Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
Nesta página
 

VLANs privadas

Compreender VLANs privadas

As VLANs limitam as transmissões para usuários especificados. VLANs privadas (PVLANs) ampliam esse conceito limitando a comunicação dentro de uma VLAN. PVLANs fazem isso restringindo fluxos de tráfego pelas portas de switch de membro (que são chamadas de portas privadas) para que essas portas se comuniquem apenas com uma porta de tronco de uplink especificada ou com portas especificadas dentro do mesmo VLAN. A porta do tronco de uplink ou o grupo de agregação de enlace (LAG) geralmente está conectado a um roteador, firewall, servidor ou rede de provedor. Normalmente, cada PVLAN contém muitas portas privadas que se comunicam apenas com uma única porta de uplink, o que impede que as portas se comuniquem entre si.

As PVLANs fornecem isolamento de Camada 2 entre portas dentro de uma VLAN, dividindo um domínio de broadcast em várias subdomas de broadcast discretas criando VLANssecundários (VLANs da comunidade e uma VLAN isolada) dentro de uma VLAN primária. Portas na mesma comunidade A VLAN pode se comunicar entre si. Portas em uma VLAN isolada só podem se comunicar com uma única porta de uplink.

Assim como as VLANs regulares, as PVLANs estão isoladas na Camada 2 e exigem uma das seguintes opções para rotear o tráfego de Camada 3 entre os VLANs secundários:

  • Uma conexão de porta promíscua com um roteador

  • Uma interface VLAN roteada (RVI)

Nota:

Para rotear o tráfego de Camada 3 entre VLANs secundários, uma PVLAN precisa apenas de uma das opções citadas acima. Se você usar um RVI, ainda pode implementar uma conexão de porta promíscua a um roteador com a porta promíscua configurada para tratar somente o tráfego que entra e sai do PVLAN.

As PVLANs são úteis para restringir o fluxo de broadcast e o tráfego unicast desconhecido e limitar a comunicação entre hosts conhecidos. Os provedores de serviços usam PVLANs para manter seus clientes isolados um do outro. Outro uso típico de uma PVLAN é fornecer acesso à Internet por quarto em um hotel.

Nota:

Você pode configurar uma PVLAN para abranger switches com suporte a PVLANs.

Este tópico explica os seguintes conceitos relacionados a PVLANs em switches da Série EX:

Benefícios de PVLANs

A necessidade de segregação de uma única VLAN é especialmente útil nos seguintes cenários de implantação:

  • Quintas de servidor — um provedor de serviços de Internet típico usa uma quinta de servidor para fornecer hospedagem da Web para inúmeros clientes. Localizar os vários servidores em uma única quinta de servidor fornece facilidade de gerenciamento. Surgem preocupações de segurança se todos os servidores estão na mesma VLAN, porque as transmissões de Camada 2 vão para todos os servidores da VLAN.

  • Redes Metropolitan Ethernet — um provedor de serviços metropolitanos oferece acesso Ethernet de Camada 2 a casas diversas, comunidades de aluguel e empresas. A solução tradicional de implantar uma VLAN por cliente não é escalonável e é difícil de gerenciar, levando ao possível desperdício de endereços IP. As PVLANs fornecem uma solução mais segura e eficiente.

Estrutura típica e aplicação primária de PVLANs

Uma PVLAN pode ser configurada em um único switch ou configurada para abranger vários switches. Os tipos de domínios e portas são:

  • VLAN primária — A VLAN primária da PVLAN é definida com uma etiqueta 802.1Q (ID VLAN) para a PVLAN completa. A PVLAN primária pode conter várias VLANs secundários (uma VLAN isolada e várias VLANs da comunidade).

  • VLAN isolado/porta isolada — uma VLAN primária pode conter apenas uma VLAN isolada. Uma interface dentro de uma VLAN isolada pode encaminhá-los apenas para uma porta promíscua ou para a porta INTER-Switch Link (ISL). Uma interface isolada não pode encaminhá-lo para outra interface isolada; e uma interface isolada não pode receber pacotes de outra interface isolada. Se um dispositivo do cliente precisar ter acesso apenas a um roteador de gateway, o dispositivo deve estar conectado a uma porta de tronco isolada.

  • Porta VLAN da comunidade/comunidade — Você pode configurar várias VLANs da comunidade em uma única PVLAN. Uma interface dentro de uma comunidade específica VLAN pode estabelecer comunicações de Camada 2 com qualquer outra interface que pertence à mesma VLAN da comunidade. Uma interface dentro de uma VLAN da comunidade também pode se comunicar com uma porta promíscua ou uma porta ISL. Se você tiver, por exemplo, dois dispositivos do cliente necessários para se isolar de outros dispositivos do cliente, mas que precisam ser capazes de se comunicar entre si, usem portas da comunidade.

  • Porta promíscua — uma porta promíscua tem comunicações de Camada 2 com todas as interfaces da PVLAN, independentemente de uma interface pertence a uma VLAN isolada ou a uma VLAN comunidade. Uma porta promíscua é um membro da VLAN primária, mas não está incluída em nenhum subdomínio secundário. Gateways de Camada 3, servidores DHCP e outros dispositivos confiáveis que precisam se comunicar com dispositivos de endpoint normalmente estão conectados a uma porta promíscua.

  • IsL (Inter-Switch Link, Enlace entre switches) — Uma ISL é uma porta de tronco que conecta vários switches em um PVLAN e contém dois ou mais VLANs. Ele só é necessário quando uma PVLAN abrange vários switches.

