pvlan解析和案例

1、簡(jiǎn)介簡(jiǎn)介PVLAN(PrivateVLAN私有VLAN)通常用于企業(yè)內(nèi)部網(wǎng)，用來防止連接到某些接口或接口組的網(wǎng)絡(luò)設(shè)備之間的相互通信，但卻允許與默認(rèn)網(wǎng)關(guān)進(jìn)行通信。盡管各設(shè)備處于不同的PVLAN中，它們可以使用相同的IP子網(wǎng)。在PVLAN中，交換機(jī)端口有3種類型：IsolatedPt(隔離端口)、CommunityPt(團(tuán)體端口)和PromiscuousPt(混雜端口)；它們分別對(duì)應(yīng)不同的VLAN類型：IsolatedPt屬于Isolate

2、dPVLAN，CommunityPt屬于CommunityPVLAN，而代表一個(gè)PrivateVLAN整體的是PrimaryPVLAN(主私有VLAN)，前面兩類VLAN也稱為SecondaryPVLAN(輔助私有VLAN)，它們需要和PrimaryPVLAN綁定在一起，PromiscuousPt屬于PrimaryPVLAN。傳統(tǒng)傳統(tǒng)VLANVLAN的局限性：的局限性：隨著網(wǎng)絡(luò)的迅速發(fā)展，用戶對(duì)于網(wǎng)絡(luò)數(shù)據(jù)通信的安全性提出了更高的要求，諸

3、如防范黑客攻擊、控制病毒傳播等，都要求保證網(wǎng)絡(luò)用戶通信的相對(duì)安全性；傳統(tǒng)的解決方法是給每個(gè)客戶分配一個(gè)VLAN和相關(guān)的IP子網(wǎng)，通過使用VLAN，每個(gè)客戶被從第2層隔離開，可以防止任何惡意的行為和Ether的信息探聽。然而，這種分配每個(gè)客戶單一VLAN和IP子網(wǎng)的模型造成了巨大的可擴(kuò)展方面的局限。這些局限主要有下述幾方面：1.VLAN的限制：交換機(jī)固有的VLAN數(shù)目的限制；2.復(fù)雜的STP：對(duì)于每個(gè)VLAN，每個(gè)相關(guān)的SpanningT

4、ree的拓?fù)涠夹枰芾恚?.IP地址的緊缺：IP子網(wǎng)的劃分勢(shì)必造成一些IP地址的浪費(fèi)；4.路由的限制：每個(gè)子網(wǎng)都需要相應(yīng)的默認(rèn)網(wǎng)關(guān)的配置。PVLANPVLAN簡(jiǎn)介簡(jiǎn)介PVLAN的應(yīng)用對(duì)于保證接入網(wǎng)絡(luò)的數(shù)據(jù)通信的安全性是非常有效的，用戶只需與自己的默認(rèn)網(wǎng)關(guān)連接，一個(gè)PVLAN不需要多個(gè)VLAN和IP子網(wǎng)就能提供具備二層數(shù)據(jù)通信安全性的連接，所有的用戶都接入PVLAN，從而實(shí)現(xiàn)了所有用戶與默認(rèn)網(wǎng)關(guān)的連接，而與PVLAN內(nèi)的其它用戶沒有任何訪

5、問。PVLAN功能可以保證同一個(gè)VLAN中的各個(gè)端口相互之間不能通信，但可以穿過Trunk端口。這樣即使同一VLAN中的用戶相互之間也不會(huì)受到廣播的影響。PVLANPVLAN的2種VLANVLAN：主要VLAN(PrimaryVLAN)：把流量從混雜端口傳送到隔離、團(tuán)體和同一個(gè)VLAN內(nèi)部的其它主要混雜端口。輔助VLAN(SecondaryVLAN)：輔助VLAN包含兩種VLAN類型：隔離VLAN(IsolatedVLAN)：把流量從隔

6、離端口傳送到一個(gè)混雜端口。隔離VLAN中的端口，使其不能與PVLAN(另一個(gè)團(tuán)體VLAN端口或相同隔離VLAN內(nèi)的端口)內(nèi)部的任何其它端口進(jìn)行第2層通信。若要與其它端口通信，則必須穿越混雜端口。團(tuán)體VLAN(CommunityVLAN)：在相同團(tuán)體VLAN內(nèi)部的團(tuán)體端口之間傳送流量并傳送到混雜端口，團(tuán)體VLAN內(nèi)的端口可以在第2層彼此通信(只是在相同團(tuán)體VLAN內(nèi)部)，但是不能與其它團(tuán)體或隔離VLAN的端口進(jìn)行通信。若要與其它端口進(jìn)行通

7、信，則必須穿越混雜端口。①只限于同一交換機(jī)的同一VLAN，它不能隔離位于不同交換機(jī)或不同VLAN的兩個(gè)受保護(hù)的端口間通信；②受保護(hù)的端口間若要通信必須通過3層設(shè)備，在受保護(hù)端口間路由；③控制流量是一個(gè)例外，它將在受保護(hù)的端口間進(jìn)行轉(zhuǎn)發(fā)(如路由選擇協(xié)議更新)；④受保護(hù)的端口和非保護(hù)端口間的轉(zhuǎn)發(fā)一般優(yōu)于默認(rèn)行為；⑤默認(rèn)情況下端口不配置受保護(hù)的端口。配置命令：SW1(config)#intf01SW1(configif)#switchitch

8、ptswitchitchptprotectedprotected開啟端口保護(hù)SW1#showshowintintf01f01switchptswitchpt查看交換端口的配置CatalystCatalyst交換機(jī)上的交換機(jī)上的VLANVLAN支持：支持：實(shí)驗(yàn)實(shí)驗(yàn)命令：命令：SW1(configvlan)#privatevlanprivatevlancommunitycommunitySW1(configvlan)#privatevlan

9、privatevlanisolatedisolatedSW1(configvlan)#privatevlanprivatevlanprimaryprimarySW1(configvlan)#privatevlanprivatevlanassociationassociation101102101102SW1(configif)#switchptswitchptprivatevlanprivatevlanhostassociationho

10、stassociation100100101101SW1(configif)#switchptswitchptmodemodeprivatevlanprivatevlanhosthostSW1(configif)#switchptswitchptprivatevlanprivatevlanmappingmapping100100101102101102SW1(configif)#switchptswitchptmodemodepriva