Jakee_NB

本文首先探讨了VLAN的一些局限性，接着阐述了PVLAN技术及其特点，最后详细介绍了PVLAN的配置步骤，并给出了一个实例加以说明。
关键词 VLAN PVLAN
1 前言
交换机是网络的核心设备之一，其技术发展非常迅速，从10Mbit/s以太网、100Mbit/s快速以太网，进而发展到吉比特和10吉比特以太网。交换机在通信领域和企业中的应用向纵深发展，网络管理人员对掌握专用虚拟局域网PVLAN技术的需求也越来越迫切。本文通过实践经验对这方面的应用进行总结。
2 VLAN的局限性
随着网络的迅速发展，用户对于网络数据通信的安全性提出了更高的要求，诸如防范黑客攻击、控制病毒传播等，都要求保证网络用户通信的相对安全性；传统的解决方法是给每个客户分配一个VLAN和相关的IP子网，通过使用VLAN，每个客户被从第2层隔离开，可以防止任何恶意的行为和Ethernet的信息探听。 然而，这种分配每个客户单一VLAN和IP子网的模型造成了巨大的可扩展方面的局限。这些局限主要有下述几方面。
（1）VLAN的限制：交换机固有的VLAN数目的限制；
（2）复杂的STP：对于每个VLAN，每个相关的Spanning Tree的拓扑都需要管理；
（3）IP地址的紧缺：IP子网的划分势必造成一些IP地址的浪费；
（4）路由的限制：每个子网都需要相应的默认网关的配置。

指定默认路由（last resort gateway）的指令供有3种，可以分成两类：
1、ip default-gateway
当路由器上的ip routing无效时，使用它指定默认路由，用于RXBoot模式（no ip routing）下安装IOS等。或者关闭ip routing 让路由器当主机用,此时需要配置默认网关
2、ip default-network和ip route 0.0.0.0 0.0.0.0
两者都用于ip routing有效的路由器上，区别主要在于路由协议是否传播这条路由信息。比如：IGRP无法识别0.0.0.0，因此传播默认路由时必须用ip default-network。
当用ip default-network指令设定多条默认路由时，administrative distance最短的成为最终的默认路由；如果有复数条路由distance值相等，那么在路由表（show ip route）中靠上的成为默认路由。
同时使用ip default-network和ip route 0.0.0.0 0.0.0.0双方设定默认路由时，如果ip default-network设定的网络是直连（静态、且已知）的，那么它就成为默认路由；如果ip default-network指定的网络是由交换路由信息得来的，则ip route 0.0.0.0 0.0.0.0指定的表项成为默认路由。
最后，如果使用多条ip route 0.0.0.0 0.0.0.0指令，则流量会自动在多条链路上负载均衡。

在接口模式下面使用命令可以修改交换方式
1: 进程交换   no ip route-cache
2: 快速交换   ip route-cache
3: 最优交换   ip route-cache optimum
4: 分布式最优交换： ip route-cache optimum distribute
5: cisco特快转发：  ip cef(全局命令) ip route-cache cef (接口命令)
6：分布式CEF：      ip cef distribute(全局命令) ip route-cache distribute(接口命令)
7: netflow          ip route-cache flow

一,路由器访问控制的安全配置
1,严格控制可以访问路由器的管理员。任何一次维护都需要记录备案。
2,建议不要远程访问路由器。即使需要远程访问路由器，建议使用访问控制列表和高强度的密码控制。
3,严格控制CON端口的访问。具体的措施有：
A,如果可以开机箱的，则可以切断与CON口互联的物理线路。
B,可以改变默认的连接属性，例如修改波特率(默认是96000，可以改为其他的)。
C,配合使用访问控制列表控制对CON口的访问。
如：Router(Config)#Access-list 1 permit 192.168.0.1
    Router(Config)#line con 0
    Router(Config-line)#Transport input none
    Router(Config-line)#Login local
    Router(Config-line)#Exec-timeoute 5 0
    Router(Config-line)#access-class 1 in
    Router(Config-line)#end
D,给CON口设置高强度的密码。
4,如果不使用AUX端口，则禁止这个端口。默认是未被启用。禁止如：
  Router(Config)#line aux 0
  Router(Config-line)#transport input none
  Router(Config-line)#no exec
5,建议采用权限分级策略。如：
Router(Config)#username BluShin privilege 10 G00dPa55w0rd
Router(Config)#privilege EXEC level 10 telnet
Router(Config)#privilege EXEC level 10 show ip access-list
6,为特权模式的进入设置强壮的密码。不要采用enable password设置密码。而要采用enable secret命令设置。并且要启用Service password-encryption。
7,控制对VTY的访问。如果不需要远程访问则禁止它。如果需要则一定要设置强壮的密码。由于VTY在网络的传输过程中为加密，所以需要对其进行严格的控制。如：设置强壮的密码；控制连接的并发数目；采用访问列表严格控制访问的地址；可以采用AAA设置用户的访问控制等。
8,IOS的升级和备份，以及配置文件的备份建议使用FTP代替TFTP。如：
Router(Config)#ip ftp username BluShin
Router(Config)#ip ftp password 4tppa55w0rd
Router#copy startup-config ftp:
9,及时的升级和修补IOS软件。

不同VLAN之间相互通信，除了单臂路由和三层交换，大家还有没有更好的办法……
VLAN是网络交换机的一种技术，可以把不同的电脑划分在不同的网络中，使其不能互相通信，以达到提高安全性和网络性能的目的。要跨越VLAN通信，必须借助路由器或者3层交换模块。
我市的ADSL网在接入层使用了Cisco的Catalyst6509型三层交换机，在端口上设置了VLAN，把同一IP段的用户相互隔开。这样一来，安全性倒是高了，可惜平时打游戏、共享文件都不方便，需要通过其他IP段的朋友中转。于是突破VLAN成了当务之急。
我所在的段，IP地址为10.145.254.x，网关为10.145.254.1，采用24位的掩码。因为是同一IP段，所以电脑不会自动通过路由器转发数据，而妄想通过直接通信的方式联络对方电脑。在VLAN环境下，ARP是收不到回应的，因此直接通信也就被禁止了。
要想实现互通，必须强制电脑把数据发给路由器。
大家知道，路由器判断一个数据包是否应该转发，是以其2层地址和3层地址为依据的。如果该数据包的目标MAC地址不是路由器接口的MAC地址，那么这个包根本不是给路由器的，而是HUB产生的1层广播包；如果目标MAC地址与路由器接口的MAC地址相同，但目标IP地址并不是路由器接口的IP地址，这个包就应该被路由出去；如果目标MAC地址和IP地址都与路由器接口相匹配，那这个数据包是发给路由器本身的。
电脑在发送数据时，先判断目标和自己是否在同一IP网段。如果在同一网段，则发送ARP请求，查询对方的MAC地址，然后封包发送；如果不在同一 IP网段，则发送数据包，并把包头中目标MAC地址设置为本子网的路由器接口的MAC地址，而目标IP地址则是最终接收数据的电脑的IP地址的数据包。路由器收到数据以后，就会把它转发出去。
要强制电脑把本来直接发送的数据发给路由器，可以从ARP协议上下手，也可以从判断是否同一网段的过程下手。