思科privatevlan

1、思科 private vlan 配置private VLAN 里有 3 种 portisolated， community ，promiscuous。 private VLAN 有 3 种 ： primary VLAN ， isolated VLAN ， community VLAN 。 配置命令分别是： vlan 901 private-vlan isolated vlan 902 private-vlan community vlan 900 private-vlan primaryprimary VLAN 和他所关联的 isolated VLAN community VLAN 都可以通信

2、 . isolated VLAN 和 community VLAN 都属于 secondary VLAN ，他们之间的区别是： 同属于一个 isolated VLAN 的主机不可以互相通信，同属于一个 community VLAN 的主机可以互相通信。但他们都可以和和所关联的 primary VLAN 通信 .配置 primary VLAN 和 secondary VLAN 关联的命令是： vlan 900 private-vlan primaryprivate-vlan association 901,902 注意一个 primary VLAN 只可以关联一个 isolated VLAN +

3、 多个 community VLAN把端口放进 isolated VLAN 或者 community VLAN 的命令是 interface GigabitEthernet4/11switchport switchport private-vlan host-association 900 901switchport mode private-vlan host/因为 901 是 isolated VLAN,g4/11 现在是一个 isolated port interface GigabitEthernet4/12switchportswitchport private-vlan host-

4、association 900 902switchport mode private-vlan host/因为 902 是 community VLAN,g4/12 现在是一个 community port注意在 private vlan 里 switchport access vlan xxx 这一句已经不起作用了。 起作用的是 switchport private-vlan host-association 900 902这一句， 这一句把端口放 入 primary vlan 900和 secondary vlan 902。把端口放进 primary VLAN 的命令是：interface

5、 GigabitEthernet4/14 switchportswitchport private-vlan mapping 900 901,902switchport mode private-vlan promiscuous/g4/14 现在是一个 promiscuous port同样， switchport access vlan xxx 已经不起作用了，起作用的是 switchport private-vlan mapping 900 901,902，这一句把端口放入 primary vlan 900 和 secondary vlan 901， 902。注意这里 promiscuous

6、 port 可以属于多个 secondary VLAN ，但只可以属于一个 primary VLAN，就好像普通的 access port只能属于一个 vlan是一样的。在配置 vlan 的 3层地址的时候，只可以配置在 primary VLAN 上，从这里也可以看 出， primary VLAN 在某些地方是和普通 vlan 一样工作的， secondary VLAN 则更特 殊一些。面看两种方法来实现让 4/11和4/12可以和 4/14通信，但 4/11和4/12互相不可以通信方法一，用 isolated VLAN ：vlan 901private-vlan isolatedvlan 9

7、00private-vlan primaryprivate-vlan association 901interface GigabitEthernet4/11switchportswitchport private-vlan host-association 900 901switchport mode private-vlan hostinterface GigabitEthernet4/12switchportswitchport private-vlan host-association 900 901switchport mode private-vlan hostinterface

8、GigabitEthernet4/14switchportswitchport private-vlan mapping 900 901switchport mode private-vlan promiscuous方法二，用 community VLANvlan 901private-vlan communityvlan 902private-vlan community vlan 900 private-vlan primaryprivate-vlan association 901,902interface GigabitEthernet4/11switchportswitchport

9、private-vlan host-association 900 901switchport mode private-vlan hostinterface GigabitEthernet4/12switchportswitchport private-vlan host-association 900 902switchport mode private-vlan hostinterface GigabitEthernet4/14switchportswitchport private-vlan mapping 900 901,902switchport mode private-vlan

10、 promiscuous现在实现了 4/11和 4/12的隔离，和 4/11、4/12都能和 4/13 通信，我们可以1. 把需要 2 层隔离的主机放到同一个 isolated VLAN ，或者不同的 community VLAN 。2. 把需要 2 层通信的主机放到同一个 community VLAN 。3. 公共的服务器或者上联端口放到 primary VLAN ，和本 primaryVLAN 和所有 secondaryVLAN 里的主机是 2 层连通的。4. 在 primary VLAN 上来看，所有的主机在同一个 primary VLAN 里，在 secondary VLAN 里的主机互相访问的时候，才和 private VLAN 的配置有关。5. 网关可以是 primary VLAN 上配一个 3 层地址或者在 primary VLAN 上连一个路由 器。所有主机在 3层都是在 primary VLAN 的这个网段里 ,所以还是可以通信的 ,只是 2