O PVLAN configurado é o domínio principal (VLAN principal). Dentro da PVLAN, você configura VLANs secundários, que tornam-se subdomas aninhadas no domínio principal. Uma PVLAN pode ser configurada em um único switch ou configurada para abranger vários switches. A PVLAN mostrada inclui dois switches, com um Figura 1 domínio PVLAN principal e várias subdomas.

Figura 1: Subdomas em uma PVLANSubdomas em uma PVLAN

Como mostrado em Figura 3 , uma PVLAN tem apenas um domínio principal e vários domínios secundários. Os tipos de domínios são:

  • VLAN primária — VLAN usado para encaminhamento de quadros downstream para VLANs isoladas e comunitárias. A VLAN primária da PVLAN é definida com uma etiqueta 802.1Q (ID VLAN) para a PVLAN completa. A PVLAN primária pode conter várias VLANs secundários (uma VLAN isolada e várias VLANs da comunidade).

  • VLAN isolada secundária — VLAN que recebe pacotes apenas da VLAN primária e encaminha quadros upstream para a VLAN primária. A VLAN isolada é uma VLAN secundário aninhada dentro da VLAN primária. Uma VLAN primária pode conter apenas um VLAN isolado. Uma interface dentro de uma VLAN isolada (interface isolada) pode encaminhá-los apenas para uma porta promíscua ou para a porta de tronco PVLAN. Uma interface isolada não pode encaminhá-lo para outra interface isolada; nem uma interface isolada pode receber pacotes de outra interface isolada. Se um dispositivo do cliente precisar ter acesso apenas a um roteador, o dispositivo deve estar conectado a uma porta de tronco isolada.

  • VLAN isolado entre eles — VLAN usado para encaminhamento de tráfego VLAN isolado de um switch para outro por meio de portas de tronco PVLAN. As tags 802.1Q são necessárias para VLANs isoladas por IEEE 802.1Q usa um mecanismo de marcação interna pelo qual um dispositivo de tronco insere uma guia de identificação de quadro VLAN de 4 byte no cabeamento do pacote. Uma VLAN isolada entre eles é uma VLAN secundário aninhada dentro da VLAN primária.

  • VLAN da comunidade secundária — vLAN usado para transportar quadros entre membros de uma comunidade (um subconjunto de usuários dentro da VLAN) e encaminhá-los upstream para a VLAN primária. Uma VLAN da comunidade é uma VLAN secundário aninhada dentro da VLAN primária. Você pode configurar várias VLANs da comunidade em uma única PVLAN. Uma interface dentro de uma comunidade específica VLAN pode estabelecer comunicações de Camada 2 com qualquer outra interface que pertence à mesma VLAN da comunidade. Uma interface dentro de uma VLAN da comunidade também pode se comunicar com uma porta promíscua ou uma porta de tronco PVLAN.

Figura 2 mostra uma PVLAN abrangendo vários switches, onde a VLAN primária () contém dois domínios da comunidade e um domínio isolado entre 100(300400 eles.

Figura 2: PVLAN abrangendo vários switchesPVLAN abrangendo vários switches
Nota:

VLANs primárias e secundárias contam com o limite de 4.089 VLANs suportados na Série QFX. Por exemplo, cada VLAN em Figura 2 conta com esse limite.

Estrutura típica e aplicação primária de PVLANs em roteadores da série MX

A PVLAN configurada torna-se o domínio principal, e as VLANs secundários tornam-se subdomas que são aninhadas dentro do domínio principal. Uma PVLAN pode ser criada em um único roteador. A PVLAN mostrada inclui um roteador, com um domínio PVLAN principal e várias Figura 3 subdomas secundários.

Figura 3: Subdomas em uma PVLAN com um roteadorSubdomas em uma PVLAN com um roteador

Os tipos de domínios são:

  • VLAN primária — VLAN usado para encaminhamento de quadros downstream para VLANs isoladas e comunitárias.

  • VLAN isolada secundária — VLAN que recebe pacotes apenas da VLAN primária e encaminha quadros upstream para a VLAN primária.

  • VLAN isolado entre eles — VLAN usado para encaminhamento de tráfego VLAN isolado de um roteador para outro por meio de portas de tronco PVLAN.

  • VLAN da comunidade secundária — vLAN usado para transportar quadros entre membros de uma comunidade, que é um subconjunto de usuários dentro do VLAN, e encaminha quadros upstream para a VLAN primária.

Nota:

As PVLANs são suportadas em roteadores MX80, em roteadores MX240, MX480 e MX960 com DPCs em modo LAN aprimorado, em roteadores da Série MX com PICs MPC1, MPC2 e Serviços Adaptáveis.

Estrutura típica e aplicação primária de PVLANs em switches da Série EX

Nota:

A VLAN primária da PVLAN é definida com uma etiqueta 802.1Q (ID VLAN) para a PVLAN completa. Nos EX9200 switches, cada VLAN secundário também deve ser definido com sua própria ID VLAN separada.

Figura 4mostra uma PVLAN em um único switch, onde a VLAN primária (VLAN) contém duas 100 VLANs da comunidade (VLAN e 300 VLAN) e uma 400 VLAN isolada (VLAN). 50

Figura 4: VLAN privada em um único switch EXVLAN privada em um único switch EX

Figura 5 mostra uma PVLAN abrangendo vários switches, onde a VLAN primária (VLAN) contém duas VLANs da comunidade 100 (VLAN e 300 VLAN) e uma 400 VLAN isolada (VLAN 200). Também mostra que os switches 1 e 2 estão conectados por meio de um enlace entre eles (enlace de tronco PVLAN).

