路由器的橋接功能在VLAN劃分中的應(yīng)用
某單位在構(gòu)建網(wǎng)絡(luò)時(shí)，最初使用了一臺(tái)3Com SuperStack Ⅱ Switch 1100作為主交換機(jī)和一臺(tái)Cisco 2509廣域網(wǎng)路由器。在第二次網(wǎng)絡(luò)建設(shè)時(shí)，根據(jù)有限的預(yù)算添置了2臺(tái)Cisco Catalyst 1924交換機(jī)和一臺(tái)Cisco 3640路由器用于與各地分支機(jī)構(gòu)的廣域網(wǎng)互連。該單位希望可以充分利用這些的網(wǎng)絡(luò)設(shè)備按部門劃分虛擬局域網(wǎng)（VLAN），以便更好地進(jìn)行網(wǎng)絡(luò)安全管理。
一、專有協(xié)議的兼容
但是在準(zhǔn)備實(shí)施VLAN的計(jì)劃時(shí)遇到了一些問題。我們知道，虛擬局域網(wǎng)VLAN是可以從邏輯上劃分的獨(dú)立物理網(wǎng)絡(luò)，一般可以認(rèn)為等價(jià)于一個(gè)第二層廣播域。 在交換機(jī)中數(shù)據(jù)幀不能在2個(gè)VLAN之間轉(zhuǎn)發(fā)，要實(shí)現(xiàn)VLAN之間的通信，需要將交換機(jī)連接到第三層設(shè)備（如路由器或第三層交換機(jī)）進(jìn)行路由。一般來說， 一個(gè)物理端口只屬于一個(gè)VLAN，這樣VLAN的數(shù)量必須與路由器以太網(wǎng)物理端口數(shù)量以及交換機(jī)用于級(jí)聯(lián)的端口數(shù)量保持一致，這樣將導(dǎo)致大量的端口浪費(fèi)， 并且極大地限制了VLAN的擴(kuò)展和劃分靈活性。為了解決這一問題，實(shí)現(xiàn)一個(gè)物理端口上傳輸多個(gè)VLAN數(shù)據(jù)流，可以使用“標(biāo)簽”（Tagging）技術(shù)， 即在此端口上對(duì)每個(gè)數(shù)據(jù)幀貼上標(biāo)簽（Tag）用于標(biāo)記該幀所屬的VLAN，系統(tǒng)利用其VLAN標(biāo)識(shí)號(hào)即VLAN ID來確定數(shù)據(jù)幀的轉(zhuǎn)發(fā)，這就需要網(wǎng)絡(luò)設(shè)備支持Tagging封裝協(xié)議。
在本實(shí)例中所遇到的技術(shù)難題是，Catalyst 1924交換機(jī)與SuperStack 1100交換機(jī)分別支持不同的VLAN tagging封裝協(xié)議：Catalyst 1924可以封裝Cisco專有的ISL協(xié)議，而SuperStack 1100則只能封裝IEEE 802.1Q，這2種協(xié)議是互不兼容的。這樣2種交換機(jī)不能夠通過一個(gè)級(jí)聯(lián)端口同時(shí)傳輸多個(gè)VLAN數(shù)據(jù)流，勢(shì)必仍將造成端口浪費(fèi)并限制VLAN劃分的靈 活性。
所幸的是，該單位還有一臺(tái)Cisco 3640路由器，而且該路由器包含2個(gè)以太網(wǎng)端口，同時(shí)此Cisco 3640的IOS版本支持以上2種VLAN tagging封裝協(xié)議，這時(shí)候就可以利用路由器的透明橋接功能了。在介紹解決方案之前，先對(duì)Cisco路由器的透明橋接特性作簡(jiǎn)要的說明。
二、Cisco路由器的透明橋接
在Cisco路由器中，其IOS軟件支持基于以太網(wǎng)、FDDI光纖網(wǎng)和串行鏈路的透明橋接。
Cisco路由器提供集成的路由與橋接（Integrated Routing and Bridging，IRB）功能。當(dāng)配置了IRB后，不可路由的協(xié)議數(shù)據(jù)流可以在配置為相同網(wǎng)橋組的端口上實(shí)現(xiàn)橋接交換，同時(shí)可以路由的協(xié)議數(shù)據(jù)流則在其 他的路由端口或不同的網(wǎng)橋組之間實(shí)現(xiàn)路由。
這里提到了一個(gè)概念，即網(wǎng)橋組（Bridge-Group）。要實(shí)現(xiàn)不同的端口之間的橋接交換，必須將這些端口歸到同一個(gè)網(wǎng)橋組當(dāng)中。從概念上說，配置為 同一個(gè)網(wǎng)橋組中的所有端口屬于同一個(gè)第二層的廣播域，不管這個(gè)端口類型是廣域網(wǎng)端口還是以太網(wǎng)端口，也不管這個(gè)端口是物理端口還是邏輯端口（如X.25的 子口或以太網(wǎng)的VLAN子口）。Cisco路由器為每一個(gè)已配置的網(wǎng)橋組自動(dòng)產(chǎn)生一個(gè)虛擬接口，稱之為Beidge-Group Virtual Interface（BVI），在不同的BVI之間或BVI與其它的端口之間可以實(shí)現(xiàn)路由的能力。下面說明BVI的主要概念和IRB的配置任務(wù)。
其中端口E0、E1、E2是橋接端口，歸到了同一個(gè)網(wǎng)橋組Bridge-Group 1中，路由器為此自動(dòng)產(chǎn)生一個(gè)邏輯虛擬接口BVI 1，端口E3則是路由端口。就工作原理來說，此圖配置的路由器等價(jià)于這樣的網(wǎng)絡(luò)連接，即一個(gè)由E0、E1、E2及一個(gè)上聯(lián)口組成的4口交換機(jī)和一個(gè)由 BVI 1、E3組成的2口路由器通過BVI 1接口進(jìn)行連接，顯然E0、E1和E2這3個(gè)口是在同一廣播域中。