思科privatevlan

1、思科 private vlan 配置private VLAN 里有 3 種 portisolated， community ，promiscuous。 private VLAN 有 3 種 ： primary VLAN ， isolated VLAN ， community VLAN 。 配置命令分別是： vlan 901 private-vlan isolated vlan 902 private-vlan community vlan 900 private-vlan primaryprimary VLAN 和他所關聯(lián)的 isolated VLAN community VLAN 都可以通信

2、 . isolated VLAN 和 community VLAN 都屬于 secondary VLAN ，他們之間的區(qū)別是： 同屬于一個 isolated VLAN 的主機不可以互相通信，同屬于一個 community VLAN 的主機可以互相通信。但他們都可以和和所關聯(lián)的 primary VLAN 通信 .配置 primary VLAN 和 secondary VLAN 關聯(lián)的命令是： vlan 900 private-vlan primaryprivate-vlan association 901,902 注意一個 primary VLAN 只可以關聯(lián)一個 isolated VLAN +

3、 多個 community VLAN把端口放進 isolated VLAN 或者 community VLAN 的命令是 interface GigabitEthernet4/11switchport switchport private-vlan host-association 900 901switchport mode private-vlan host/因為 901 是 isolated VLAN,g4/11 現(xiàn)在是一個 isolated port interface GigabitEthernet4/12switchportswitchport private-vlan host-

4、association 900 902switchport mode private-vlan host/因為 902 是 community VLAN,g4/12 現(xiàn)在是一個 community port注意在 private vlan 里 switchport access vlan xxx 這一句已經(jīng)不起作用了。 起作用的是 switchport private-vlan host-association 900 902這一句， 這一句把端口放 入 primary vlan 900和 secondary vlan 902。把端口放進 primary VLAN 的命令是：interface

5、 GigabitEthernet4/14 switchportswitchport private-vlan mapping 900 901,902switchport mode private-vlan promiscuous/g4/14 現(xiàn)在是一個 promiscuous port同樣， switchport access vlan xxx 已經(jīng)不起作用了，起作用的是 switchport private-vlan mapping 900 901,902，這一句把端口放入 primary vlan 900 和 secondary vlan 901， 902。注意這里 promiscuous

6、 port 可以屬于多個 secondary VLAN ，但只可以屬于一個 primary VLAN，就好像普通的 access port只能屬于一個 vlan是一樣的。在配置 vlan 的 3層地址的時候，只可以配置在 primary VLAN 上，從這里也可以看 出， primary VLAN 在某些地方是和普通 vlan 一樣工作的， secondary VLAN 則更特 殊一些。面看兩種方法來實現(xiàn)讓 4/11和4/12可以和 4/14通信，但 4/11和4/12互相不可以通信方法一，用 isolated VLAN ：vlan 901private-vlan isolatedvlan 9

7、00private-vlan primaryprivate-vlan association 901interface GigabitEthernet4/11switchportswitchport private-vlan host-association 900 901switchport mode private-vlan hostinterface GigabitEthernet4/12switchportswitchport private-vlan host-association 900 901switchport mode private-vlan hostinterface

8、GigabitEthernet4/14switchportswitchport private-vlan mapping 900 901switchport mode private-vlan promiscuous方法二，用 community VLANvlan 901private-vlan communityvlan 902private-vlan community vlan 900 private-vlan primaryprivate-vlan association 901,902interface GigabitEthernet4/11switchportswitchport

9、private-vlan host-association 900 901switchport mode private-vlan hostinterface GigabitEthernet4/12switchportswitchport private-vlan host-association 900 902switchport mode private-vlan hostinterface GigabitEthernet4/14switchportswitchport private-vlan mapping 900 901,902switchport mode private-vlan

10、 promiscuous現(xiàn)在實現(xiàn)了 4/11和 4/12的隔離，和 4/11、4/12都能和 4/13 通信，我們可以1. 把需要 2 層隔離的主機放到同一個 isolated VLAN ，或者不同的 community VLAN 。2. 把需要 2 層通信的主機放到同一個 community VLAN 。3. 公共的服務器或者上聯(lián)端口放到 primary VLAN ，和本 primaryVLAN 和所有 secondaryVLAN 里的主機是 2 層連通的。4. 在 primary VLAN 上來看，所有的主機在同一個 primary VLAN 里，在 secondary VLAN 里的主機互相訪問的時候，才和 private VLAN 的配置有關。5. 網(wǎng)關可以是 primary VLAN 上配一個 3 層地址或者在 primary VLAN 上連一個路由 器。所有主機在 3層都是在 primary VLAN 的這個網(wǎng)段里 ,所以還是可以通信的 ,只是 2