本文关于针对企业网络，使用VLAN划分内网外网是不是不安全？，据
亚洲金融智库2022-05-29日讯:
这样的应用很普遍，但任何网络都没有绝对的安全，交换机肯定有被从内网或外网访问到的可能性，高手还是可以交换机的访问权限，从而更改交换机的VLAN划分，这样的话，内网的用户还是有可能访问到连接互联网的主机，或者外网用户直接访问内网主机。一般来说，我们都不回考虑来自内网的攻击，对外网的攻击，我们在交换机和外网之间加安全级别较高的防火墙，一般来说可有效隔来自外网宵小之辈的网络攻击。
虚拟局域网的意思是什么?
VLAN是为解决以太网的广播问题和安全性而提出的一种协议，它在以太网帧的基础上增加了VLAN头，用VLAN ID把用户划分为更小的工作组，限制不同工作组间的用户二层互访，每个工作组就是一个虚拟局域网。虚拟局域网的好处是可以限制广播范围，并能够形成虚拟工作组，动态管理网络。
什么是虚拟局域网？
VLAN (Virtual Local Area Network)的中文名为“虚拟局域网”，是相对物理局域网而言的，使用该技术可以将现有的由交换机互连的局域网划分成几个逻辑的虚拟局域网，虚拟局域网之间相互隔离，属于不同的广播域。这样一来可以将大的局域网构成的广播域划分成多个小的广播域，相对的广播流量会减少，缓解了广播风暴。同时VLAN技术还对各个虚拟局域网起到了安全隔离的效果。
方法/步骤
1、VLAN技术的配置
配置VLAN的方法有很多，win7系统下载可以通过指定交换机接口、客户机MAC地址或IP地址等多种方法划分VLAN，其中用得最多的是划分交换机物理接口。如图1所示，将交换机F0/2接口分配 给VLAN2。
VLAN的操作内容主要有创建、命名、接口指派等，具体命令配置如下。
(1)创建 VLAN。
Switch-A#VLAN database //进入 VLAN 配置数据库
% Warning: It is recommended to configure VLAN from config mode, as VLAN database mode is being deprecated. Please consult user documentation for configuring VTP/VLAN in config mode.
Sw.tch-A(VLAN)#VLAN 2 //创建 VLAN2
VLAN 2 added:
Name: VLAN0002 //畎认 VLAN2 名称
(2)为VLAN命名。
Switch-A(VLAN)#VLAN 2 name office 〃为 VLAN2 命名为 “office”
(3)接口指派。
2、VLAN中继
在没有配置VLAN之前，由交换机互连的网络默认同属于VLAN1。VLAN1也是默认的本征 VLAN本征VLAN是指交换机允许默认传输信息的VLAN。如图2所示，两台交换机互连，所有客户端默认都属于VLAN1。
对于不是本征VLAN的其他VLAN默认是不允许在交换机之间传输信息的。如图3所示，拓扑配置VLAN, PC2和PC4同厉于VLAN2,需要通过交换机之间的链路进行通信，但是默认链路不允许除本征VLAN以外的其他VLAN通过，那么横跨两个交换机同属于VLAN2的客户机就无法互通信息。
为了解决链路通过多条VLAN的问题，交换机的端口被定义为几种模式，分别是access (访 问模式)、trunk (中继模式)、dynamic (自协商模式)。
(1)access (访问模式)：连接客户端的接口一般为access模式。
(2) trunk (中继模式)：当链路需要通过多个VLAN时，该链路必须为trunk链路。
(3) dynamic (自协商模式)：自动协商，当一端为trunk时，另一端自动为trunk。
将端口配置为trunk模式的操作命令如下。
Switch-1 (config)#interface fO/O
Switch-1 (config-if)#switchport mode trunk //开启 trunk 模式
Switch-1 (config-if)#switchport trunk native VLAN [VLANID) 〃配置本征 VLAN,默认为 VL.AN1 Switch-1 (config-if)#switchport trunk allowed VLAN [WORD/add/all/except/none/remove]
_ 〃指定trunk链路允许通过的VL.AN.默认允许通过所有VLAM,【WORD】指定VLAN名，【add】添加VLAN, 【all】允许所有VLAN,【except】除此之外的所有VLAN, [none]禁止所有VLAN通过.【remove】移除某 VL.AN
