单台交换机上VLAN配置实践

通常，交换机VLAN的管理包括以下3点：

（1）创建VLAN。

（2）将交换机端口划分入VLAN。

（3）同一VLAN内的计算机配置同一网段IP。

假设某学校的机房要用来开展一场竞赛，2人一组共同完成任务，同组内可以资源共享，不同组不能通信。在拓扑图3-1中，共有4台主机连接在交换机的相应端口上，现需要将PC1与PC2分为一组，PC3与PC4分为一组，同组内可以互相访问，不同组间无法互相访问。

图3-1　单台交换机基于端口VLAN划分拓扑图

首先按照图3-1所示拓扑连接设备与计算机，在交换机上进行如下配置。

配置完成后，测试4台PC的连通性，此时PC1和PC2可以通信，PC3和PC4可以通信，VLAN之间的PC都不可以通信，无论它们是否在同一个网段。

创建VLAN使用的命令是“VLAN 编号”，不同的VLAN靠编号来区分，交换机最多能够操作4094个VLAN，可以使用命令“VLAN？”查看范围。为创建的VLAN命名是可选操作，不命名也可以。编号为1的VLAN是默认VLAN，不用创建就存在，不能被删除。VLAN的删除使用命令“no VLAN 编号”，如果尝试删除VLAN 1将会得到下面的错误提示：

交换机二层交换端口有3种模式：Access、Trunk和Hybrid，每个Access Port只能属于一个VLAN，它只传输属于这个VLAN的帧，一般用于连接计算机。默认情况下交换机端口处于Access模式，因此前面对fa0/3和fa0/4端口的配置省略了Access模式配置。可以使用下面命令查看端口的模式。(www.xing528.com)

如果某个交换机端口处于Trunk模式下，使用“switchport access vlan 34”命令时将提示错误。

Trunk port 可以属于多个VLAN，能够接收和发送属于多个VLAN的帧，一般用于设备之间的连接，也可以用于连接用户的计算机。Hybrid 类型的端口可以属于多个VLAN，可以接收和发送多个VLAN的报文，可以用于设备之间连接，也可以用于连接用户的计算机。Hybrid端口和Trunk端口的不同之处在于 Hybrid端口可以允许多个VLAN的报文发送时不打标签，而Trunk端口只允许默认VLAN的报文发送时不打标签。

由于处于Access Port模式的端口只能属于一个VLAN，当需要调整fa0/3端口进入12号VLAN时，只需在fa0/3端口模式下使用“switchport access vlan 12”，fa0/3端口将进入12号VLAN并从34号VLAN中退出。如果在端口配置模式使用“no　switchport　access　vlan”命令，则该端口回到1号VLAN中。

对大量端口进行操作时，可以使用“range”命令，例如，将端口fa0/1～fa0/4，fa0/11～fa0/15和fa0/18共10个端口划分入10号VLAN，无需重复10次单独处理每个端口，使用下面指令更加高效。

交换机是如何实现不同VLAN间不能通信的呢？很简单，交换机中存有一张MAC地址表，通过这张表能够查询到每个端口属于哪一个VLAN，以及网卡地址与VLAN的对应关系。当有数据包到达交换机端口需要进行数据转发时，交换机提取数据包中目的MAC地址字段在表中查询，如果查询到的MAC地址对应的VLAN编号和数据包进入交换机端口所在的VLAN编号相同则说明同属于相同VLAN，可进行数据包转发，否则不转发数据包。使用下列指令可以查看交换机中的MAC地址表。

在较新的操作系统版本RGOS 10.4（3b19）p3中，添加端口到已创建的VLAN中还有另外一种方法，在VLAN配置模式下使用“add”指令，该指令只对Access口有效。例如，创建100号VLAN，并且添加fa0/20至fa0/24端口到此VLAN中的配置如下。

对于两种形式的接口加入VLAN命令，配置生效的原则是后配置的命令覆盖前面配置的命令。