PVLAN配置实例原理机制.docVIP

　　　PVLAN配置实例原理机制 　　PVLAN（PrivateVLAN私有VLAN）通常用于企业内部网，用来防止连接到某些接口或接口组的网络设备之间的相互通信，但却允许与默认网关进行通信。尽管各设备处于不同的PVLAN中，它们可以使用相同的IP子网。在PVLAN中，交换机端口有3种类型：IsolatedPort（隔离端口）、CommunityPort（团体端口）和PromiscuousPort（混杂端口）；它们分别对应不同的VLAN类型：IsolatedPort属于IsolatedPVLAN,CommunityPort属于CommunityPVLAN,而代表一个PrivateVLAN整体的是PrimaryPVLAN（主私有VLAN），前面两类VLAN也称为SecondaryPVLAN（辅助私有VLAN），它们需要和PrimaryPVLAN绑定在一起，PromiscuousPort属于PrimaryPVLAN. 　　传统VLAN的局限性： 　　随着网络的迅速发展，用户对于网络数据通信的安全性提出了更高的要求，诸如防范黑客攻击、控制病毒传播等，都要求保证网络用户通信的相对安全性；传统的解决方法是给每个客户分配一个VLAN和相关的IP子网，通过使用VLAN,每个客户被从第2层隔离开，可以防止任何恶意的行为和Ethernet的信息探听。然而，这种分配每个客户单一VLAN和IP子网的模型造成了巨大的可扩展方面的局限。这些局限主要有下述几方面： 　　1.VLAN的限制：交换机固有的VLAN数目的限制； 　　2.复杂的STP:对于每个VLAN,每个相关的SpanningTree的拓扑都需要管理； 　　3.IP地址的紧缺：IP子网的划分势必造成一些IP地址的浪费； 　　4.路由的限制：每个子网都需要相应的默认网关的配置。 　　PVLAN简介 　　PVLAN的应用对于保证接入网络的数据通信的安全性是非常有效的，用户只需与自己的默认网关连接，一个PVLAN不需要多个VLAN和IP子网就能提供具备二层数据通信安全性的连接，所有的用户都接入PVLAN,从而实现了所有用户与默认网关的连接，而与PVLAN内的其它用户没有任何访问。PVLAN功能可以保证同一个VLAN中的各个端口相互之间不能通信，但可以穿过Trunk端口。这样即使同一VLAN中的用户相互之间也不会受到广播的影响。 　　PVLAN的2种VLAN: 　　主要VLAN（PrimaryVLAN）：把流量从混杂端口传送到隔离、团体和同一个VLAN内部的其它主要混杂端口。 　　辅助VLAN（SecondaryVLAN）：辅助VLAN包含两种VLAN类型： 　　隔离VLAN（IsolatedVLAN）：把流量从隔离端口传送到一个混杂端口。隔离VLAN中的端口，使其不能与PVLAN（另一个团体VLAN端口或相同隔离VLAN内的端口）内部的任何其它端口进行第2层通信。若要与其它端口通信，则必须穿越混杂端口。 　　团体VLAN（CommunityVLAN）：在相同团体VLAN内部的团体端口之间传送流量并传送到混杂端口，团体VLAN内的端口可以在第2层彼此通信（只是在相同团体VLAN内部），但是不能与其它团体或隔离VLAN的端口进行通信。 　　若要与其它端口进行通信，则必须穿越混杂端口。 　　PVLAN的2种端口类型： 　　混杂端口（PromiscuousPort）：隶属于PrimaryVLAN,一个混杂端口可以与所有接口通信，包括PVLAN内的隔离和团体端口；混杂端口的功能是在团体和隔离的VLAN端口之间传递流量。 　　主机端口（HostPort）：隶属于SecondaryVLAN,由于SecondaryVLAN具有两种属性，那么主机端口依SecondaryVLAN属性的不同也有两种分类： 　　隔离端口（IsolatedPort）：它与PVLAN内的所有其它端口相分离，除混杂端口外；来源于隔离端口的流量仅仅传送给混杂端口。 　　团体端口（CommunityPort）：它在逻辑上把相同区域内部的各个端口和混杂端口结合到一起，流量可以在它们之间传送。 　　PVLAN的使用规则： 　　1.一个PrimaryPVLAN当中只能有1个PromiscuousPort; 　　2.一个PrimaryPVLAN当中至少有1个SecondaryPVLAN,但是没有上限； 　　3.一个PrimaryPVLAN当中只能有1个IsolatedPVLAN,可以有多个CommunityPVLAN; 　　4.不同PrimaryPVLAN之间的任何端口都不能互相通信（这里互相通信是指二层连通性）； 　　5.IsolatedPort只能与PromiscuousPort通信，除此之外不能与任何其他端口通信； 　　6.CommunityPort可