怎么让同一网段IP不同Vlan的PC机通信

zhang455955528 2009-12-13 09:41:32

请问如果在一个交换机上(有三层功能)分几个Vlan,PC机上的IP是动态获取得到的,不同的Vlan 的PC机有可能属于同一个网段的IP,能不能配置交换机与路由器让不同Vlan的PC机通信?请各位帮帮忙!

...全文

1534 10 打赏收藏转发到动态举报

写回复

10 条回复

切换为时间正序

请发表友善的回复…

发表回复

zhang455955528 2009-12-17

打赏
举报

回复

不同的vlan不能得到同一网段的IP吗？这个我不是很清楚啊，但是我们学校宿舍的每个交换机的每个端口都划分成一个VLAN，我们的电脑也是用动态分配IP的啊，那得到的IP没有可能在同一网段吗？
这样的交换机或路由器要怎么配置的啊？

sxzj2008 2009-12-17

打赏
举报

回复

不同的VLAN就是划分网段的，要想要不同的VLAN 相互通信，一定要通过路由就是说只要是三层设备都可以，增加路由在上面就可以了。呵呵

cxwmx 2009-12-16

打赏
举报

回复

一般是不同的VLAN属于不同的网段，在三层交换机上设置即可，命令如下：

创建VLAN：
sw-3l#vlan database
sw-3l(vlan-database)#vlan 2
sw-3l(vlan-database)#vlan 3

把相应的接口划分到ＶＬＡＮ：

　　sw-3l#config t
sw-3l(config)#int range f0/2 - 6
sw-3l(config-if)#switchport access vlan 2
sw-3l(config-if)#no shut

给VLAN配置Ip地址：
sw-3l(config)#int vlan 2
sw-3l(config-if)#ip add 192.168.10.1 255.255.255.0
sw-3l(config-if)#no shut

VLAN 3 配置IP地址的方法一样的！！

然后在客户机上配置网关，指向三层交换机上给每个VLAN配置的IP地址！！！

missing77 2009-12-15

打赏
举报

回复

不同vlan能dhcp到同一个网段的IP....怎么可能...要弄成这样也挺难.

missing77 2009-12-15

打赏
举报

回复

...你用的什么三层交换机.DHCP是在交换机上起的还是用的服务器?

zhang455955528 2009-12-15

打赏
举报

回复

如果是用动态获取的IP,那不同的VLAN有可能是想同的地址池的IP啊,所以才不知要怎么配置好啊,
如果是每个vlan 是不同的地址池那三层交换机的各个vlan设置默认网关IP就可以相互通信,但是现在每个valn 有能属于同个地址池的IP ,才不知交换机要怎么配置.

