若欲在校园网络中实现VLAN，首先需要支持VLAN的交换机。当然，并不要求所有的交换机都支持VLAN，但是，网络内必须至少有一台交换机支持VLAN，否则，VLAN的划分就是不可能的……

　　由于学校正在积极筹备专升本工作，因此，投入了近500万元购置网络设备和计算机。中心交换机采用Cisco Catalyst 4500，工作组交换机采用Cisco Catalyst 3550和Catalyst 2950。考虑到每栋楼接入的交换机数量并不多，所以，没有设置骨干交换机。只是简单地利用千兆端口将工作组交换机连接在一起，然后，通过光纤连接到中心交换机。目前，接入校园网的楼宇共8栋，计算机1100余台。

　　显然不能把这么多的计算机都放在一个网段中。原因有以下几点：

　　第一，IP地址冲突会把网管搞得晕头转向，而动态分配IP地址又会产生大量的广播包，导致网络传输效率下降。

　　第二，任何一块网卡的损坏，任何一根双绞线出问题，都有可能导致网络风暴的发生，从而导致网络瘫痪。

　　第三，各种网络协议(如ARP、NetBEUI、DHCP等)被广泛使用，从而导致网络内充斥大量的广播包，大大降低网络的有效带宽。

　　第四，任何用户都可以直接访问所有的计算机，使恶意攻击变得易如反掌，网络没有任何安全可言。

　　因此，必须根据不同部门的特点，将整个校园网划分为若干个子网络，从而将大量的广播通讯限制在本地网络。同时，限制对某些特殊子网(如财务、人事、学生等)的访问。

　　一、什么是VLAN

　　虚拟网技术(VLAN，Virtual Local Area Network)的诞生主要源于广播。广播在网络中起着非常重要的作用，如发现新设备、调整网络路径、IP地址租赁等等，许多网络协议都要用到广播，如。然而，随着网络内计算机数量的增多，广播包的数量也会急剧增加，当广播包的数量占到通讯总量的30%时，网络的传输效率将会明显下降。所以，当局域网内的计算机达到一定数量后(通常限制在150~200台以内)，通常采用划分VLAN的方式将网络分隔开来，将一个大的广播域划分为若干个小的广播域，以减小广播可能造成的损害。

　　如何分隔大的广播域呢？最简单的方案就是物理分隔，即将一个完整的网络物理地分隔成两个或多个子网络，然后，再通过一个能够隔离广播的路由设备将彼此连接起来。除了物理分隔的方法之外，就是在交换机上采用逻辑分隔的方式，将一个大的局域网划分为若干个小的虚拟子网(如图2所示)，即VLAN，从而使每一个子网都成为一个单独的广播域，子网之间进行通信必须通过三层设备。当VLAN在交换机上划分后，不同VLAN间的设备就如同是被物理地分割。也就是说，连接到同一交换机、然而处于不同VLAN的设备，就如同被物理地连接到两个位于不同网段的交换机上一样，彼此之间的通信一定要经过路由设备，否则，他们之间将无法得知对方的存在，将无法进行任何通信？

　　二、VLAN的重要意义

　　VLAN中的成员与其物理位置无关，既可连接至同一台交换机，也可连接至不同交换机。

　　● 降低移动和变更的管理成本

　　使用VLAN，当需要把一台计算机从一个子网转移到另一个子网时，只需在交换机上重新定义一下VLAN成员即可。尤其是在采用MAC地址动态划分VLAN时，当用户将计算机从一个交换机端口移动到另一个交换机端口，由于其网卡的MAC地址并不改变，所以，交换机能够自动跟踪该终端的MAC地址，并自动将其纳入定义的VLAN中。

　　● 控制广播

　　由于所有的广播都只在本VLAN内进行，而不再扩散到其他VLAN上，所以，把校园网络适当地划分成若干较小的VLAN，将大大减少广播对网络带宽的占用，从而提高网络传输效率，并有效地避免广播风暴的产生以及在整个网络的蔓延。

　　● 支持多媒体技术和高效组播控制

　　组播技术是支持多媒体应用的有效手段，在交换机中用组播组动态定义VLAN，并自动把组播报文只复制给同一VLAN中的终端，大大提高了多媒体数据传输的实时性，更有效地使用了带宽，降低了网络因拥挤而阻塞的可能性。

　　● 增强安全性

　　由于交换机只能在同一VLAN内的端口之间交换数据，不同VLAN的端口不能直接相互访问。同时，可以在Trunk(中继)中设置允许访问的VLAN，从而限制未经允许的VLAN访问，保证VLAN只被授权的用户访问。因此，通过划分VLAN，可以有效地提高网络安全性，防止某些非授权用户对敏感数据的访问。

　　● 网络监督和管理的自动化

　　由于可以通过网管软件查看VLAN间和VLAN内的各类通信信息，而这些信息对于确定网络拓朴与路由，以及设置服务器的位置都十分有用。通过划分VLAN，可以使网络管理变得更简单、更轻松、更有效。