PVLAN

pVLAN通常用於企業內部網，用來防止連接到某些介面或介面組的網路設備之間的相互通信，但卻允許與默認網關進行通信。儘管各設備處於不同的pVLAN中，它們可以使用相同的IP子網。

• PVLANs允許在同一個VLAN內，將流量限制在某些埠之間

• PVLAN實現在1個VLAN內的埠隔離。

隨著網路的迅速發展，用戶對於網路數據通信的安全性提出了更高的要求，諸如防範黑客攻擊、控制病毒傳播等，都要求保證網路用戶通信的相對安全性；傳統的解決方法是給每個客戶分配一個VLAN和相關的IP子網，通過使用VLAN，每個客戶被從第2層隔離開，可以防止任何惡意的行為和Ethernet的信息探聽。然而，這種分配每個客戶單一VLAN和IP子網的模型造成了巨大的可擴展方面的局限。這些局限主要有下述幾方面。

(1)VLAN的限制：交換機固有的VLAN數目的限制；

(2)複雜的STP：對於每個VLAN，每個相關的Spanning Tree的拓撲都需要管理；

(3)IP地址的緊缺：IP子網的劃分勢必造成一些IP地址的浪費；

(4)路由的限制：每個子網都需要相應的默認網關的配置。

現在有了一種新的VLAN機制，所有伺服器在同一個子網中，但伺服器只能與自己的默認網關通信。這一新的VLAN特性就是專用VLAN(Private VLAN)。在Private VLAN的概念中，交換機埠有三種類型：Isolated port，Community port, Promiscuous port；它們分別對應不同的VLAN類型：Isolated port屬於Isolated PVLAN，Community port屬於Community PVLAN，而代表一個Private VLAN整體的是Primary VLAN，前面兩類VLAN需要和它綁定在一起，同時它還包括Promiscuous port。在Isolated PVLAN中，Isolated port之間不能交換流量，其只能與Promiscuous port進行通信，；在Community PVLAN中，Community port不僅可以和Promiscuous port通信，而且彼此也可以交換流量。Promiscuous port 與路由器或第3層交換機介面相連，它收到的流量可以發往Isolated port和Community port。PVLAN的應用對於保證接入網路的數據通信的安全性是非常有效的，用戶只需與自己的默認網關連接，一個PVLAN不需要多個VLAN和IP子網就提供了具備第2層數據通信安全性的連接，所有的用戶都接入PVLAN，從而實現了所有用戶與默認網關的連接，而與PVLAN內的其他用戶沒有任何訪問。PVLAN功能可以保證同一個VLAN中的各個埠相互之間不能通信，但可以穿過Trunk埠。這樣即使同一VLAN中的用戶，相互之間也不會受到廣播的影響。

每個pVLAN 包含2種VLAN ：主VLAN（primary VLAN）和輔助VLAN（Secondary VLAN）。

輔助VLAN（Secondary VLAN）包含兩種類型：隔離VLAN（isolated VLAN）和團體VLAN（community VLAN）。

pVLAN中的兩種介面類型：處在pVLAN中的交換機物理埠，有兩種介面類型。

①混雜埠（Promiscuous Port）

②主機埠（Host Port）

其中“混雜埠”是隸屬於“Primary VLAN”的；“主機埠”是隸屬於“Secondary VLAN”的。因為“Secondary VLAN”是具有兩種屬性的，那麼，處於“Secondary VLAN”當中的“主機埠”依“Secondary VLAN”屬性的不同而不同，也就是說“主機埠”會繼承“Secondary VLAN”的屬性。那麼由此可知，“主機埠”也分為兩類——“isolated埠”和“community埠”。