missing77 2009-12-15

打赏
举报

回复

每个Vlan用不同的地址池,方便管理.然后三层交换器起ip routing

rainy201314 2009-12-15

打赏
举报

回复

在三层交换机上设置，

具体配置可以googl一下

wfexp 2009-12-13

打赏
举报

回复

这个是可以的。但必须在三层交换机上设置。

zhang455955528 2009-12-13

打赏
举报

回复

我就是不知该怎么设置啊,能不能具体说一下啊，谢谢帮忙啊！

实验三交换机VLAN实验 1. 规划ip地址 PCA的ip 地址: 10.65.1.1 PCB的ip 地址: 10.66.1.1 PCC的ip 地址: 10.65.1.3 PCD的ip 地址: 10.66.1.3 SWA的ip 地址: 10.65.1.7 SWB的ip 地址: 10.65.1.8 SWA的f0/5~f0/7 vlan 2 ,f0/8为trunk SWB的f0/5~f0/7 valn 2 ,f0/1为trunk 用ping命令测试，从PCA和PCB到各点的连通情况。由于交换机初始化为vlan 1，所以同网段的可以通。即PCA到PCC、SWA、SWB是通的，而PCB只与PCD通。 2.设置VLAN 双击SwitchA，改名SwitchA为SWA，建立2 个vlan,分别为2、3 switch>en switch#sh vlan switch#conf t switch(config)#hosthame SWA switch(config)#exit SWA#vlan database SWA(vlan)#vlan 2 SWA(vlan)#vlan 3 SWA(vlan)#exit 将SWA交换机的f0/5,f0/6,f0/7 加入到vlan 2 SWA(config)#int f0/5 SWA(config-if)#switchport access vlan 2 SWA(config-if)#int f0/6 SWA(config-if)#switchport access vlan 2 SWA(config-if)#int f0/7 SWA(config-if)#switchport access vlan 2 SWA(config-if)# end SWA#sh vlan 在SWB上与SWA上类似，将SWB交换机f0/5,f0/6,f0/7 加入到vlan 2。 3.测试可通性从PCA到PCC测试： [root@PCA root]# ping 10.65.1.3 (通) 从PCA到PCB测试： [root@PCA root]# ping 10.66.1.1 (不通，因为不同网段，不同VLAN) 从PCB到PCD测试： [root@PCB root]# ping 10.66.1.3 (不通，要求trunk) 从PCA到SWA测试： [root@PCA root]# ping 10.65.1.7（通，同一网段，同在vlan 1）从PCA到SWB测试： [root@PCA root]# ping 10.65.1.8（通，同一网段，同在vlan 1）从SWA到PCA测试： SWA#ping 10.65.1.1 (通) 从SWA到PCB测试： SWA#ping 10.66.1.1 (不通,因为不同网段，不同VLAN) 从SWA到SWB测试： SWA#ping 10.65.1.8 (通) 4. 设置干线trunk 将连接两个交换机的端口设置成trunk。 SWA(config)#int f0/8 SWA(config-if)#switchport mode trunk SWA(config-if)#switchport trunk allowed vlan 1,2,3 SWA(config-if)#switchport trunk encap dot1q SWA(config-if)#end SWA#sh run SWB(config)#int f0/1 SWB(config-if)#switchport mode trunk SWB(config-if)#switchport trunk allowed vlan 1,2,3 SWB(config-if)#switchport trunk encap dot1q SWB(config-if)#end SWB#sh run 交换机创建trunk时默认allowed all，所以上面的trunk allowed 命令可以不用。 dot1q是vlan中继协议(802.1q)，由于正确设置了trunk，两个交换机间可以多个vlan通过，所以PCA->PCC, PCB->PCD 可以通了。 [root@PCA root]# ping 10.65.1.3 (通,同在vlan 1) [root@PCB root]# ping 10.66.1.3（通,同在vlan 2） [root@PCA root]# ping 10.66.1.3 (不通，不同vlan需要路由) 5. 三个交换机的情况再加入一个交换机switchC,将它串入switchA和switchB之间，连接方式： switchA:F0/8-->switchC:F0/3; switchC:F0/6-->switchB:F0/1 (1) 新加入的SwitchC 默认状态时，测试连通性。从PCA->PCC，从PCB->PCD 测试： [root@PCA root]# ping 10.65.1.3 (不通) [root@PCB root]# ping 10.66.1.3 (不通) 由于新加入的交换机没有设置trunk，所有接口默认vlan 1，对于交换机而言， trunk 要成对出现，如果dot1q不能和另一端交换信息会自动down掉。 (2) 将交换机之间的连线都设置成trunk时，再测试连通性。 SWC(config)#int f0/3 SWC(config-if)#switchport mode trunk SWC(config-if)#switchport trunk encap dot1q SWC(config-if)#int f0/6 SWC(config-if)#switchport mode trunk SWC(config-if)#switchport trunk encap dot1q SWC(config-if)#end SWC#sh run 由于建立trunk时默认为trunk allowed vlan all,所以这里没设置。