VLAN是網(wǎng)絡(luò)交換機(jī)的一種技術(shù)，可以把不同的電腦劃分在不同的網(wǎng)絡(luò)中，使其不能互相通信，以達(dá)到提高安全性和網(wǎng)絡(luò)性能的目的。要跨越VLAN通信，必須借助路由器或者3層交換模塊。

我市的ADSL網(wǎng)在接入層使用了Cisco的Catalyst6509型三層交換機(jī)，在端口上設(shè)置了VLAN，把同一IP段的用戶相互隔開。這樣一來，安全性倒是高了，可惜平時打游戲、共享文件都不方便，需要通過其他IP段的朋友中轉(zhuǎn)。于是突破VLAN成了當(dāng)務(wù)之急。

我所在的段，IP地址為10.145.254.x，網(wǎng)關(guān)為10.145.254.1，采用24位的掩碼。因?yàn)槭峭籌P段，所以電腦不會自動通過路由器轉(zhuǎn)發(fā)數(shù)據(jù)，而妄想通過直接通信的方式聯(lián)絡(luò)對方電腦。在VLAN環(huán)境下，ARP是收不到回應(yīng)的，因此直接通信也就被禁止了。 

要想實(shí)現(xiàn)互通，必須強(qiáng)制電腦把數(shù)據(jù)發(fā)給路由器。

大家知道，路由器判斷一個數(shù)據(jù)包是否應(yīng)該轉(zhuǎn)發(fā)，是以其2層地址和3層地址為依據(jù)的。如果該數(shù)據(jù)包的目標(biāo)MAC地址不是路由器接口的MAC地址，那么這個包根本不是給路由器的，而是HUB產(chǎn)生的1層廣播包；如果目標(biāo)MAC地址與路由器接口的MAC地址相同，但目標(biāo)IP地址并不是路由器接口的IP地址，這個包就應(yīng)該被路由出去；如果目標(biāo)MAC地址和IP地址都與路由器接口相匹配，那這個數(shù)據(jù)包是發(fā)給路由器本身的。

電腦在發(fā)送數(shù)據(jù)時，先判斷目標(biāo)和自己是否在同一IP網(wǎng)段。如果在同一網(wǎng)段，則發(fā)送ARP請求，查詢對方的MAC地址，然后封包發(fā)送；如果不在同一IP網(wǎng)段，則發(fā)送數(shù)據(jù)包，并把包頭中目標(biāo)MAC地址設(shè)置為本子網(wǎng)的路由器接口的MAC地址，而目標(biāo)IP地址則是最終接收數(shù)據(jù)的電腦的IP地址的數(shù)據(jù)包。路由器收到數(shù)據(jù)以后，就會把它轉(zhuǎn)發(fā)出去。

要強(qiáng)制電腦把本來直接發(fā)送的數(shù)據(jù)發(fā)給路由器，可以從ARP協(xié)議上下手，也可以從判斷是否同一網(wǎng)段的過程下手。

使用ARP的方法如下：

1、使用arp -a命令查看已知的MAC列表。因?yàn)槟壳癡LAN里只有網(wǎng)關(guān)和本身，所以這里只顯示網(wǎng)關(guān)的MAC地址：

  Internet Address      Physical Address      Type

10.145.254.1          00-d0-04-14-af-fc     dynamic

2、使用arp -s命令把要與之通信的電腦的IP地址和網(wǎng)關(guān)的MAC地址強(qiáng)行捆綁。這樣，這臺電腦就會把發(fā)給對方的數(shù)據(jù)發(fā)給路由器。對方的機(jī)器也要運(yùn)行這個命令，不過IP地址要指定為這一臺。比如10.145.254.a和10.145.254.b通信，要在10.145.254.a上運(yùn)行arp -s 10.145.254.b 00-d0-04-14-af-fc ，而在10.145.254.b上運(yùn)行arp -s 10.145.254.a 00-d0-04-14-af-fc 

經(jīng)過這樣的設(shè)置，電腦還以為自己在直接發(fā)送數(shù)據(jù)，而路由器以為自己收到了需要路由的數(shù)據(jù)包。這其實(shí)是一種ARP欺騙技術(shù)。

使用同子網(wǎng)判斷的方法如下：

雙方使用route命令，建立一條“主機(jī)路由”。所謂主機(jī)路由，就是針對一臺電腦而不是一個IP網(wǎng)段的路由項(xiàng)目，其目標(biāo)掩碼為255.255.255.255。

在10.145.254.a上運(yùn)行route ADD 10.145.254.b MASK 255.255.255.255  10.145.254.1 ，在10.145.254.b上運(yùn)行route ADD 10.145.254.a MASK 255.255.255.255  10.145.254.1即可。根據(jù)路由的最長匹配原則，電腦在發(fā)送數(shù)據(jù)時會選擇掩碼里1比較多的那一項(xiàng)，也就是主機(jī)路由（32位掩碼），而不會認(rèn)為對方和自己同一子網(wǎng)（24位掩碼）。

使用以上兩種方法，就可以突破VLAN的限制了。除了CS的LAN Gane還不能正常運(yùn)行（Internet Game正常）以外，其他軟件均運(yùn)行正常。

文章錄入：csh    責(zé)任編輯：csh 

最新評論