1、PVLAN解析和案例PVLAN解析和案例口。这样即使同一VLAN中的用户相互之间也不会受到广播的影响。PVLAN的2种VLAN:主要VLAN(Primary VLAN):把流量从混杂端口传送到隔离、团体和同一个VLAN内部的其它主要混杂端口。辅助VLAN(Secondary VLAN):辅助VLAN包含两种VLAN类型:隔离VLAN(Isolated VLAN):把流量从隔离端口传送到一个混杂端口。隔离VLAN中的端口,使其不能与PVLAN(另一个团体VLAN端口或相同隔离VLAN内的端口)内部的任何其它端口进行第2层通信。若要与其它端口通信,则必须穿越混杂端口。团体VLAN(Communit
2、y VLAN):在相同团体VLAN内部的团体端口之间传送流量并传送到混杂端口,团体VLAN内的端口可以在第2层彼此通信(只是在相同团体VLAN内部),但是不能与其它团体或隔离VLAN的端口进行通信。若要与其它端口进行通信,则必须穿越混杂端口。PVLAN的2种端口类型:混杂端口(Promiscuous Port):隶属于“Primary VLAN”,一个混杂端口可以与所有接口通信,包括PVLAN内的隔离和团体端口;混杂端口的功能是在团体和隔离的VLAN端口之间传递流量。主机端口(Host Port):隶属于“Secondary VLAN”,由于“Secondary VLAN”具有两种属性,那么主
3、机端口依“Secondary VLAN”属性的不同也有两种分类:隔离端口(Isolated Port):它与PVLAN内的所有其它端口相分离,除混杂端口外;来源于隔离端口的流量仅仅传送给混杂端口。团体端口(Community Port):它在逻辑上把相同区域内部的各个端口和混杂端口结合到一起,流量可以在它们之间传送。PVLAN的使用规则:1.一个“Primary PVLAN”当中只能有1个“Promiscuous Port”;2.一个“Primary PVLAN”当中至少有1个“Secondary PVLAN”,但是没有上限;3.一个“Primary PVLAN”当中只能有1个“Isolate
4、d PVLAN”,可以有多个“Community PVLAN”;4.不同“Primary PVLAN”之间的任何端口都不能互相通信(这里“互相通信”是指二层连通性);5.“Isolated Port”只能与“Promiscuous Port”通信,除此之外不能与任何其他端口通信;6.“Community Port”可以和“Promiscuous Port”通信,也可以和同一“Community PVLAN”中的其它物理端口进行通信,除此之外不能和其他端口通信。7.创建PVLAN前,需要配置VTP模式为Transparent,在配置PVLAN后,将不能再把模式转变为Server和Client;8
5、.在配置PVLAN中,不使用VLAN1,VLAN1002 - 1005;9.三层的VLAN接口只能分配给主VLAN;10.不能在PVLAN中配置EtherChannel;11.假如交换机上一个端口作为SPAN的目的端口,这个端口会在配置PVLAN的后失效;12.PVLAN的端口可以做SPAN的源端口;13.假如在PVLAN中删除了一个VLAN,那么属于该VLAN的端口将失效。受保护的端口(PVLAN边缘)和PVLAN:这两种技术都可以实现交换机同一VLAN中的接口间不能通信的目的,但这种“不可通信”不是真正的隔离并且只是一种表面现象,通过某些办法是可以打破这种表象的。受保护的端口要求:只限于同
6、一交换机的同一VLAN,它不能隔离位于不同交换机或不同VLAN的两个受保护的端口间通信;受保护的端口间若要通信必须通过3层设备,在受保护端口间路由;控制流量是一个例外,它将在受保护的端口间进行转发(如路由选择协议更新);受保护的端口和非保护端口间的转发一般优于默认行为;默认情况下端口不配置受保护的端口。配置命令:SW1(config)#int f0/1SW1(config-if)#switchitchport protected/开启端口保护SW1#show int f0/1 switchport/查看交换端口的配置Catalyst交换机上的VLAN支持:实验命令:SW1(config-vla
7、n)#private-vlan communitySW1(config-vlan)#private-vlan isolatedSW1(config-vlan)#private-vlan primarySW1(config-vlan)#private-vlan association 101-102SW1(config-if)#switchport private-vlan host-association 100 101SW1(config-if)#switchport mode private-vlan hostSW1(config-if)#switchport private-vlan m