现在有两条正确的trunk,再看一下联通情况： [root@PCA root]# ping 10.65.1.3 （通） [root@PCB root]# ping 10.66.1.3 （通） (3) 设置vtp VTP是vlan 传输协议，在VTP Server上配置的vlan 在条件允许条件下，可以从VTP Client 端看到VTP Server上的vlan，并将自己端口加入到vlan中。 SWC(config)#vtp domain abc SWC(config)#vtp mode server SWC(config)#vtp password ok SWB(config)#vtp domain abc SWB(config)#vtp mode client SWB(config)#vtp password ok SWB#sh vlan SWA#sh vlan SWC#sh vlan 当口令和域名一致时，client端可以学习到server端的vlan，在VTP Server端还可以有很多策略，这里只是说明最基本的问题。 VTP在企业、机关、学校的应用是很多的，在主交换机上设置好vlan以后，下级的交换机不用再设置vlan，可以将client的某些端口添加到VTP Server中定义的vlan中去，加强了管理。名词解释：什么是交换机的trunk功能　 TRUNK是端口汇聚的意思，就是通过配置软件的设置，将2个或多个物理端口组合在一起成为一条逻辑的路径从而增加在交换机和网络节点之间的带宽，将属于这几个端口的带宽合并，给端口提供一个几倍于独立端口的独享的高带宽。Trunk是一种封装技术，它是一条点到点的链路，链路的两端可以都是交换机，也可以是交换机和路由器，还可以是主机和交换机或路由器。基于端口汇聚（Trunk）功能，允许交换机与交换机、交换机与路由器、主机与交换机或路由器之间通过两个或多个端口并行连接同时传输以提供更高带宽、更大吞吐量，大幅度提供整个网络能力。　　“TRUNK”的三个意思不要混淆在技术领域中把TRUNK翻译为中文是“主干、干线、中继线、长途线” ，不过一般不翻译，直接用原文。而且这个词在不同场合也有不同的解释：　　1、在网络的分层结构和宽带的合理分配方面，TRUNK被解释为“端口汇聚”，是带宽扩展和链路备份的一个重要途径。TRUNK把多个物理端口捆绑在一起当作一个逻辑端口使用，可以把多组端口的宽带叠加起来使用。TRUNK技术可以实现TRUNK内部多条链路互为备份的功能，即当一条链路出现故障时，不影响其他链路的工作，同时多链路之间还能实现流量均衡，就像我们熟悉的打印机池和MODEM池一样　　2、在电信网络的语音级的线路中，Trunk指“主干网络、电话干线”，即两个交换局或交换机之间的连接电路或信道，它能够在两端之间进行转接，并提供必要的信令和终端设备。　　3、但是在最普遍的路由与交换领域，VLAN的端口聚合也有的叫TRUNK，不过大多数都叫TRUNKING ，如CISCO公司。所谓的TRUNKING是用来在不同的交换机之间进行连接，以保证在跨越多个交换机上建立的同一个VLAN的成员能够相互通讯。其中交换机之间互联用的端口就称为TRUNK端口。与一般的交换机的级联不同，TRUNKING是基于OSI第二层摹＜偕杳挥蠺RUNKING技术，如果你在2个交换机上分别划分了多个VLAN（VLAN也是基于Layer2的），那么分别在两个交换机上的VLAN10和VLAN20的各自的成员如果要互通，就需要在A交换机上设为VLAN10的端口中取一个和交换机B上设为VLAN10的某个端口作级联连接。VLAN20也是这样。那么如果交换机上划了10个VLAN就需要分别连10条线作级联，端口效率就太低了。当交换机支持TRUNKING的时候，事情就简单了，只需要2个交换机之间有一条级联线，并将对应的端口设置为Trunk，这条线路就可以承载交换机上所有VLAN的信息。这样的话，就算交换机上设了上百个个VLAN也只用1个端口就解决了。　　如果是不同台的交换机上相同id的vlan要相互通信，那么可以通过共享的trunk端口就可以实现，如果是同一台上不同id的vlan/不同台不同id的vlan它们之间要相互通信，需要通过第三方的路由来实现；vlan的划分有两个需要注意的地方：　　一是划分了几个不同的vlan组，都有不同的vlan id号；分配到vlan 组里面的交换机端口也有port id.比如端口1，2，3，4划分到vlan10，5，6，7，8划分到vlan20，我可以把1，3，4的端口的port id设置为10，而把2端口的 port id设置为20；把5，6，7端口的port id设置为20，而把8端口的port id设置为10.这样的话，vlan10中的1，3，4端口能够和vlan20中8端口相互通信；而vlan10中的2端口能够和vlan20中的5，6，7端口相互通信；虽然vlan id不同，但是port id相同，就能通信，同样vlan id相同，port id不同的端口之间却不能相互访问，比如vlan10中的2端口就不能和1，3，4端口通信。 VTP（VLAN Trunking Protocol）：是VLAN中继协议，也被称为虚拟局域网干道协议。它是一个OSI参考模型第二层的通信协议，主要用于管理在同一个域的网络范围内VLANs的建立、删除和重命名。在一台VTP Server 上配置一个新的VLAN时，该VLAN的配置信息将自动传播到本域内的其他所有交换机。这些交换机会自动地接收这些配置信息，使其VLAN的配置与VTP Server保持一致，从而减少在多台设备上配置同一个VLAN信息的工作量，而且保持了VLAN配置的统一性。肇庆工商职业技术学院实训报告项目名称：交换机VLAN 分组情况：1人/组任课老师：孔宇强实训指导老师：孔宇强实训时间 2009年实训目的及理论依据掌握交换机VLAN设置及其原理实训要求及操作规程正确使用交换机VLAN的设置命令所用仪器设备/软件运行windows xp的PC一台思科路由器配置模拟软件实训步骤 1.规划ip地址 2.设置VLAN 3测试可通性 4. 设置干线trunk 5. 三个交换机的情况实训结果分析及体会

