VLAN相关学习视频：超简单的【思科交换机Vlan配置】https://www.zhihu.com/zvideo/1446489190669803520https://www.zhihu.com/zvideo/1446489190669803520 

通过划分VLAN实现用户二层隔离

1.1 基于接口的VLAN划分

如图 1 所示，某商务楼内有多家公司，为了降低成本，多家公司共用网络资源，各公司分别连接到一台二层交换机的不同接口，并通过统一的出口访问Internet。

图 1 基于接口的VLAN划分组网图

为了保证各公司业务的独立和安全，可将每个公司所连接的接口划分到不同的VLAN，实现公司间业务数据的完全隔离。可以认为每个公司拥有独立的“虚拟路由器”，每个VLAN就是一个“虚拟工作组”。

1.2 基于MAC的VLAN划分

如图 2 所示，某公司有两处办公区域，分别通过接入交换机Switch_2和Switch_3接入公司网络，公司部门员工因工作原因经常往来两地办公。

图 2 基于MAC的VLAN划分组网图

为了保证员工在改变办公地点后，仍然能够访问公司的网络资源（如服务器），可在Switch_2和Switch_3上分别配置基于MAC地址划分VLAN。这样，只要User_1的MAC地址不变，User_1改变接入位置时，划分的VLAN不变，就继续能够访问公司的网络资源。

1.3 基于IP子网的VLAN划分

如图 3 所示，某公司有两个部门：部门1和部门2，分别分配了固定的IP网段。为加强员工间的学习与交流，员工的位置有时会相互调动，但公司希望各部门员工访问的网络资源的权限不变。

图 3 基于IP的VLAN划分组网图

为了保证部门内员工的位置调整后，访问网络资源的权限不变，可在公司的中心交换机上配置基于IP子网划分VLAN。这样，服务器的不同网段就划分到不同的VLAN，访问服务器不同应用服务的数据流就会隔离，提高了安全性。

根据属于不同VLAN的用户互通时需要跨越的三层设备数，通过VLANIF实现VLAN间三层互访主要有两种场景：同设备三层互访和跨设备三层互访。

2.1 同设备三层互访

如图 4 所示，某小型公司的部门1和部门2分别通过二层交换机接入到一台三层交换机Switch，所属VLAN分别为VLAN2和VLAN3，部门1和部门2的用户互通时，需要经过一台三层交换机Switch。

图 4 通过VLANIF实现同设备三层互访组网图

可在Switch_1和Switch_2上划分VLAN并将VLAN透传到Switch上，然后在Switch上为每个VLAN配置一个VLANIF接口，实现VLAN2和VLAN3间的路由。

2.2 跨设备三层互访

如图 5 所示，某大中型公司的部门1和部门2之间跨越两台或多台三层交换机，所属VLAN分别为VLAN2和VLAN3，部门1和部门2的用户互通时，需要经过两台或多台三层交换机。

图 5 通过VLANIF实现跨设备三层互访组网图

可在二层交换机上划分VLAN并将VLAN透传到三层交换机；在三层交换机Switch_1和上Switch_2为每个用户VLAN配置一个VLANIF接口，并为互联VLAN配置VLANIF接口；在其他三层设备上为互联VLAN配置VLANIF接口。除此以外，还需要在Switch_1和上Switch_2之间配置静态路由或运行动态路由协议（跨两台以上三层交换机时，建议运行动态路由协议）。

通过流策略实现VLAN间互访控制

如图 6 所示，为了通信的安全性，某公司将访客区、员工区、服务器区分别划分到VLAN10、VLAN20、VLAN30中。公司希望员工、服务器主机、访客均能访问Internet，但访客不能与员工互通，且只能访问服务器区的服务器_1。

图 6 通过流策略实现VLAN间互访控制组网图

在公司中心交换机Switch上配置VLANIF10、VLANIF20、VLANIF30、VLANIF100，并配置到Router的路由后，员工、服务器主机、访客均能访问Internet，且员工、服务器主机、访客之间能够互相访问。为了控制访客的访问，可在Switch上配置流策略，匹配规则如下：

• ACL规则1：禁止源IP为访客的IP网段，目的IP为员工所在的IP网段。

• ACL规则2：允许源IP为访客的IP网段，目的IP为服务器_1的IP，禁止源IP为访客的IP网段，目的IP为服务器所在的IP网段。

• ACL规则3：禁止源IP为员工的IP网段，目的IP为访客所在的IP网段。

• ACL规则4：禁止源IP为服务器的IP网段，目的IP为访客的所在的IP网段。

然后在Switch连接访客区的接口的入、出方向上应用该流策略，即可使访客不能与员工互通，且只能访问服务器区的服务器_1。

为降低成本，多数企业内部使用交换机互联，而通过出口路由器与外部ISP网络建立连接，如图 7所示。

图 7 交换机与路由器互联示意图

为了能够访问外部ISP网络，核心交换机（三层）与出口路由器之间需要三层互通。由于多数三层交换机不支持路由接口或支持的路由接口有限，一般通过配置VLANIF接口作为三层接口与出口路由器的三层子接口实现三层互联，然后配置静态路由或运行动态路由协议，实现核心交换机与出口路由器之间的三层互通。

