pVLAN专用虚拟局域网.pptVIP

专用虚拟局域网（pVLAN） 简单介绍 提纲 VLAN的局限性 PVLAN技术 pVLAN通信范围 pVLAN当中使用的一些规则 举例说明(配置方法） Show private-vlan VLAN的局限性 随着网络的迅速发展，用户对于网络数据通信的安全性提出了更高的要求，诸如防范黑客攻击、控制病毒传播等，都要求保证网络用户通信的相对安全性；传统的解决方法是给每个客户分配一个VLAN和相关的IP子网，通过使用VLAN，每个客户被从第2层隔离开，可以防止任何恶意的行为和Ethernet的信息探听。 然而，这种分配每个客户单一VLAN和IP子网的模型造成了巨大的可扩展方面的局限。这些局限主要有下述几方面。 　　(1)VLAN的限制：交换机固有的VLAN数目的限制； 　　(2)复杂的STP：对于每个VLAN，每个相关的Spanning Tree的拓扑都需要管理； 　　(3)IP地址的紧缺：IP子网的划分势必造成一些IP地址的浪费； 　　(4)路由的限制：每个子网都需要相应的默认网关的配置。 PVLAN技术 现在有了一种新的VLAN机制，所有服务器在同一个子网中，但服务器只能与自己的默认网关通信。这一新的VLAN特性就是专用VLAN(Private VLAN)。 PVLAN功能可以保证同一个VLAN中的各个端口相互之间不能通信，但可以穿过Trunk端口。这样即使同一VLAN中的用户，相互之间也不会受到广播的影响。 1. pvlan包含两种vlan： 主vlan(private vlan)和辅助vlan(secondary vlan) 辅助vlan（secondary vlan）包含两种vlan： 团体vlan(community vlan)和隔离vlan(isolated vlan) 3.两种接口类型： 混杂端口(Promiscuous Port)和主机端口(Host Port) 其中“混杂端口”是隶属于“Primary VLAN”的；“主机端口”是隶属于“Secondary VLAN”的。 pVLAN通信范围 　　primary VLAN:可以和所有他所关联的isolated VLAN，community VLAN通信。 　　community VLAN:可以同那些处于相同community VLAN内的community port通信，也可以与pVLAN中的promiscuous端口通信。 （每个pVLAN可以有多个community VLAN） 　　isolated VLAN:不可以和处于相同isolated VLAN内的其它isolated port通信，只可以与promisuous端口通信。 （每个pVLAN中只能有一个isolated VLAN） pVLAN当中使用的一些规则 　　1.一个“Primary VLAN”当中至少有1个“Secondary VLAN”，没有上限。 　　2.一个“Primary VLAN”当中只能有1个“Isolated VLAN”，可以有多个“Community VLAN”。 　　3.不同“Primary VLAN”之间的任何端口都不能互相通信（这里“互相通信”是指二层连通性）。 　　4.“Isolated端口”只能与“混杂端口”通信，除此之外不能与任何其他端口通信。 　　5.“Community端口”可以和“混杂端口”通信，也可以和同一“Community VLAN”当中的其它物理端口进行通信，除此之外不能和其他端口通信。 谢谢 * * 主讲人：遗忘 Switch F0/1 F0/2 F0/3 F0/4 F0/5 辅助Vlan200 团体Vlan 辅助Vlan300 隔离Vlan A B C D E F0/17 Z 计费服务器 实验要求： 主Vlan为Vlan100，子网：192.168.17.0/24 主机A、B、C为一组，要能够互相通信，并且可以和网关、计费服务器Z进行通信，但不能与主Vlan100里的其余主机通信； 主机D、E为一组，他们之间不能互相通信，但是可以和网关、计费服务器Z进行通信，同样也不能与主Vlan100里其余主机通信； 用pVLAN实现上述要求。 主辅Vlan的创建与关联 在配置pVLAN之前，首先要将交换机改成VTP透明模式 AlanSwitch（config）vtp transparent 创建主Vlan100： AlanSwitch（config）# vlan 100 AlanSwitch（config-vlan）# private-vlan primary 创建团体辅Vlan200： AlanSwitch（config）# vlan 200 AlanSwitch（confi