MAC地址來劃分VLAN，工作量將是非常巨大；而基于IP地址的劃分策略，則可能會出現用戶盜用IP地址的情況。在校園網中，網絡節點相對比較固定，移動用戶較少，所以總體上采用基于端口劃分VLAN。把不同部門、不同業務的工作站劃分到不同的VLAN中，并隔離學生用機與辦公樓的連接，從而保證校園網絡安全、通暢、高效的運行。

4.3 VLAN配置

1）IP地址配置：按照以上分析，校園網適合采用了基于端口的VLAN劃分方式。5個VLAN網絡的IP地址分配如表1所示。

2）設置VTP：VTP(VLAN Trunking Protocol)通過網絡保持VLAN配置統一性。VTP在系統級管理增加、刪除、調整的VLAN，自動地將信息向網絡中其它的交換機廣播。

3）配置中繼：交換機能夠支持多種介質作為中繼線，為了實現中繼可使用其特有的標簽。標簽是一個在交換機之間、交換機與路由器之間及交換機與服務器之間傳遞多個VLAN信息及VLAN數據流的協議，通過在交換機直接相連的端口配置相應的封裝，即可跨越交換機進行整個網絡的VLAN分配和進行配置。

4）訪問控制列表設置：如果在兩個VLAN之間建立了路由，那么在默認情況下，交換機允許所有流量通過。如果我們希望建立一些訪問控制條件，如財務網絡中心VLAN可以訪問宿舍VLAN，而宿舍VLAN不能訪問網絡中心VLAN，那么通過訪問控制列表就可以建立這種關系。

5 結束語

隨著VLAN技術的日趨完善，為傳統校園網的升級改造提供了一種可行的方法。在校園網的構建中，通過VLAN技術，減少了數據被竊聽的可能，極大地增強了網絡的安全性；通過把網絡分成邏輯上的不同廣播域，限制了某個局域網只與同一個VLAN的其它局域網互相連，避免浪費帶寬，簡化了網絡的管理，提高了校園網的可管理性、靈活性和安全性。

參考文獻：

[1] STANENBAUM A.計算機網絡[M].熊桂喜，王小虎，譯.北京:清華大學出版社，2001.

[2] 陸魁軍.計算機網絡工程實踐教程[M].北京：清華大學出版社，2005.

[3] 王保順.校園網設計與遠程教學系統開發[M].北京:人民郵電出版社，2003.

[4] 魏大新.Cisco網絡技術教程[M].北京:北京電子工業出版社，2004.

注：本文中所涉及到的圖表、注解、公式等內容請以PDF格式閱讀原文