Figura 5: PVLAN abrangendo vários switches da Série EXPVLAN abrangendo vários switches da Série EX

Além disso, as PVLANs mostradas e usam uma porta promíscua conectada a um roteador como meio de rotear o tráfego de Camada 3 entre a comunidade e Figura 4Figura 5 VLANs isoladas. Em vez de usar a porta promíscua conectada a um roteador, você pode configurar um RVI no switch ou um dos switches mostrados (em alguns Figura 4Figura 5 switches EX).

Para rotear o tráfego de Camada 3 entre VLANs isoladas e comunitárias, você deve conectar um roteador a uma porta promíscua, como mostrado em e, ou configurar um Figura 4Figura 5 RVI.

Se você escolher a opção RVI, você deve configurar um RVI para a VLAN primária no domínio de PVLAN. Esse RVI atende a todo o domínio de PVLAN, independentemente de o domínio incluir um ou mais switches. Depois de configurar o RVI, os pacotes de Camada 3 recebidos pelas interfaces VLAN secundários são mapeados e roteados pelo RVI.

Ao configurar o RVI, você também deve habilitar o Proxy Address Resolution Protocol (ARP) para que o RVI possa tratar as solicitações de ARP recebidas pelas interfaces VLAN secundários.

Para obter informações sobre como configurar PVLANs em um único switch e em vários switches, consulte Criar uma VLAN privada em um Único Switch série EX (Procedimento CLI).Para obter informações sobre a configuração de uma RVI, consulte Configurar uma interface VLAN roteada em uma VLAN privada em um Switch da Série EX.

Roteamento entre VLANs isoladas e comunitárias

Para rotear o tráfego da Camada 3 entre VLANs isoladas e comunitárias, é necessário conectar um roteador ou switch externo a uma porta de tronco do VLAN principal. A porta-tronco da VLAN primária é uma porta promíscua; portanto, ela pode se comunicar com todas as portas do PVLAN.

PVLANs usam tags 802.1Q para identificar pacotes

Quando os pacotes são marcados com uma tag 802.1Q específica do cliente, essa etiqueta identifica a propriedade dos pacotes para qualquer switch ou roteador na rede. Às vezes, tags 802.1Q são necessárias dentro de PVLANs para acompanhar pacotes de diferentes subdomas. Tabela 1 indica quando uma etiqueta VLAN 802.1Q é necessária na VLAN primária ou em VLANs secundários.

Tabela 1: Quando VLANs em uma PVLAN precisam de tags 802.1Q

Em um único switch Em vários switches

VLAN primária

Especifique uma etiqueta 802.1Q definindo uma ID VLAN.

Especifique uma etiqueta 802.1Q definindo uma ID VLAN.

VLAN secundário

Nenhuma etiqueta precisa em VLANs.

As VLANs precisam de tags de 802,1Q:

  • Especifique uma etiqueta 802.1Q para cada VLAN da comunidade definindo uma ID VLAN.

  • Especifique a etiqueta 802.1Q para uma ID VLAN isolada definindo uma ID isolada.

PVLANs usam endereços IP de maneira eficiente

PVLANs fornecem conservação de endereço IP e alocação eficiente de endereços IP. Em uma rede típica, as VLANs geralmente correspondem a uma única subnet de IP. Em PVLANs, os hosts em todas as VLANs secundários pertencem à mesma subnet ip porque a subnet é alocada ao VLAN principal. Hosts dentro da VLAN secundário são atribuídos endereços IP com base em sub-redes IP associadas à VLAN primária, e suas informações de mascaramento de sub-rede IP refletem a sub-rede VLAN primária. Entretanto, cada VLAN secundário é um domínio de broadcast separado.

Tipos de porta PVLAN e regras de encaminhamento

PVLANs podem usar até seis tipos de porta diferentes. A rede descrita em usa uma porta promíscua para transportar informações para o roteador, portas da comunidade para conectar as comunidades de finanças e DEH aos respectivos switches, portas isoladas para conectar os servidores e uma porta-tronco de PVLAN para conectar os dois Figura 2 switches. As portas PVLAN têm diferentes restrições:

  • Porta de tronco promíscua — Uma porta promíscua tem comunicações de Camada 2 com todas as interfaces que estão na PVLAN, independentemente de a interface pertence a uma VLAN isolada ou a uma VLAN comunidade. Uma porta promíscua é um membro da VLAN primária, mas não está incluída em uma das subdomas secundários. Gateways de Camada 3, servidores DHCP e outros dispositivos confiáveis que precisam se comunicar com dispositivos de endpoint normalmente estão conectados a uma porta promíscua.

  • Link de tronco PVLAN — O enlace de tronco PVLAN, que também é conhecido como enlace entre eles, só é necessário quando um PVLAN está configurado para abranger vários switches. O enlace de tronco PVLAN conecta os vários switches que compõem a PVLAN.

  • Porta de tronco PVLAN — uma porta-tronco PVLAN é necessária em configurações de PVLAN multiswitch para abranger os switches. A porta-tronco PVLAN é um membro de todas as VLANs dentro do PVLAN (ou seja, a VLAN primária, as VLANs da comunidade e o VLAN isolado do interswitch), e transporta o tráfego da VLAN primária e de todas as VLANs secundários. Ele pode se comunicar com todas as portas que não as portas isoladas.

