pvlan解析和案例

1、簡介簡介PVLAN(PrivateVLAN私有VLAN)通常用于企業(yè)內(nèi)部網(wǎng)，用來防止連接到某些接口或接口組的網(wǎng)絡(luò)設(shè)備之間的相互通信，但卻允許與默認網(wǎng)關(guān)進行通信。盡管各設(shè)備處于不同的PVLAN中，它們可以使用相同的IP子網(wǎng)。在PVLAN中，交換機端口有3種類型：IsolatedPt(隔離端口)、CommunityPt(團體端口)和PromiscuousPt(混雜端口)；它們分別對應(yīng)不同的VLAN類型：IsolatedPt屬于Isolate

2、dPVLAN，CommunityPt屬于CommunityPVLAN，而代表一個PrivateVLAN整體的是PrimaryPVLAN(主私有VLAN)，前面兩類VLAN也稱為SecondaryPVLAN(輔助私有VLAN)，它們需要和PrimaryPVLAN綁定在一起，PromiscuousPt屬于PrimaryPVLAN。傳統(tǒng)傳統(tǒng)VLANVLAN的局限性：的局限性：隨著網(wǎng)絡(luò)的迅速發(fā)展，用戶對于網(wǎng)絡(luò)數(shù)據(jù)通信的安全性提出了更高的要求，諸

3、如防范黑客攻擊、控制病毒傳播等，都要求保證網(wǎng)絡(luò)用戶通信的相對安全性；傳統(tǒng)的解決方法是給每個客戶分配一個VLAN和相關(guān)的IP子網(wǎng)，通過使用VLAN，每個客戶被從第2層隔離開，可以防止任何惡意的行為和Ether的信息探聽。然而，這種分配每個客戶單一VLAN和IP子網(wǎng)的模型造成了巨大的可擴展方面的局限。這些局限主要有下述幾方面：1.VLAN的限制：交換機固有的VLAN數(shù)目的限制；2.復(fù)雜的STP：對于每個VLAN，每個相關(guān)的SpanningT

4、ree的拓撲都需要管理；3.IP地址的緊缺：IP子網(wǎng)的劃分勢必造成一些IP地址的浪費；4.路由的限制：每個子網(wǎng)都需要相應(yīng)的默認網(wǎng)關(guān)的配置。PVLANPVLAN簡介簡介PVLAN的應(yīng)用對于保證接入網(wǎng)絡(luò)的數(shù)據(jù)通信的安全性是非常有效的，用戶只需與自己的默認網(wǎng)關(guān)連接，一個PVLAN不需要多個VLAN和IP子網(wǎng)就能提供具備二層數(shù)據(jù)通信安全性的連接，所有的用戶都接入PVLAN，從而實現(xiàn)了所有用戶與默認網(wǎng)關(guān)的連接，而與PVLAN內(nèi)的其它用戶沒有任何訪

5、問。PVLAN功能可以保證同一個VLAN中的各個端口相互之間不能通信，但可以穿過Trunk端口。這樣即使同一VLAN中的用戶相互之間也不會受到廣播的影響。PVLANPVLAN的2種VLANVLAN：主要VLAN(PrimaryVLAN)：把流量從混雜端口傳送到隔離、團體和同一個VLAN內(nèi)部的其它主要混雜端口。輔助VLAN(SecondaryVLAN)：輔助VLAN包含兩種VLAN類型：隔離VLAN(IsolatedVLAN)：把流量從隔

6、離端口傳送到一個混雜端口。隔離VLAN中的端口，使其不能與PVLAN(另一個團體VLAN端口或相同隔離VLAN內(nèi)的端口)內(nèi)部的任何其它端口進行第2層通信。若要與其它端口通信，則必須穿越混雜端口。團體VLAN(CommunityVLAN)：在相同團體VLAN內(nèi)部的團體端口之間傳送流量并傳送到混雜端口，團體VLAN內(nèi)的端口可以在第2層彼此通信(只是在相同團體VLAN內(nèi)部)，但是不能與其它團體或隔離VLAN的端口進行通信。若要與其它端口進行通

7、信，則必須穿越混雜端口。①只限于同一交換機的同一VLAN，它不能隔離位于不同交換機或不同VLAN的兩個受保護的端口間通信；②受保護的端口間若要通信必須通過3層設(shè)備，在受保護端口間路由；③控制流量是一個例外，它將在受保護的端口間進行轉(zhuǎn)發(fā)(如路由選擇協(xié)議更新)；④受保護的端口和非保護端口間的轉(zhuǎn)發(fā)一般優(yōu)于默認行為；⑤默認情況下端口不配置受保護的端口。配置命令：SW1(config)#intf01SW1(configif)#switchitch

8、ptswitchitchptprotectedprotected開啟端口保護SW1#showshowintintf01f01switchptswitchpt查看交換端口的配置CatalystCatalyst交換機上的交換機上的VLANVLAN支持：支持：實驗實驗命令：命令：SW1(configvlan)#privatevlanprivatevlancommunitycommunitySW1(configvlan)#privatevlan

9、privatevlanisolatedisolatedSW1(configvlan)#privatevlanprivatevlanprimaryprimarySW1(configvlan)#privatevlanprivatevlanassociationassociation101102101102SW1(configif)#switchptswitchptprivatevlanprivatevlanhostassociationho

10、stassociation100100101101SW1(configif)#switchptswitchptmodemodeprivatevlanprivatevlanhosthostSW1(configif)#switchptswitchptprivatevlanprivatevlanmappingmapping100100101102101102SW1(configif)#switchptswitchptmodemodepriva