一、新建项目

在这里打开思科模拟器即可

二、搭建网络拓扑

1. 创建交换机

在创建好项目以后进行网络拓扑的搭建，在这里首先创建两个交换机

2. 连通交换机

在创建好交换机后将两个交换机通过交叉线进行连通

3. 创建主机

在创建好主机后，接下来要做的是使用直通线将主机和交换机进行连通

4. 连通主机与交换机

同样再使用直通线将其余主机与交换机进行连接

1. 主机PC0接交换机Siwtch0的1口
2. 主机PC1接交换机Siwtch0的2口
3. 主机PC2接交换机Siwtch1的1口
4. 主机PC3接交换机Siwtch1的2口

连接好后如图所示：

三、配置地址

1. 配置主机IP地址

要想ping通，首先要让每一台主机有自己的IP地址

使用相同的方法将其余三台主机的IP地址进行配置

2. 配置交换机地址

在配置好主机的IP地址后接着进行交换机地址的配置，在这里我们使用命令来进行配置

1. 在命令行界面中输入enable或en进入到特权模式
2. 当出现#符号后说明进入了命令行模式，之后输入configure进入配置模式后回车
   

①. 创建VLAN2

1. 输入vlan 2命令创建vlan2
2. 创建好vlan2后输入name vlan2命令对vlan2进行重命名
3. 在重命名后输入exit退出局域网配置模式
4. 输入interface f0/1命令对f0/1接口进行配置
5. 输入switchport mode access命令将f0/1接口更改为access模式
6. 输入switchport access vlan 2命令将f0/1接口分配给vlan2
7. 执行exit退出对vlan2的配置

③. 创建VLAN3

我们创建好一个vlan2后继续创建一个vlan3，仍然是同样的步骤进行配置，此时要将f0/2接口的使用权交给vlan3

1. 输入vlan 3命令创建vlan3
2. 创建好vlan3后输入name vlan3命令对vlan3进行重命名
3. 在重命名后输入exit退出局域网配置模式
4. 输入interface f0/2命令对f0/2接口进行配置
5. 输入switchport mode access命令将f0/2接口更改为access模式
6. 输入switchport access vlan 3命令将f0/2接口分配给vlan3
7. 执行exit退出对vlan3的配置

③. 配置f0/3为Trunk模式

在配置好当前交换机的vlan2和vlan3后还需要将连接两个交换机的f0/3接口配置为Trunk模式

1. 输入interface f0/3命令配置f0/3接口
2. 输入switchport mode trunk命令将当前f0/3口配置为Trunk模式

3. 配置另一台交换机

对另一台交换机使用相同的步骤进行配置即可，怎样打开另一台交换机的命令界面并进入到特权模式进行配置这里不再进行赘述

①. 创建VLAN2

1. 输入vlan 2命令创建vlan2
2. 创建好vlan2后输入name vlan2命令对vlan2进行重命名
3. 在重命名后输入exit退出局域网配置模式
4. 输入interface f0/1命令对f0/1接口进行配置
5. 输入switchport mode access命令将f0/1接口更改为access模式
6. 输入switchport access vlan 2命令将f0/1接口分配给vlan2
7. 执行exit退出对vlan2的配置

②. 创建VLAN3

我们创建好一个vlan2后继续创建一个vlan3，仍然是同样的步骤进行配置，此时要将f0/2接口的使用权交给vlan3

1. 输入vlan 3命令创建vlan3
2. 创建好vlan3后输入name vlan3命令对vlan3进行重命名
3. 在重命名后输入exit退出局域网配置模式
4. 输入interface f0/2命令对f0/2接口进行配置
5. 输入switchport mode access命令将f0/2接口更改为access模式
6. 输入switchport access vlan 3命令将f0/2接口分配给vlan3
7. 执行exit退出对vlan3的配置

③. 配置f0/3为Trunk模式

和配置刚才的交换机方式一致，在这里也将当前交换机的f0/3口配置为Trunk模式

1. 输入interface f0/3命令配置f0/3接口
2. 输入switchport mode trunk命令将当前f0/3口配置为Trunk模式
3. 输入exit命令退出对当前f0/3口的配置

四、测试网络是否连通

在这里我们使用主机PC0与PC2进行测试（因为此时PC0与PC2都在vlan2中），测试能否ping通

进入到命令行界面后，输入ping 主机PC2的IP地址命令查看是否可以ping通

接着进行测试同样在VLAN3中的两台主机PC1和PC3是否可以ping通

1、实验需求：

2、实验步骤

1>配置sw1主机名

配置sw2命令一致。

2>配置PC1的E0/0网卡ip地址

最后记得wr保存。

其它pc配置相同。

3>要求不使用trunk。

sw2交换机配置方式相同。

配置完成后测试PC1可以ping通PC3：

同时PC1无法ping通PC4：

PC2可以访问PC4：

但是PC2不可以访问PC3：

4>在sw2上配置ip可以使PC1访问telnet。

就是需要在sw2上的跟PC1相同的vlan上配置ip，通过这个ip登陆sw2进行访问。

在sw2上配置可远程telnet访问

在sw2上设置进入特权模式时的密码

下面就可以在PC1上telnet访问sw2了：

至此配置完成。