    Normalmente, a comunicação entre uma porta de tronco PVLAN e uma porta isolada é geralmente unidirecional. A participação de uma porta de tronco PVLAN no VLAN isolado é apenas de saída, o que significa que uma porta isolada pode encaminhá-lo para uma porta de tronco PVLAN, mas uma porta-tronco PVLAN não encaminha pacotes para uma porta isolada (a menos que os pacotes ingressem em uma porta de acesso promíscua e, portanto, sejam encaminhados a todas as VLANs secundários na mesma VLAN primária que a porta promíscua).

  • Porta de tronco VLAN secundário (não mostrada)— Portas de tronco secundários transportam tráfego VLAN secundário. Para uma determinada VLAN privada, uma porta de tronco VLAN secundário pode transportar tráfego para apenas um VLAN secundário. Entretanto, uma porta-tronco VLAN secundária pode transportar tráfego para várias VLANs secundários, desde que cada VLAN secundário seja membro de uma VLAN primária diferente. Por exemplo, uma porta-tronco VLAN secundária pode transportar tráfego para uma VLAN comunidade que faz parte do VLAN pvlan100 principal e também transportar tráfego para uma VLAN isolada que faz parte do VLAN principal pvlan400.

  • Porta da comunidade — os portos da comunidade se comunicam entre si e com seus portos promíscuos. As portas da comunidade servem apenas um grupo de usuários. Essas interfaces são separadas na Camada 2 de todas as outras interfaces em outras comunidades ou portas isoladas dentro de seu PVLAN.

  • Porta de acesso isolado — as portas isoladas têm conectividade de Camada 2 apenas com portas promíscuas e portas de tronco PVLAN — uma porta isolada não pode se comunicar com outra porta isolada, mesmo se essas duas portas sejam membros do mesmo domínio isolado de VLAN (ou VLAN isolado entre eles). Normalmente, um servidor, como um servidor de e-mail ou um servidor de backup, está conectado em uma porta isolada. Em um hotel, cada quarto normalmente seria conectado em uma porta isolada, o que significa que a comunicação de quarto para quarto não é possível, mas cada quarto pode acessar a Internet na porta promíscua.

  • Porta de acesso promíscua (não mostrada)— Essas portas transportam tráfego não autorizado. O tráfego que ingresse em uma porta de acesso promíscua é encaminhado para todas as portas VLAN secundários do dispositivo. Se o tráfego entrar no dispositivo em uma porta e saída habilitada para VLAN em uma porta de acesso promíscua, o tráfego não será conectado à saída. Se o tráfego etiquetado entrar em uma porta de acesso promíscua, o tráfego será descartado.

  • Porta de enlace interswitch — Uma porta de enlace de interswitch (ISL) é uma porta de tronco que conecta dois roteadores quando um PVLAN abrange esses roteadores. A porta ISL é membro de todas as VLANs dentro da PVLAN (ou seja, a VLAN primária, as VLANs da comunidade e a VLAN isolada).

    A comunicação entre uma porta ISL e uma porta isolada é unidirecional. A adesão de uma porta ISL ao VLAN isolado do interswitch é apenas para saída, o que significa que o tráfego de entrada na porta ISL nunca é atribuído ao VLAN isolado. Uma porta isolada pode encaminhá-los para uma porta de tronco PVLAN, mas uma porta-tronco de PVLAN não pode encaminhá-los para uma porta isolada. Tabela 3 sintetiza se a conectividade da Camada 2 existe entre os diferentes tipos de portas.

Tabela 2 sintetiza a conectividade de Camada 2 entre os diferentes tipos de portas em uma PVLAN em switches da Série EX que são de suporte a ELS.

Tabela 2: Encaminhamento de portas PVLAN e Camada 2 em switches da Série EX que suportam ELS

Do tipo de porta

Para portas isoladas?

Para portos promíscuos?

Aos portos comunitários?

Para a porta de enlace entre comudores?

Isolado

Negar

Permitir

Negar

Permitir

Promíscuo

Permitir

Permitir

Permitir

Permitir

Comunidade 1

Negar

Permitir

Permitir

Permitir

Tabela 3: Conectividade de portas PVLAN e Camada 2

Tipo de porta

Tronco promíscuo

Tronco PVLAN

Tronco secundário

Comunidade

Acesso isolado

Acesso promíscuo

Tronco promíscuo

Sim

Sim

Sim

Sim

Sim

Sim

tronco PVLAN

Sim

Sim

Sim

Sim — apenas para a mesma comunidade

Sim

Sim

Tronco secundário

Sim

Sim

Não

Sim

Não

Sim

Comunidade

Sim

Sim

Sim

Sim — apenas para a mesma comunidade

Não

Sim

Acesso isolado

Sim

Sim — apenas unidirecional

Não

Não

Não

Sim

Acesso promíscuo

Sim

Sim

Sim

Sim

Sim

Não

Tabela 4 sintetiza se a conectividade da Camada 2 existe ou não entre os diferentes tipos de portas em uma PVLAN.

Tabela 4: Portas PVLAN e conectividade de Camada 2 em Switches da Série EX sem suporte de ELS

Tipo de porta

Para: →

De:↓

Promíscuo

Comunidade

Isolado

Tronco PVLAN

Rvi

Promíscuo

Sim

Sim

Sim

Sim

Sim

Comunidade

Sim

Sim — apenas para a mesma comunidade

Não

Sim

Sim

Isolado

Sim

Não

Não

Sim

Nota:

Essa comunicação é unidirecional.

