PVLAN PrivateVLAN 在局域网中的应用.docVIP

PVLAN(Private VLAN)在局域网中的应用 【实验环境】 真机C3560以上，暂时无法完成实验 【实验目的】 模拟DMZ区域对隔离的需求。所有服务器均处在同一VLAN，为保证安全，现要求不同应用的服务器之间无法通讯，属于同一应用的服务器之间可以通讯，管理员与网关接口可以跟所有服务器通讯： C1可以和C2/C3/C4/C5互访C2和C3可以互访C4和C5不能互访 这里就可以使用PVLAN技术简化配置，在主VLAN 10的下面再创建2个VLAN 501(community类型，成员可以互访)和VLAN 502(isolated类型，成员不可互访)，并且2个VLAN之间不能互访，主VLAN可以与次级VLAN之间互访。 【实验拓扑】 【实验描述】 所有服务器C1-C5均处在VLAN 10下，网段10.10.10.0/24，IP主机地址与接口号同。 primary VLAN：10 Secondary VLAN：community VLAN：501/isolated VLAN：502 Promiscuous Port：f1/1 Host Port：f1/2,f1/3,f1/4,f1/5 交换机管理VLAN：10.10.10.254/24 【实验步骤】 1、配置各服务器IP地址 C1:ip 10.10.10.1/24C2:ip 10.10.10.2/24C3:ip10.10.10.3/24C4:ip10.10.10.4/24C5:ip10.10.10.5/24 2、将交换机的VTP模式改为透明模式，否则无法使用PVLAN技术 SW(config)#vtp mode transparent 3、创建Primary VLAN及Secondary VLAN SW(config)#vlan 10SW(config-vlan)#private-vlan primary SW(config-vlan)#vlan 501SW(config-vlan)#private-vlan community SW(config-vlan)#vlan 502SW(config-vlan)#private-vlan isolated 4、关联Primary VLAN及Secondary VLAN SW(config)#vlan 10SW(config-vlan)#private-vlan association 501-502 5、将端口f1/1设置为Promiscuous Port并映射Secondary VLAN SW(config)#int f1/1SW(config-if)#switchport mode private-vlan promiscuous //设置端口为混杂模式SW(config-if)#switchport private-vlan mapping 10 501-502 //使用mapping关联主VLAN和能够访问的私有VLAN 6、将端口f1/2,f1/3设置为Host Port并映射community VLAN SW(config)#int range f1/2 - 3SW(config-if)#switchport mode private-vlan host //设置端口为host模式SW(config-if)#switchport private-vlan host-association 10 501 //使用host-association关联主VLAN和所属的私有VLAN 7、将端口f1/4,f1/5设置为Host Port并映射isolated VLAN SW(config)#int range f1/4 - 5SW(config-if)#switchport mode private-vlan host //设置端口为host模式SW(config-if)#switchport private-vlan host-association 10 502 //使用host-association关联主VLAN和所属的私有VLAN 8、在交换机上检查PVLAN设置 SW#show vlan private-vlan 结果暂无 9、测试各服务器之间的连通性 结果暂无 10、配置交换机的三层管理接口(SVI) SW(config)#int vlan 10SW(config-if)#ip address 10.10.10.254 255.255.255.0SW(config-if)#no shutdown 11、测试交换机SVI接口连通性 结果暂无 12、配置三层接口PVLAN映射，开启三层交换功能，使得Secondary VLAN也可以远程访问SVI接口 SW(config)#int