8、apping 100 101,102SW1(config-if)#switchport mode private-vlan promiscuousSW1(config-if)#private-vlan mapping 101-102SW1(config)#vtp mode transparentSW1(config)#vlan 200SW1(config-vlan)#name VLAN-200SW1(config)#int f0/23SW1(config-if)#switchport access vlan 200SW1(config-if)#switchport mode access/用于
9、接入SW2交换机SW1(config)#ip routing/配置三层交换,SW1承担Vlan 100和Vlan 200间的路由功能SW1(config)#int vlan 200SW1(config-if)#ip add 172.16.2.254 255.255.255.0SW1(config-if)#no sh1.创建主要和辅助PVLAN:SW1(config)#vlan 100SW1(config-vlan)#name VLAN-100SW1(config-vlan)#private-vlan primary/配置该VLAN为主VLANSW1(config)#vlan 101SW1(co
10、nfig-vlan)#private-vlan community/配置该VLAN为辅助VLAN的团体VLANSW1(config)#vlan 102SW1(config-vlan)#private-vlan isolated/配置该VLAN为辅助VLAN的隔离VLAN2.把辅助VLAN与主要VLAN关联:SW1(config)#vlan 100SW1(config-vlan)#private-vlan association 101-102/把本主VLAN和辅助VLAN101、102关联3.把辅助VLAN映射到交换机SVI(虚拟接口):SW1(config)#int vlan 100SW1(
11、config-if)#ip add 172.16.1.254 255.255.255.0SW1(config-if)#private-vlan mappingadd101-102/将辅助VLAN映射到3层接口,允许PVLAN入口流量的3层交换;辅助VLAN被映射到主VLAN后就不能起自己的SVI了,也就是说映射时也可以不映射全部的辅助VLANSW1(config-if)#no sh4.配置一个2层端口作为隔离或团体端口,把这个2层端口与初级VLAN和可选辅助对VLAN进行关联:SW1(config)#int f0/1SW1(config-if)#switchport private-vlan
12、host-association 100 101/把本接口配置为团体接口;即本接口属于主Vlan 100,并关联到辅助Vlan 101中SW1(config-if)#switchport mode private-vlan host/辅助VLAN的接口模式被定义为hostSW1(config)#int f0/2SW1(config-if)#switchport private-vlan host-association 100 101SW1(config-if)#switchport mode private-vlan hostSW1(config)#int f0/3SW1(config-if
13、)#switchport private-vlan host-association 100 102SW1(config-if)#switchport mode private-vlan hostSW1(config)#int f0/4SW1(config-if)#switchport private-vlan host-association 100 102SW1(config-if)#switchport mode private-vlan host5.配置一个2层端口作为PVLAN混杂端口,并将这个混杂端口映射到初级VLAN端口和可选的辅助VLAN对:SW1(config)#int f0
14、/13SW1(config-if)#switchport private-vlan mapping 100 101,102/把本接口属于主Vlan 100,并实现主VLAN和辅助VLAN间的映射;主VLAN接口也可以不映射所有的辅助VLANSW1(config-if)#switchport mode private-vlan promiscuous/把本接口配置为混杂接口,即本接口可以和Vlan 101、102通信;主VLAN接口的模式一定是Promiscuous这时PC1/(PC2)能与PC2/(PC1)、Server、Vlan 200(SW2)通信;注意PC1/PC2与PC3和PC4是不通的!PC3/PC4只能与Server、Vlan 200(SW2)通信;注意PC3和PC4是不通的!说明:只有VTP模式为透明模式,才能配置PVLAN。host|promiscuous:host:只能为一个辅助VLAN服务;promiscuous:可以为多个辅助VLAN服务。实验调试SW1#show int f0/1 switchportSW1#show int private-vlan mappingSW1#show vlan private-vlan/查看PVLAN信息
copyright@ 2008-2022 冰豆网网站版权所有
经营许可证编号:鄂ICP备2022015515号-1