交换机实验II 实验目的 1. 理解掌握环路对网络造成的影响，掌握环路的自检测的配置； 2. 理解路由的原理，掌握三层交换设备路由的配置方法 3. 掌握DHCP的原理以及其配置方法实验步骤配置交换机的IP地址，及基本的线路连接等；实验1：．用独立网线连接同一台交换机的任意两个端口时期形成自环 . 对交换机的两个端口进行配置，开启所有端口的环路检测功能、设置检测周期等属性实验2：．按图1方式对三层交换机的VLAN、端口进行配置 . 在交换机中分别对VLAN的IP地址进行配置 . 启动三层交换机的IP路由 . 设置PC-A、PC- B的IP地址，分别将它们的网关设置为所属三层交换机VLAN的IP地址 . 通过Ping验证主机A、B之间的互通状况实验3：三层交换机作为DHCP服务器，两台PC-A和PC- B，分别从交换机上获取IP地址。PC-C手动配置IP地址。．按图2方式建立主机A、B、C与三层交换机间的连接，配置交换机的IP地址 . 配置三层交换机的DHCP地址池属性 . 启动DHCP服务 . （1）查看主机A、B能否正确的获取到给定范围内IP地址，通过Ping查看网关、交换机之间的互通情况；（2）拔掉主机B的网线，将主机C的IP地址设置为主机B所获取的到的IP地址，然后再插上B机网线，查看其是否能获取到不同的IP地址；（3）分别重启主机A、B及交换机，查看A、B获取到的IP地址是否和前一次相同。 " " " "图1. 三层路由连接图 "图连接图 " 实验结果实验1：环路测试交换机出现环路的自检测结果：实验2：路由配置：主机A连接交换机端口2，划分为vlan10，端口IP地址为。主机IP地址；主机B连接交换机端口10，划分为vlan20，端口IP地址为。主机IP地址；在未设置IP routing之前主机A、B分属于不同网段，因此它们不能互通，设置后通过路由则可相互联通：实验三：DHCP配置和验证：主机A、B、C分别连接到交换机的端口2，端口18和端口10上。其中主机A、B的IP地址自动获取，主机C的IP地址则手动配置。主机A通过DHCP获取的IP地址（）主机B通过DHCO获取到的IP地址（）测试主机A与主机C的互通性（可连通）测试主机B与主机A、C之间的互通性（可连通）当主机C配置为主机B获取到的IP地址是会产生IP地址冲突的错误提示：配置的主机C的IP地址与主机B的IP地址相冲突主机B网线重新连接后获取到的新的IP地址交换机重新启动后A、B主机自动获取到的IP地址信息：主机A自动获取的IP地址主机B自动获取的IP地址 DHCP可分配IP地址池内IP数目小于申请的主机数目时实验验证情况：（可分配的I P地址为 — ），此时连接主机A、B、C、D。 " " " 主机D自动获取IP地址的结果实验与结果分析环路问题：分为第二层环路和第三层环路，所有环路的形成都是由于目的路径不明确导致混乱而造成的。例如第二层，一个广播信息经过两个交换机的时候会不断恶性循环的产生广播造成环路，而第三层环路则是原路由意外不能工作，造成路由通告错误，形成一个恶性循环。传统的二层预防技术主要有STP(Spanning tree)来预防，STP在不断的修改和更新中，产生了诸如STP/RSTP/MSTP等多个版本，大家可根据各自的组网规划来选择应用，但是STP的配置复杂度，以及协议本身的开销通常都是网络管理人员比较头痛的事情。解决因环路（自环或外环）对网络造成的影响，能够提高网络的自检错性、容错性和健壮性。环路检测的过称为：对交换机的每个端口周期性的发送回路检测（Loopback- detection）数据包；交换机查看端口收到包的CPUMAC字段，如果其中存的是本交换机的 MAC，则本交换机的某些端口形成环路，否则将其丢弃，出现环路后，交换机会关闭端口号较大的端口以消除环路。图1中反映了在交换机开启所有端口的环路检测功能后每隔3 0秒检测到的信息以及对端口的关闭等操作信息。三层路由意义和工作过程：实现不同VLAN间主机的通信，通过配置VLAN能够有效地控制广播域的大小。在同一V LAN内的主机间的通信不需要经过交换机的路由处理可直接到达目的主机，当不同VLAN间通讯时，数据包先转发至路由器，由路由器查询其路由转发表选择正确的端口间数据包转发到目的VLAN的交换机，再由目的VLAN内交换机将数据包转发至目的主机。其中扮演主要角色的即为交换机的路由功能，如果没有设置相关属性则不同VLAN间不能通讯。因此在图3的验证实验中，通过路由器的转发功能实现了分别位于VLAN10和VLAN20中主机A、B之间的通信，在未配置IP Routing之前VLAN10和VLAN20分属

