路由器橋接功能在VLAN技術(shù)劃分中的應用

路由器橋接技術(shù)之專(zhuān)有協(xié)議的兼容。但是在準備實(shí)施VLAN的計劃時(shí)遇到了一些問(wèn)題。我們知道，虛擬局域網(wǎng)VLAN是可以從邏輯上劃分的獨立物理網(wǎng)絡(luò )，一般可以認為等價(jià)于一個(gè)第二層廣播域。在交換機中數據幀不能在2個(gè)VLAN之間轉發(fā)，要實(shí)現VLAN之間的通信，需要將交換機連接到第三層設備(如路由器或第三層交換機)進(jìn)行路由。一般來(lái)說(shuō)，一個(gè)物理端口只屬于一個(gè)VLAN，這樣VLAN的數量必須與路由器以太網(wǎng)物理端口數量以及交換機用于級聯(lián)的端口數量保持一致，這樣將導致大量的端口浪費，并且極大地限制了VLAN的擴展和劃分靈活性。為了解決這一問(wèn)題，實(shí)現一個(gè)物理端口上傳輸多個(gè)VLAN數據流，可以使用“標簽”(Tagging)技術(shù)，即在此端口上對每個(gè)數據幀貼上標簽(Tag)用于標記該幀所屬的VLAN，系統利用其VLAN標識號即VLAN ID來(lái)確定數據幀的轉發(fā)，這就需要網(wǎng)絡(luò )設備支持Tagging封裝協(xié)議。

在本實(shí)例中所遇到的技術(shù)難題是，Catalyst 1924交換機與SuperStack 1100交換機分別支持不同的VLAN tagging封裝協(xié)議：Catalyst 1924可以封裝Cisco專(zhuān)有的ISL協(xié)議，而SuperStack 1100則只能封裝IEEE 802.1Q，這2種協(xié)議是互不兼容的。這樣2種交換機不能夠通過(guò)一個(gè)級聯(lián)端口同時(shí)傳輸多個(gè)VLAN數據流，勢必仍將造成端口浪費并限制VLAN劃分的靈活性。

所幸的是，該單位還有一臺Cisco 3640路由器，而且該路由器包含2個(gè)以太網(wǎng)端口，同時(shí)此Cisco 3640的IOS版本支持以上2種VLAN tagging封裝協(xié)議，這時(shí)候就可以利用路由器的透明橋接功能了。在介紹解決方案之前，先對Cisco路由器的透明橋接特性作簡(jiǎn)要的說(shuō)明。

路由器橋接技術(shù)之Cisco路由器的透明橋接

在Cisco路由器中，其IOS軟件支持基于以太網(wǎng)、FDDI光纖網(wǎng)和串行鏈路的透明橋接。

Cisco路由器提供集成的路由與橋接(Integrated Routing and Bridging，IRB)功能。當配置了IRB后，不可路由的協(xié)議數據流可以在配置為相同網(wǎng)橋組的端口上實(shí)現橋接交換，同時(shí)可以路由的協(xié)議數據流則在其他的路由端口或不同的網(wǎng)橋組之間實(shí)現路由。

這里提到了一個(gè)概念，即網(wǎng)橋組(Bridge-Group)。要實(shí)現不同的端口之間的橋接交換，必須將這些端口歸到同一個(gè)網(wǎng)橋組當中。從概念上說(shuō)，配置為同一個(gè)網(wǎng)橋組中的所有端口屬于同一個(gè)第二層的廣播域，不管這個(gè)端口類(lèi)型是廣域網(wǎng)端口還是以太網(wǎng)端口，也不管這個(gè)端口是物理端口還是邏輯端口(如X.25的子口或以太網(wǎng)的VLAN子口)。Cisco路由器為每一個(gè)已配置的網(wǎng)橋組自動(dòng)產(chǎn)生一個(gè)虛擬接口，稱(chēng)之為Beidge-Group Virtual Interface(BVI)，在不同的BVI之間或BVI與其它的端口之間可以實(shí)現路由的能力。下面說(shuō)明BVI的主要概念和IRB的配置任務(wù)。

其中端口E0、E1、E2是橋接端口，歸到了同一個(gè)網(wǎng)橋組Bridge-Group 1中，路由器為此自動(dòng)產(chǎn)生一個(gè)邏輯虛擬接口BVI 1，端口E3則是路由端口。就工作原理來(lái)說(shuō)，此圖配置的路由器等價(jià)于這樣的網(wǎng)絡(luò )連接，即一個(gè)由E0、E1、E2及一個(gè)上聯(lián)口組成的4口交換機和一個(gè)由BVI 1、E3組成的2口路由器通過(guò)BVI 1接口進(jìn)行連接，顯然E0、E1和E2這3個(gè)口是在同一廣播域中。

路由器橋接技術(shù)之解決方案

有了IRB的相關(guān)概念，就可以解決前面提到的問(wèn)題了。在實(shí)際的解決方案中，首先，給Catalyst 1924和SuperStack 1100交換機劃分VLAN，并在它們的上聯(lián)端口上分別啟用ISL和IEEE 802.1Q標簽協(xié)議，然后將它們分別連接到Cisco 3640路由器的2個(gè)以太網(wǎng)端口上，這里使用Catalyst 1924的Bx口和SuperStack 1100的26號口作為上聯(lián)口。完成物理線(xiàn)纜的連接后，主要的工作就是配置Cisco 3640路由器。作為例子，這里考慮有2個(gè)VLAN的情況，分別是VLAN 1和VLAN 2，假設分別對應銷(xiāo)售部門(mén)和財務(wù)部門(mén)，網(wǎng)絡(luò )結構如附圖所示。

在路由器中，要使以太網(wǎng)端口同時(shí)傳輸不同的VLAN數據流，應該將Tagging協(xié)議封裝到子口中。例如在Cisco 3640與Catalyst 1924相連的端口上，對應VLAN 1應使用如下的配置命令：

interface fastethernet 0/0.1

encapsulation isl 1

同樣地，與SuperStack 1100相連的端口上也要做子口配置，只是要將封裝協(xié)議改為IEEE 802.1Q，命令如下：

interface fastethernet 0/1.1

encapsulation dot1q 1

有了VLAN子口，只要將相同VLAN的子口歸到同一個(gè)網(wǎng)橋組里，就可以實(shí)現Catalyst 1924和SuperStack 1100的VLAN互通了。在這里，如果將fastethernet 0/0.1和fastethernet 0/1.1都歸到bridge-group 1中，那么Catalyst 1924的VLAN 1和SuperStack 1100的VLAN 1就從邏輯上合并為一個(gè)VLAN。

最后，為網(wǎng)橋組BVI接口配置上IP地址，并輔以一定的ACL列表設置，就可以實(shí)現VLAN 1和VLAN 2之間的安全路由了。

在配置網(wǎng)絡(luò )上的服務(wù)器和工作站時(shí)，VLAN 1財務(wù)部門(mén)的計算機默認網(wǎng)關(guān)應設為路由器配置中接口BVI 1的地址，即192.168.1.254。同樣，VLAN 2銷(xiāo)售部門(mén)的計算機默認網(wǎng)關(guān)應設為接口BVI 2的地址，即192.168.2.254。