私用VLAN

vike681

现在VLAN已经成为局域网内划分子网的主要技术。VLAN之间的安全性可以由三层设备做ACL来控制，VLAN内部的安全可以用VLAN映射来配置，但VLAN映射是在三层上配置的，在同一交换机上如何保证同一VLAN之间信息的安全呢？这就可以用到私用VLAN和端口保护功能。
    一、私用VLAN的主要特点
    1、私用VLAN能给处于同一子网内的设备之间带来更高的安全性；
    2、配置私用VLAN的边缘VLAN可以防止接入交换机之间的互通；
    3、在一个私用VLAN内，可以隔离某些设备，避免被隔离VLAN内的设备互通；
    4、在一个私用VLAN内，通过创建群体（community）使某些设备连通，且与其他设备不连通；
    5、将混杂（promiscuous）端口映射到私用VLAN，使之可以和这个网络之外的VLAN连通。
    二、配置私用VLAN
       私用VLAN使用ISOLATED和COMMUNITY两种次（secondary）VLAN来控制设备通信，次VLAN被划给主（primary）VLAN，而端口被划给次VLAN。ISOLATED的VLAN内的端口不能和VLAN内除了混杂端口之外的其他任何设备进行通信。COMMUNITY的VLAN内的端口可以和同一COMMUNITY内的其他端口地址以及混杂端口进行通信。不同COMMUNITY的VLAN内的端口不能互相通信。
    1、配置VTP模式为透明模式
    私用VLAN只能在单台交换机上配置，不能有其他交换机上VLAN的成员端口。vlan database,vtp transparent
    2、创建主私用VLAN
    vlan 100,private-vlan primary。设置VLAN100为主私用VLAN。
    3、创建次私用VLAN
    次私用VLAN的号必须唯一且不能相同。vlan 200,private-vlan isolated;vlan 300,private-vlan community。
    4、将次私用VLAN绑定到主私用VLAN
    vlan 100,private-vlan association 200,300
    5、将端口加入次私用VLAN
    interface fastethernet2/1,switchport,switchport mode private-vlan host-association 100 200
    6、给次私用VLAN映射混杂端口
    前面说到，次私用VLAN不能访问其他VLAN，因此，必须将VLAN映射到一个混杂端口上。
    interface gig1/1,switchport,switchport mode private-vlan promiscuous,switchport mode private-vlan mapping 100 200,300
    7、也可以给次私用VLAN映射到MSFC接口，也可以说映射到主私用VLAN接口上，这样也可以实现次私用VLAN对其他VLAN的访问。
    interface vlan 100,ip address 192.168.100.1 255.255.255.0,private-vlan mapping 100 200,300
    三、配置私用边缘VLAN
    配置私用边缘VLAN的接口为保护端口，一个保护端口不会转发另一个保护端口的流量。
    interface fa1/1,prot protected
    四、可以用命令show vlan private-vlan等命令查看