交换机实验II 实验目的 1. 理解掌握环路对网络造成的影响，掌握环路的自检测的配置； 2. 理解路由的原理，掌握三层交换设备路由的配置方法 3. 掌握DHCP的原理以及其配置方法实验步骤配置交换机的IP地址，及基本的线路连接等；实验1：．用独立网线连接同一台交换机的任意两个端口时期形成自环 . 对交换机的两个端口进行配置，开启所有端口的环路检测功能、设置检测周期等属性实验2：．按图1方式对三层交换机的VLAN、端口进行配置 . 在交换机中分别对VLAN的IP地址进行配置 . 启动三层交换机的IP路由 . 设置PC-A、PC- B的IP地址，分别将它们的网关设置为所属三层交换机VLAN的IP地址 . 通过Ping验证主机A、B之间的互通状况实验3：三层交换机作为DHCP服务器，两台PC-A和PC- B，分别从交换机上获取IP地址。PC-C手动配置IP地址。．按图2方式建立主机A、B、C与三层交换机间的连接，配置交换机的IP地址 . 配置三层交换机的DHCP地址池属性 . 启动DHCP服务 . （1）查看主机A、B能否正确的获取到给定范围内IP地址，通过Ping查看网关、交换机之间的互通情况；（2）拔掉主机B的网线，将主机C的IP地址设置为主机B所获取的到的IP地址，然后再插上B机网线，查看其是否能获取到不同的IP地址；（3）分别重启主机A、B及交换机，查看A、B获取到的IP地址是否和前一次相同。 " " " "图1. 三层路由连接图 "图2.DHCP连接图 " 实验结果实验1：环路测试交换机出现环路的自检测结果：实验2：路由配置：主机A连接交换机端口2，划分为vlan10，端口IP地址为192.168.1.1。主机IP地址192.1 68.1.23；主机B连接交换机端口10，划分为vlan20，端口IP地址为192.168.2.1。主机IP地址192. 168.2.27；在未设置IP routing之前主机A、B分属于不同网段，因此它们不能互通，设置后通过路由则可相互联通：实验三：DHCP配置和验证：主机A、B、C分别连接到交换机的端口2，端口18和端口10上。其中主机A、B的IP地址自动获取，主机C的IP地址则手动配置。主机A通过DHCP获取的IP地址（192.168.1.211）主机B通过DHCO获取到的IP地址（192.168.1.210）测试主机A与主机C的互通性（可连通）测试主机B与主机A、C之间的互通性（可连通）当主机C配置为主机B获取到的IP地址是会产生IP地址冲突的错误提示：配置的主机C的IP地址与主机B的IP地址相冲突主机B网线重新连接后获取到的新的IP地址交换机重新启动后A、B主机自动获取到的IP地址信息：主机A自动获取的IP地址主机B自动获取的IP地址 DHCP可分配IP地址池内IP数目小于申请的主机数目时实验验证情况：（可分配的I P地址为192.168.1.210 — 192.168.1.212），此时连接主机A、B、C、D。 " " " 主机D自动获取IP地址的结果实验与结果分析环路问题：分为第二层环路和第三层环路，所有环路的形成都是由于目的路径不明确导致混乱而造成的。例如第二层，一个广播信息经过两个交换机的时候会不断恶性循环的产生广播造成环路，而第三层环路则是原路由意外不能工作，造成路由通告错误，形成一个恶性循环。传统的二层预防技术主要有STP(Spanning tree)来预防，STP在不断的修改和更新中，产生了诸如STP/RSTP/MSTP等多个版本，大家可根据各自的组网规划来选择应用，但是STP的配置复杂度，以及协议本身的开销通常都是网络管理人员比较头痛的事情。解决因环路（自环或外环）对网络造成的影响，能够提高网络的自检错性、容错性和健壮性。环路检测的过称为：对交换机的每个端口周期性的发送回路检测（Loopback- detection）数据包；交换机查看端口收到包的CPUMAC字段，如果其中存的是本交换机的 MAC，则本交换机的某些端口形成环路，否则将其丢弃，出现环路后，交换机会关闭端口号较大的端口以消除环路。图1中反映了在交换机开启所有端口的环路检测功能后每隔3 0秒检测到的信息以及对端口的关闭等操作信息。三层路由意义和工作过程：实现不同VLAN间主机的通信，通过配置VLAN能够有效地控制广播域的大小。在同一V LAN内的主机间的通信不需要经过交换机的路由处理可直接到达目的主机，当不同VLAN间通讯时，数据包先转发至路由器，由路由器查询其路由转发表选择正确的端口间数据包转发到目的VLAN的交换机，再由目的VLAN内交换机将数据包转发至目的主机。其中扮演主要角色的即为交换机的路由功能，如果没有