3、VTP
在大型的局域网中，涉及的VLAN数量可能会很多，日常的管理维护工作相对也比较繁重， 单靠人工操作难免会影响工作效率。为此Cisco提出了 VTP (VLAN中继协议)，利用该协议可以 实现快速的地址配置。
VTP的工作原理是，将少数设备定义为服务器，系统下载其他设备定义为客户端，在服务器上配置所 有VLAN,并自动向所有信息匹配的客户端分发VLAN配置倍息。对VLAN进行配置调整时只需 要在服务器设备进行操作即可。
VTP配置时可以将设备定义为3种工作模式，分别是服务器模式、客户端模式、透明模式。
(1)服务器模式：可以添加、删除、修改VLAN信息，并且可以向其他服务器模式的设备学 习VLAN配置信息。
(2)客户端模式：只能向服务器模式的设备学习VLAN配置信息。
(3)透明模式：可以添加、删除、修改VLAN信息，但是不学习服务器设备的VLAN配置信息。可以转发服务器设备的VLAN配置信息。
虚拟局域网(VLAN)，是指网络中的站点不拘泥于所处的物理位置，而可以根据需要灵活地加入不同的逻辑子网中的一种网络技术。基于交换式以太网的虚拟局域网在交换式以太网中，利用VLAN技术，可以将由交换机连接成的物理网络划分成多个逻辑子网。也就是说，一个虚拟局域网中的站点所发送的广播数据包将仅转发至属于同一VLAN的站点。在交换式以太网中，各站点可以分别属于不同的虚拟局域网。构成虚拟局域网的站点不拘泥于所处的物理位置，它们既可以挂接在同一个交换机中，也可以挂接在不同的交换机中。虚拟局域网技术使得网络的拓扑结构变得非常灵活，例如位于不同楼层的用户或者不同部门的用户可以根据需要加入不同的虚拟局域网。划分虚拟局域网主要出于三种考虑：第一是基于网络性能的考虑。对于大型网络，现在常用的Windows NetBEUI是广播协议，当网络规模很大时，网上的广播信息会很多，会使网络性能恶化，甚至形成广播风暴，引起网络堵塞。那怎么办呢?可以通过划分很多虚拟局域网而减少整个网络范围内广播包的传输，因为广播信息是不会跨过VLAN的，可以把广播限制在各个虚拟网的范围内，用术语讲就是缩小了广播域，提高了网络的传输效率，从而提高网络性能。第二是基于安全性的考虑。因为各虚拟网之间不能直接进行通讯，而必须通过路由器转发，为高级的安全控制提供了可能，增强了网络的安全性。在大规模的网络，比如说大的集团公司，有财务部、采购部和客户部等，它们之间的数据是保密的，相互之间只能提供接口数据，其它数据是保密的。我们可以通过划分虚拟局域网对不同部门进行隔离。第三是基于组织结构上考虑。同一部门的人员分散在不同的物理地点，比如集团公司的财务部在各子公司均有分部，但都属于财务部管理，虽然这些数据都是要保密的，但需统一结算时，就可以跨地域(也就是跨交换机)将其设在同一虚拟局域网之中，实现数据安全和共享。采用虚拟局域网有如下优势：抑制网络上的广播风暴；增加网络的安全性；集中化的管理控制。基于交换式的以太网要实现虚拟局域网主要有三种途径：基于端口的虚拟局域网、基于MAC地址(网卡的硬件地址)的虚拟局域网和基于IP地址的虚拟局域网。(1)基于端口的虚拟局域网基于端口的虚拟局域网是最实用的虚拟局域网，它保持了最普通常用的虚拟局域网成员定义方法，配置也相当直观简单，就局域网中的站点具有相同的网络地址，不同的虚拟局域网之间进行通信需要通过路由器。采用这种方式的虚拟局域网其不足之处是灵活性不好。例如，当一个网络站点从一个端口移动到另外一个新的端口时，如果新端口与旧端口不属于同一个虚拟局域网，则用户必须对该站点重新进行网络地址配置，否则，该站点将无法进行网络通信。在基于端口的虚拟局域网中，每个交换端口可以属于一个或多个虚拟局域网组，比较适用于连接服务器。(2) 基于MAC地址的虚拟局域网在基于MAC地址的虚拟局域网中，交换机对站点的MAC地址和交换机端口进行跟踪，在新站点入网时根据需要将其划归至某一个虚拟局域网，而无论该站点在网络中怎样移动，由于其MAC地址保持不变，因此用户不需要进行网络地址的重新配置。这种虚拟局域网技术的不足之处是在站点入网时，需要对交换机进行比较复杂的手工配置，以确定该站点属于哪一个虚拟局域网。(3)基于IP地址的虚拟局域网在基于IP地址的虚拟局域网中，新站点在入网时无需进行太多配置，交换机则根据各站点网络地址自动将其划分成不同的虚拟局域网。在三种虚拟局域网的实现技术中，基于IP地址的虚拟局域网智能化程度最高，实现起来也最复杂。VLAN
专题推荐：
虚拟局域网 安全(4)