Sim

tronco PVLAN

Sim

Sim — apenas para a mesma comunidade

Sim

Nota:

Essa comunicação é unidirecional.

Sim

Sim

Rvi

Sim

Sim

Sim

Sim

Sim

Como nota,a comunicação de Camada 2 entre uma porta isolada e uma porta-tronco Tabela 4 PVLAN é unidirecional. Ou seja, uma porta isolada só pode enviar pacotes para uma porta de tronco PVLAN, e uma porta-tronco de PVLAN só pode receber pacotes de uma porta isolada. Por outro lado, uma porta-tronco de PVLAN não pode enviar pacotes para uma porta isolada, e uma porta isolada não pode receber pacotes de uma porta de tronco PVLAN.

Nota:

Se você habilitar em uma VLAN primária, todas as VLANs isoladas (ou a VLAN isolada entre eles) no no-mac-learning PVLAN herdam essa configuração. No entanto, se você quiser desativar o aprendizado de endereço MAC em qualquer VLANs da comunidade, você deve configurar no-mac-learning em cada uma dessas VLANs.

Criação de uma PVLAN

O fluxograma mostrado fornece uma ideia Figura 6 geral do processo de criação de PVLANs. Se você completar as etapas de configuração na ordem mostrada, você não violará essas regras de PVLAN. (Nas regras de PVLAN, a configuração da porta de tronco de PVLAN se aplica apenas a uma PVLAN que abrange vários roteadores.)

  • A VLAN primária deve ser uma VLAN etiquetada.

  • Para configurar uma ID VLAN da comunidade, primeiro é necessário configurar a VLAN primária.

  • Para configurar uma ID VLAN isolada, primeiro é necessário configurar a VLAN primária.

Nota:

Não é suportado configurar uma VLAN de voz sobre IP (VoIP) em interfaces PVLAN.

Configurar uma VLAN em um único roteador é relativamente simples, como mostrado em Figura 6 .

Figura 6: Configuração de uma PVLAN em um único switchConfiguração de uma PVLAN em um único switch

Configurar uma VLAN primária consiste nessas etapas:

  1. Configure o nome VLAN principal e a etiqueta 802.1Q.

  2. Configuração no-local-switching da VLAN primária.

  3. Configure a porta de tronco e as portas de acesso promíscuas.

  4. Faça do tronco promíscuo e das portas de acesso membros do VLAN principal.

Em uma VLAN primária, você pode configurar VLANs da comunidade secundária ou VLANs isoladas secundárias ou ambas. Configurar uma VLAN da comunidade secundária consiste nessas etapas:

  1. Configure uma VLAN usando o processo usual.

  2. Configure interfaces de acesso para a VLAN.

  3. Atribua uma VLAN primária à VLAN da comunidade,

VLANs isoladas são criadas internamente quando a VLAN isolada tem interfaces de acesso como membros e a opção no-local-switching está ativada no VLAN principal.

As tags 802.1Q são necessárias para VLANs isoladas por IEEE 802.1Q usa um mecanismo de marcação interna pelo qual um dispositivo de tronco insere uma guia de identificação de quadro VLAN de 4 byte no cabeamento do pacote.

As portas de tronco só são necessárias para configurações de PVLAN multirouter, e a porta-tronco transporta tráfego da VLAN primária e de todas as VLANs secundários.

Limitações de VLANs privadas

As seguintes restrições aplicam-se às configurações de VLAN privadas:

  • Uma interface de acesso pode pertencer a apenas um domínio de PVLAN, ou seja, ela não pode participar de duas VLANs primárias diferentes.

  • Uma interface de tronco pode ser um membro de duas VLANs secundários, desde que as VLANs secundários sejam em duas VLANs primárias diferentes. Uma interface de tronco não pode ser um membro de duas VLANs secundários que estão na mesma VLAN primária.

  • Uma única região do Multiple Spanning Tree Protocol (MSTP) deve ser configurada em todas as VLANs incluídas no PVLAN.

  • O VLAN Spanning Tree Protocol (VSTP) não é suportado.

  • A espionagem por IGMP não é suportada com VLANs privadas.

  • Interfaces VLAN roteadas não são suportadas em VLANs privadas

  • O roteamento entre VLANs secundários no mesmo VLAN principal não é suportado.

  • Algumas declarações de configuração não podem ser especificadas em uma VLAN secundário. Você pode configurar as declarações a seguir no nível da hierarquia [edit vlans vlan-name switch-options]apenas no PVLAN principal.

  • Para mudar uma VLAN primária para uma VLAN secundário, primeiro é necessário alterá-la para uma VLAN normal e cometer a mudança. Por exemplo, você seguiria esse procedimento:

    1. Mude a VLAN primária para ser uma VLAN normal.

    2. Compromete a configuração.

    3. Altere a VLAN normal para ser uma VLAN secundário.

    4. Compromete a configuração.

    Siga a mesma sequência de commits se você quiser alterar uma VLAN secundário para ser uma VLAN primária. Ou seja, tornar a VLAN secundário uma VLAN normal e comprometer essa mudança e, em seguida, mudar a VLAN normal para ser uma VLAN primária.

