关于 Private VLAN

Private VALN 主要的目的就是要求在同一个ip子网内的主机不能随便相互访问,而同时又都可以和某一个目的主机,比如路由器、防火墙之类的通讯。 常见的应用场合是DMZ,或者ISP的个人用户群体等。

private VLAN包含primary VLAN

和secondary VLAN, 它又分为isolated 和 community 两种, isolated 只能和promiscuous 端口通讯, community内部的主机可以相互通信。

private VALN里面的端口又分三种, promiscuous port, isolated port和community port。

 

要在思科交换机上配置

首先打开这个功能

switch(config)# feature private-vlan 

各个vlan必须已经定义好,然后再把它们转换为各种private VLAN

switch(config)# vlan 5
switch(config-vlan)# private-vlan primary
switch(config-vlan)#  exit
switch(config)# vlan 100
switch(config-vlan)# private-vlan community
switch(config-vlan)# exit
switch(config)# vlan 109
switch(config-vlan)# private-vlan isolated

如果要删除private vlan,先用no provate-vlan 命令把它们改回普通vlan

定义好了,就把secondary关联到primary

进入primary vlan

switch(config)# vlan 5
switch(config-vlan)# private-vlan association 100-103, 109

你还可以用add remove 选项来编辑这个secondary valn列表。

 

然后还要配置每个端口:

对于secondary vlan里的端口,

switch(config)# interfaceethernet 1/12
switch(config-if)# switchport mode private-vlan host
switch(config-if)# switchport private-vlan host-association 5 101

对于primary vlan里的 promiscuous 端口,

switch(config)# interfaceethernet 1/2
switch(config-if)# switchport mode private-vlan promiscuous
switch(config-if)# switchport private-vlan mapping 5 109

promiscuous 端口也可能接一个监控主机之类的。

 

注意VMware vSphere也支持private VLAN, 在你编辑dvSwitch的时候可以看到一个provate VLAN的Tab, 然后可以定义VLAN ID, 然后还要创建port group等关联到private VLAN上, 但具体没有试过。

 

 

你可能感兴趣的:(private,VLAN)