本软件来源于网络，本人搜集，如影响您的权益，请通知删除。网络岗旁路监控　　如果用户以硬件路由器（或FireWall)为出口上Internet，为实现“通过一台机器监控整个网络”的目的,通常采用下面几种手段：　　1.在网关处添加共享式HUB（集线器），Internet出口网络线和监控机网络线均接入HUB。　　2.在主交换机网口上设置镜像端口（一个镜像端口，一个被镜像端口)；监控机网络线接入镜像端口。　　上面实现的监控就是所谓的“旁路监控”。　　打个更形象的比喻：交警为监视公路上汽车行驶状况，为不影响交通，仅在路边配置一台监控设备，同步监视路上的每辆车，并不需要在路中间设卡检查车辆，这种方式相当与“旁路监控”。如果设卡监控，那就应该属于“非旁路监控” 优点：　　对网速影响甚小,如果不考虑封堵，可实现电信级的网络监视；所以网络流量庞大且封包需求很少时，必须采用该监控方式。缺点：　　1、封堵TCP连接时采用发送带RST标记的IP包，以破坏TCP连接；系统控制不好的话，则可能导致发送的封包太多，影响网络。　　2、不能封堵UDP通讯包。　　3、如果监控机处理速度慢，而流量太大，则可能导致分析包丢失。非旁路监控(拦截式) 　　1.网路岗NAT　　2.网路岗虚拟网桥（单网卡）　　3.网路岗网桥（双网卡）　　　防火墙产品是单纯采用“拦截式”技术的典型网络产品，所有进出FireWall数据包，都必须经过筛选，符合过滤过滤条件的数据包，将被抛弃。　　因此，防火墙的处理器性能和筛选规则的复杂程度，将直接影响到防火墙对数据包的处理速度，进而影响到网络速度。基于网卡、基于帐户、基于IP 　　所有的网络监控产品，都必须面对这个问题：在对具体电脑进行监控时，以什么信息来判断所捕获的数据包是由哪台机器发出的？　　“网路岗”提供了多种选项给客户选择，当用户网络是单网段，也就是说没有划分不同的IP段，我们建议客户选用“基于网卡”的方式，也就是说以“网卡地址MAC”来作为判断数据包的依据。　　相对IP地址来讲，网卡地址一般是不会改变的，而且是全球唯一的。针对单一网段内机器而言，网卡地址是网络寻址的重要依据，一旦网卡地址重复或不确定，必然造成网络通讯的紊乱或不稳定。　　针对多网段（划分VLAN）的情况，情况比较复杂，当数据包从某个VLAN转到其他VLAN时候，数据包中的网卡地址会发生改变，所以，我们捕获的网卡地址是发生变化了的，这时，如果系统对该MAC不加处理而简单使用，必然导致监控错乱。　　但是，这种情况，“网路岗”已经充分考虑了其应对策略，我们的客户依然可以选择“基于网卡”的方式，正如单一网段环境一样。　　当然，如果客户网络庞大，IP地址相对固定，从操作的简单性方面考虑，选择“基于IP”地址来监控也是可以的，用户也必须容忍IP地址是经常变化的。如果客户对某个范围IP的电脑行为感兴趣，那么用户也可以以“自定义的IP范围”作为一个监控对象来对待。　　最后，我们要谈谈“基于帐户”。当客户机通过浏览器上网时候，会出现一个输入用户名和密码的画面，此时，只有当客户拥有了自己的用户名和密码，才拥有了上网的权限，这就是“基于帐户”模式的具体表现。　　“基于帐户”的方式从理论上讲，是完美的，因为该方式下，与被监控电脑的网卡地址和IP地址均无关系，而只需要根据用户帐号来判断监控对象。但其缺点也非常明显，因为客户机每次上网时候，都必须输入帐号及其对应的密码，给客户机上网带来麻烦，而且因为密码容易被忘记，网络管理员还不得不经常为客户机Reset密码。从目前客户的使用情况来看，“基于帐户”在“宾馆客房”上网方面似乎是非常好的方案。　网桥　　先解释一下通常意义下的“网桥”概念。　　网桥工作在数据链路层，将两个局域网（LAN）连起来，根据MAC地址（物理地址）来转发帧，可以看作一个“低层的路由器”（路由器工作在网络层，根据网络地址如IP地址进行转发）。它可以有效地联接两个LAN，使本地通信限制在本网段内，并转发相应的信号至另一网段，网桥通常用于联接数量不多的、同一类型的网段。　　网桥通常有透明网桥和源路由选择网桥两大类。　　