Os seguintes recursos não são suportados em PVLANs nos switches Junos com suporte ao estilo de configuração ELS:

  • Recursos de segurança DHCP (espionagem DHCP, inspeção dinâmica de ARP, proteção de origem IP)

  • Filtros de firewall VLAN de saída

  • Proteção contra ring ethernet (ERP)

  • Etiquetamento VLAN flexível

  • estatísticas globais do mac

  • Interface integrada de roteamento e conexão (IRB)

  • Xeretamento multicast ou IGMP

  • Grupos de agregação de enlace multichassis (MC-LAGs)

  • Espelhamento de portas

  • tunelamento Q-in-Q

  • VLAN Spanning Tree Protocol (VSTP)

  • Voz por IP (VoIP)

Você pode configurar as seguintes declarações no nível da hierarquia [edit vlans vlan-name switch-options] apenas no PVLAN principal:

Entender os fluxos de tráfego de PVLAN entre vários switches

Este tópico ilustra e explica três fluxos de tráfego diferentes em uma rede multiswitch amostral configurada com uma VLAN privada (PVLAN). PVLANs restringem fluxos de tráfego pelas portas de switch de membro (que são chamadas de "portas privadas") para que elas se comuniquem apenas com uma porta de tronco de uplink específica ou com portas especificadas dentro do mesmo VLAN.

Este tópico descreve:

VLAN da comunidade enviando tráfego sem atagged

Nesse cenário, uma VLAN na Comunidade-1 do Switch 1 na interface ge-0/0/0 envia tráfego não marcado. As setas representam Figura 7 esse fluxo de tráfego.

Figura 7: A VLAN da comunidade envia tráfego sem ataggedA VLAN da comunidade envia tráfego sem atagged

Nesse cenário, as seguintes atividades ocorrem no Switch 1:

  • Comunidade-1 VLAN na interface ge-0/0/0: Aprendizagem

  • pvlan100 na interface ge-0/0/0: Replicação

  • Comunidade-1 VLAN na interface ge-0/0/12: Recebe tráfego

  • Porta-tronco PVLAN: Saídas de tráfego do ge-1/0/2 e da ae0 com a etiqueta 10

  • Community-2: A interface não recebe tráfego

  • VLANs isoladas: As interfaces não recebem tráfego

Nesse cenário, essa atividade acontece no Switch 3:

  • Comunidade-1 VLAN na interface ge-0/0/23 (tronco PVLAN): Aprendizagem

  • pvlan100 na interface ge-0/0/23: Replicação

  • Comunidade-1 VLAN na interface ge-0/0/9 e ge-0/0/16: Recebe tráfego

  • Porta-tronco promíscua: Saídas de tráfego do ge-0/0/0 com a etiqueta 100

  • Community-2: A interface não recebe tráfego

  • VLANs isoladas: As interfaces não recebem tráfego

VLAN isolado enviando tráfego não conectado

Nesse cenário, a VLAN1 isolada no Switch 1 na interface ge-1/0/0 envia tráfego não marcado. As setas representam Figura 8 esse fluxo de tráfego.

Figura 8: VLAN isolada envia tráfego sem ataggedVLAN isolada envia tráfego sem atagged

Nesse cenário, as seguintes atividades ocorrem no Switch 1:

  • VLAN1 isolado na interface ge-1/0/0: Aprendizagem

  • pvlan100 na interface ge-1/0/0: Replicação

  • Saídas de tráfego de pvlan-trunk ge-1/0/2 e ae0 com a etiqueta 50

  • Comunidade-1 e Comunidade-2: As interfaces não recebem tráfego

  • VLANs isoladas: As interfaces não recebem tráfego

Nesse cenário, essa atividade acontece no Switch 3:

  • VLAN na interface ge-0/0/23 (porta do tronco PVLAN): Aprendizagem

  • pvlan100 na interface ge0/0/23: Replicação

  • Porta-tronco promíscua: Saídas de tráfego do ge-0/0/0 com a etiqueta 100

  • Comunidade-1 e Comunidade-2: As interfaces não recebem tráfego

  • VLANs isoladas: Não receber tráfego

Tráfego marcado por PVLAN enviado em uma porta promíscua

Nesse cenário, o tráfego marcado por PVLAN é enviado em uma porta promíscua. As setas representam Figura 9 esse fluxo de tráfego.

Figura 9: Tráfego marcado por PVLAN enviado em uma porta promíscuaTráfego marcado por PVLAN enviado em uma porta promíscua

Nesse cenário, as seguintes atividades ocorrem no Switch 1:

  • pvlan100 VLAN na interface ae0 (tronco PVLAN): Aprendizagem

  • Comunidade-1, Comunidade-2 e todas as VLANs isoladas na interface ae0: Replicação

  • VLAN na interface ae0: Replicação

  • Saídas de tráfego de pvlan-trunk ge-1/0/2 com a etiqueta 100

  • Comunidade-1 e Comunidade-2: Interfaces recebem tráfego

  • VLANs isoladas: Receber tráfego

Nesse cenário, essa atividade acontece no Switch 3:

  • pvlan100 na interface ge-0/0/0: Aprendizagem

  • Comunidade-1, Comunidade-2 e todas as VLANs isoladas na interface ge-0/0/0: Replicação

  • VLAN na interface ge-0/0/0: Replicação

  • Comunidade-1 e Comunidade-2: Interfaces recebem tráfego

  • VLANs isoladas: Receber tráfego

Entender as portas de tronco de VLAN secundários e as portas de acesso promíscuas em PVLANs

As VLANs limitam as transmissões para usuários especificados. VLANs privadas (PVLANs) ampliam esse conceito dividindo uma VLAN em várias subdomas de broadcast e essencialmente colocando VLANs secundários dentro de uma VLAN primária. As PVLANs restringem os fluxos de tráfego pelas portas de membro para que essas portas se comuniquem apenas com uma porta de tronco de uplink especificada ou com portas especificadas no mesmo VLAN. Normalmente, a porta do tronco do uplink está conectada a um roteador, firewall, servidor ou rede de provedor. Normalmente, uma PVLAN contém muitas portas privadas que se comunicam apenas com um único uplink, o que impede que as portas se comuniquem entre si.