處於pVLAN中交換機上的一個物理埠要麼是“混雜埠”要麼是“isolated”埠，要麼就是“community”埠。

primary VLAN:可以和所有他所關聯的isolated VLAN，community VLAN通信。

community VLAN:可以同那些處於相同community VLAN內的community port通信，也可以與pVLAN中的promiscuous埠通信。 （每個pVLAN可以有多個community VLAN）

isolated VLAN:不可以和處於相同isolated VLAN內的其它isolated port通信，只可以與promiscuous埠通信。 （每個pVLAN中只能有一個isolated VLAN）

pVLAN當中使用的一些規則：

1.一個“Primary VLAN”當中至少有1個“Secondary VLAN”，沒有上限。

2.一個“Primary VLAN”當中只能有1個“Isolated VLAN”，可以有多個“Community VLAN”。

3.不同“Primary VLAN”之間的任何埠都不能互相通信（這裡“互相通信”是指二層連通性）。

4.“Isolated埠”只能與“混雜埠”通信，除此之外不能與任何其他埠通信。

5.“Community埠”可以和“混雜埠”通信，也可以和同一“Community VLAN”當中的其它物理埠進行通信，除此之外不能和其他埠通信。

配置PVLANs

Switch(config-vlan)# private-vlan [ primary | isolated | community]

Switch(config-vlan)# private-vlan association {secondary_vlan_list | add svl | remove svl}

Switch# show vlan private-vlan type

配置PVLAN埠

Switch(config-if)# switchport mode private-vlan { host | promiscuous}

Switch(config-if)# switchport private-vlan host-associationprimary_vlan_ID secondary_vlan_ID}

Switch(config-if)# private-vlan mappingprimary_vlan_ID {secondary_vlan_list | add svl | remove svl}

Switch# show interfaces private-vlan mapping

交換機是網路的核心設備之一，其技術發展非常迅速，從10Mbit/s乙太網、100Mbit/s快速乙太網，進而發展到吉比特和10吉比特乙太網。交換機在通信領域和企業中的應用向縱深發展，網路管理人員對掌握專用虛擬區域網PVLAN技術的需求也越來越迫切。本文通過實踐經驗對這方面的應用進行總結。

1)Put switch in VTP transparent mode

set vtp mode transparent

(2) Create the primary private VLAN

set vlan vlan pvlan-type primary

(3)Set the isolated or community VLAN(s)

set vlan vlan pvlan-type {isolated community}

(4)Map the secondary VLAN(s) to the primary VLAN

set pvlan primary_vlan {isolated_vlan community_

vlan} {mod/port sc0}

(5)Map each secondary VLAN to the primary VLAN on the promiscuous port(s)

set pvlan mapping primary_vlan {isolated_vlan community_vlan} {mod/port} [mod/port ...]

(6)Show PVLAN configuration

show pvlan [primary_vlan]

show pvlan mapping

show vlan [primary_vlan]

show port

下面給出一個正在網路中運行的交換機的PVLAN的相關配置，僅供參考。其中，VLAN 100是Primary VLAN，VLAN 101是Isolated VLAN，VLAN 102和VLAN 103是Community VLAN。

N8-CSSW-2> (enable) show running-config

This command shows non-default configurations only.

set system name N8-CSSW-2

#vtp

set vtp domain sdunicom

set vtp mode transparent

set vlan 1 name default type ethernet mtu 1500 said 100001 state active

set vlan 100 name VLAN0100 type ethernet pvlantype primary mtu 1500 said 100100 state active

set vlan 101 name VLAN0101 type ethernet pvlantype isolated mtu 1500 said 100101 state active

set vlan 102 name VLAN0102 type ethernet pvlantype community mtu 1500 said 100102 state active

set vlan 103 name VLAN0103 type ethernet pvlantype community mtu 1500 said 100103 state active

#module 2 ： 50-port 10/100/1000 Ethernet

set pvlan 100 101 2/26-29,2/35-36,2/42-43

set pvlan mapping 100 101 2/49

set pvlan 100 102 2/1-13,2/30-34

set pvlan mapping 100 102 2/49

set pvlan 100 103 2/14-25

set pvlan mapping 100 103 2/49

end

N8-CSSW-2> (enable) show pvlan

Primary Secondary Secondary-Type Ports

100 101 isolated 2/26-29,2/35-36,2/42-43

100 102 community 2/1-13,2/30-34

100 103 community 2/14-25

目前很多廠商生產的交換機支持PVLAN技術，PVLAN技術在解決通信安全、防止廣播風暴和浪費IP地址方面的優勢是顯而易見的，而且採用PVLAN技術有助於網路的優化，再加上PVLAN在交換機上的配置也相對簡單，PVLAN技術越來越得到網路管理人員的青睞。