1、透明网桥　　简单的讲，使用这种网桥，不需要改动硬件和软件，无需设置地址开关，无需装入路由表或参数。只须插入电缆就可以，现有LAN的运行完全不受网桥的任何影响。　　2、源路由选择网桥　　源路由选择的核心思想是假定每个帧的发送者都知道接收者是否在同一局域网（LAN）上。当发送一帧到另外的网段时，源机器将目的地址的高位设置成1作为标记。另外，它还在帧头加进此帧应走的实际路径。　　下面图示的是在WinXP和Win2003系统下创建“网桥”：(Win2k下无此功能) 同时选中两块网卡，点Mouse右键，会弹出上图中的菜单。　　网桥一旦建立完成，其网卡原配的IP地址将消失，网内其他机器无法通过原来的两块网卡的IP地址来访问该机器。是不是该机器作废了？不是，用户仍然可以在上面显示的“网络桥”上配置另外的IP。　　透明网桥示意图：左右两边的机器可以相互访问，不用做任何额外的配置，就象两台交换机之间接入新的交换机设备一样。启用《网路岗》“网络桥” 　　网路岗也提供了“网络桥”功能，可以在WinXP/2K/2003上使用，应用更加广泛，如用户需要较严格的上网过滤，请启用网路岗网桥功能，记住：启用网路岗网桥之前，请确认系统自带的“网络桥”已经删除．虚拟网桥　　“虚拟网桥”实际上是“网路岗”为一种“网络监控技术”而命名的一个技术名词。和实际“网桥”概念完全不同，仅仅因为其通讯过程类似“网桥”罢了。　　通常意义上的“网桥”一般需要两块网卡来实现，而这里所谓的“虚拟网桥”只需要一块网卡。　　下面的网络结构是非常常见的：机器：192.168.0.2发出的Internet数据包，直接发向网关192.168.0.1 　　以下是“网路岗”启用“虚拟网桥”功能后，数据包走向图：　　当“网路岗”主机启用“虚拟网桥”功能后，从客户机192.168.0.2发向Internet的数据包，先送到“网路岗”主机，然后由“网路岗”主机转发到网关192.168.0.1，反之亦然。　　不难看出，要达到一台机器监控整个网络的目的，只需要启用“虚拟网桥”功能就可以了，这种监控技术可以在纯交换机环境下实现，不需要添加HUB，也不需要设置镜像端口。行话称之为“装在任何一台电脑上就可以监控整个网络”。　　而实际使用中，该技术的缺点非常明显，虽然“网路岗”已经加入该技术，但有必要向客户交代其中问题所在。缺点1：客户机盲目安装. 　　既然装在任何一台电脑就可以实现对整个网络的监控，员工或学生是否会随意下载、随意安装、随意监控？这是完全可能的，因为毕竟实现监控的门槛太低。不过，当同时多台机器启用这类监控方式后，网络会出现紊乱状况，很可能导致无法上网。缺点2：很容易逃避监控　　所有采用类似监控技术的产品，均需要发送ARP欺骗包，以使正常上网路径发生改变。但是象瑞星等杀毒软件可以识别并抛弃ARP欺骗包，使对本机的监控不能得逞。另外用户也可以通过添加静态路由轻松避免被监控。　　因此，在单网段环境下，我们建议客户仍然采用传统的“监控手段”。如果客户执意采用该监控手段，那么请注意：“网路岗”可以自动探测出网内其他机器是否启用过类似的监控手段(也许是其他监控产品)，并记录在历史记录中。如何启用“虚拟网桥”？ 1、选中“非旁路监控”选项 2、设置“虚拟网桥”相关选项 3、选中并启用“虚拟网桥” 　共享上网NAT 　　“网络地址转换”(NAT) 是一种 Internet Engineering Task Force (IETF) 标准，用于允许专用网络上的多台 PC 机（使用专用地址范围，例如 10.0.x.x、192.168.x.x、172.x.x.x）共享单个、可全局路由的 IPv4 地址。经常部署 NAT 的一个主要原因就是 IPv4 地址日渐紧缺。Windows XP 和 Windows Me 中的“Internet 连接共享”及许多 Internet 网关设备都使用 NAT，尤其是在通过 DSL 或电缆调制解调器连接宽带网的情况下。　　NAT 对于解决 IPv4 地址耗费问题（在 IPv6 部署中却没必要）尽管成效及时，但毕竟属于临时性的解决方案。