Portas de tronco secundários e portas de acesso promíscuas ampliam a funcionalidade de PVLANs para uso em implantações complexas, como:

  • Ambientes de infraestrutura de VMWare Empresarial

  • Serviços de nuvem multitenant com gerenciamento de VM

  • Serviços de hospedagem da Web para vários clientes

Por exemplo, você pode usar portas de tronco VLAN secundários para conectar dispositivos QFX a servidores VMware configurados com VLANs privadas. Você pode usar portas de acesso promíscuas para conectar dispositivos QFX a sistemas que não suportam portas de tronco, mas que precisam participar de VLANs privadas.

Este tópico explica os seguintes conceitos relacionados a PVLANs na Série QFX:

Tipos de porta PVLAN

PVLANs podem usar os seguintes tipos de porta:

  • Porta de tronco promíscua — Uma porta promíscua é uma porta de tronco upstream conectada a um roteador, firewall, servidor ou rede de provedor. Uma porta-tronco promíscua pode se comunicar com todas as interfaces, incluindo portas isoladas e comunitárias em uma PVLAN.

  • Porta de tronco PVLAN — uma porta-tronco PVLAN é necessária em configurações de PVLAN multiswitch para abranger os switches. A porta-tronco PVLAN é um membro de todas as VLANs dentro do PVLAN (ou seja, a VLAN primária, as VLANs da comunidade e o VLAN isolado do interswitch), e transporta o tráfego da VLAN primária e de todas as VLANs secundários. Ela pode se comunicar com todas as portas.

    Normalmente, a comunicação entre uma porta de tronco PVLAN e uma porta isolada é geralmente unidirecional. A participação de uma porta de tronco PVLAN no VLAN isolado é apenas de saída, o que significa que uma porta isolada pode encaminhá-lo para uma porta de tronco PVLAN, mas uma porta-tronco PVLAN não encaminha pacotes para uma porta isolada (a menos que os pacotes ingressem em uma porta de acesso promíscua e, portanto, sejam encaminhados a todas as VLANs secundários na mesma VLAN primária que a porta promíscua).

  • Porta de tronco VLAN secundário — Portas de tronco VLAN secundários transportam tráfego VLAN secundário. Para uma VLAN privada (primária), uma porta de tronco VLAN secundário pode transportar tráfego para apenas um VLAN secundário. Entretanto, uma porta-tronco VLAN secundária pode transportar tráfego para várias VLANs secundários, desde que cada VLAN secundário seja membro de uma VLAN primária diferente. Por exemplo, uma porta-tronco VLAN secundária pode transportar tráfego para uma VLAN comunidade que faz parte do VLAN pvlan100 principal e também transportar tráfego para uma VLAN isolada que faz parte do VLAN principal pvlan400.

    Nota:

    Quando o tráfego vai de uma porta de tronco VLAN secundário, normalmente ele transporta a etiqueta da VLAN primária da onde a porta secundária faz parte. Se você quiser que o tráfego surgido de uma porta de tronco VLAN secundário mantenha sua etiqueta VLAN secundário, use a extend-secondary-vlan-id instrução.

  • Porta da comunidade — os portos da comunidade se comunicam entre si e com seus portos promíscuos. As portas da comunidade servem apenas um grupo de usuários. Essas interfaces são separadas na Camada 2 de todas as outras interfaces em outras comunidades ou portas isoladas dentro de seu PVLAN.

  • Porta de acesso isolada — as portas isoladas têm conectividade de Camada 2 apenas com portas promíscuas e portas de tronco PVLAN. Uma porta de acesso isolada não pode se comunicar com outra porta isolada, mesmo que essas duas portas sejam membros do mesmo VLAN isolado.

  • Porta de acesso promíscua — essas portas transportam tráfego não autorizado e podem ser um membro de apenas uma VLAN primária. O tráfego que ingresse em uma porta de acesso promíscua é encaminhado para as portas das VLANs secundários que são membros da VLAN primária da que a porta de acesso promíscua faz parte. Nesse caso, o tráfego transporta a etiqueta VLAN secundário apropriado quando ele se saída da porta VLAN secundário se a porta VLAN secundário for uma porta de tronco. Se o tráfego entrar em uma porta VLAN secundário e entrar em uma porta de acesso promíscua, o tráfego não será conectado à saída. Se o tráfego etiquetado entrar em uma porta de acesso promíscua, o tráfego será descartado.

Detalhes secundários da porta do tronco de VLAN

Ao usar uma porta-tronco VLAN secundária, saiba o seguinte:

  • Você deve configurar uma ID VLAN isolada para cada VLAN primária da porta de tronco VLAN secundário. Isso é verdade, mesmo que as VLANs secundários transportadas pela porta de tronco VLAN secundário se limitem a um único dispositivo.