这种 IPv4 地址耗费问题在亚洲及世界其它一些地方已比较严重，且日渐成为北美地区需要关注的问题。这就是人们为什么长久以来一直关注使用 IPv6 来克服这个问题的原因所在。　　除了减少所需的 IPv4 地址外，由于专用网络之外的所有主机都通过一个共享的 IP 地址来监控通讯，因此 NAT 还为专用网络提供了一个隐匿层。NAT 与防火墙或代理服务器不同，但它确实有利于安全。跨VLAN/单网段/多网段　　VLAN，是英文Virtual Local Area Network的缩写，中文名为"虚拟局域网"， VLAN是一种将局域网（LAN）设备从逻辑上划分（注意，不是从物理上划分）成一个个网段（或者说是更小的局域网LAN），从而实现虚拟工作组（单元）的数据交换技术。　　VLAN这一新兴技术主要应用于交换机和路由器中，但目前主流应用还是在交换机之中。不过不是所有交换机都具有此功能，只有三层以上交换机才具有此功能，这一点可以查看相应交换机的说明书即可得知。　　　　VLAN在交换机上的实现方法，可以大致划分为六类:　　1. 基于端口的VLAN（最常应用的一种VLAN划分方法)　　2. 基于MAC地址的VLAN　　3. 基于网络层协议的VLAN　　4. 根据IP组播的VLAN 　　5. 按策略划分的VLAN　　6. 按用户定义、非用户授权划分的VLAN 　　在监控产品中，所谓“跨VLAN”监控就是所监控的客户机位于多个VLAN中。　　单网段：整个局域网只有一个IP段，如：192.168.0.x (255.255.255.0) 　　多网段：整个局域网有多个不同IP段，如：192.168.1.x(255.255.255.0) / 192.168.2.x(255.255.255.0) 镜像端口/监控端口/被监控端口　　在一些交换机中，我们可以通过对交换机的配置来实现将某个端口上的数据包，拷贝一份到另外一个端口上，这个过程就是“端口镜像”，如下图：　　端口1 为镜像端口，端口2 为被镜像端口；因为通过端口1可以看到端口2的流量，所以，我们也称端口1为监控端口，而端口2为被监控端口。　　市面上，绝大多数交换机（如cisco产品)的某个口被设置为镜像端口后，接到该端口的主机将无法发送数据包到网内其他机器，变成了“单向接受”模式；这类情况，并不利于监控，因为系统无发发送封包到客户机，而导致无法对客户机进行控制；不过“网路岗”针对此类情况有专门的解决手段，如碰到此类情况，用户可以咨询我公司技术人员。　　不过仍然有部分交换机除外，比如：TPLink-SF2008 或TPLink-SF2008(web)，因为其价格便宜，功能实用，因此我们一般建议客户购买此款交换机进行监控。汇聚MAC 　　在多VLan环境下，假如 Vlan-1最靠近因特网，通常情况下,其他 Vlan 的机器发出的数据包都需经过 Vlan-1 借道连入因特网，那么，其他Vlan下的机器发出的IP包经过这样的“路由”进入 Vlan-1 时，其数据包中原来的网卡地址通常会改变，改变后的地址就是我们这里提到的“汇聚MAC”。　　建议用“工具”菜单下的“ip包分析工具”抓包，如发现某个MAC对应多个不同的内网IP,那么这个MAC就是我们要找的MAC值。　 MAC采集点　　见安装包中程序MacSetup.exe，网卡地址“采集”程序，在跨VLAN环境、且选择“基于网卡MAC”的方式监控时才用，一般可在每个VLAN中安装一个，不安装也可以，安装“MAC采集点”程序是为了获取更及时、准确、全面的客户机网卡地址情况，且可有效进行IP-MAC绑定。　　尽管客户不安装该程序，系统仍然可以跨VLAN获取机器MAC信息，所以本程序并非必须安装。　　安装方法极其简单,只需要在选定的机器上运行此程序即可,不用任何配置.

VLAN Mapping实现同一网段不同VLAN的主机通信

交换及路由技术

3,811

社区成员

12,781

社区内容

发帖

与我相关

我的任务

社区管理员

加入社区

近7日
近30日
至今

加载中

查看更多榜单

社区公告

暂无公告

试试用AI创作助手写篇文章吧

+ 用AI写文章