  • Se você configurar uma porta para ser uma porta-tronco VLAN secundário para uma determinada VLAN primária, você também pode configurar a mesma porta física para ser qualquer uma das seguintes:

    • Porta de tronco VLAN secundário para outra VLAN primária

    • tronco PVLAN para outra VLAN primária

    • Porta-tronco promíscua

    • Porta de acesso para uma VLAN não privada

  • O tráfego que ingresse em uma porta de tronco VLAN secundário (com uma etiqueta VLAN secundário) e saída em uma porta de tronco PVLAN retém a etiqueta VLAN secundário na saída.

  • O tráfego que se ingressa em uma porta de tronco VLAN secundário e saída em uma porta de tronco promíscua tem a etiqueta VLAN primária apropriada para saída.

  • O tráfego que se ingressa em uma porta de tronco VLAN secundário e se egresso em uma porta de acesso promíscua não está conectado à saída.

  • O tráfego que se ingressa em uma porta de tronco promíscua com uma etiqueta VLAN primária e saída em uma porta-tronco VLAN secundário transporta a etiqueta VLAN secundário apropriado na saída. Por exemplo, assuma que você configurou o seguinte em um switch:

    • VLAN primária 100

    • VLAN 200 da comunidade como parte da VLAN primária

    • Porta-tronco promíscua

    • Porta de tronco secundário que transporta VLAN 200 da comunidade

    Se um pacote entrar na porta de tronco promíscua com a etiqueta VLAN primária 100 e saída na porta de tronco VLAN secundário, ele transporta a etiqueta 200 na saída.

Casos de uso

Na mesma interface física, você pode configurar várias portas de tronco VLAN secundários (em VLANs primárias diferentes) ou combinar uma porta de tronco VLAN secundário com outros tipos de portas VLAN. Os casos de uso a seguir fornecem exemplos de como isso ocorre e mostram como o tráfego fluía em cada caso:

Troncos VLAN secundários em duas VLANS primárias

Para este caso de uso, assuma que tenha dois switches com a seguinte configuração:

  • VLAN primária pvlan100 com tag 100.

    • A VLAN isolada200 com tag 200 é membro da pvlan100.

    • O comm300 da comunidade VLAN com a tag 300 é um membro do pvlan100.

  • VLAN principal pvlan400 com tag 400.

    • VLAN isolado500 com tag 500 é um membro do pvlan400.

    • O comm600 da comunidade VLAN com a tag 600 é um membro do pvlan400.

  • A interface xe-0/0/0 no Switch 1 se conecta a um servidor VMware (não mostrado) que está configurado com as VLANs privadas usadas neste exemplo. Essa interface está configurada com portas de tronco VLAN secundários para transportar tráfego para o comm600 VLAN secundário e o VLAN isolado (tag 200) que é um membro do pvlan100.

  • A interface xe-0/0/0 no Switch 2 é mostrada configurada como uma porta de tronco promíscua ou porta de acesso promíscua. Nesse último caso, você pode assumir que ele se conecta a um sistema (não exibido) que não suporta portas de tronco, mas que está configurado com as VLANs privadas usadas neste exemplo.

  • No Switch 1, xe-0/0/6 é membro do comm600 e está configurado como uma porta de tronco.

  • No Switch 2, xe-0/0/6 é membro do comm600 e está configurado como uma porta de acesso.

Figura 10 mostra essa topologia e como o tráfego para isolados200 e comm600 fluía após a entrada no xe-0/0/0 no Switch 1. Observe que o tráfego fluía apenas onde as setas indicavam. Por exemplo, não há setas para interfaces xe-0/0/2, xe-0/0/3 e xe-0/0/5 no Switch 1, porque nenhum pacote surgiria nessas interfaces.

Figura 10: Duas portas de tronco VLAN secundários em uma interfaceDuas portas de tronco VLAN secundários em uma interface

Aqui está o fluxo de tráfego para VLAN isolado200:

  1. Depois do tráfego de 200 entradas isoladas na porta de tronco VLAN secundário no Switch 1, ele se egresso na porta do tronco PVLAN porque a porta do tronco PVLAN é um membro de todas as VLANs. Os pacotes mantêm a etiqueta VLAN secundário (200) ao saída.
  2. Depois do tráfego de 200 entradas isoladas na porta de tronco VLAN secundário no Switch 2, ele se egresso no xe-0/0/0, configurado como uma porta de porta de tronco promíscua ou porta de acesso promíscua.
    • Se xe-0/0/0 no Switch 2 estiver configurado como uma porta de tronco promíscua, os pacotes surgirão nesta porta com a etiqueta VLAN primária (100).

    • Se xe-0/0/0 no Switch 2 estiver configurado como uma porta de acesso promíscua, os pacotes surgirão nesta porta sem atagged.

Observe que o tráfego para VLAN isolado200 não tem saída na porta de acesso isolada xe-0/0/2 no Switch 1 ou na porta de tronco VLAN secundário xe-0/0/2 no Switch 2, embora essas duas portas sejam membros da mesma VLAN isolada.

Aqui está o fluxo de tráfego para vLAN comm600:

  1. Após o tráfego para ingresso no comm600 na porta de tronco VLAN secundário no Switch 1, ele vai para a porta do tronco PVLAN porque a porta do tronco PVLAN é um membro de todas as VLANs. Os pacotes mantêm a etiqueta VLAN secundário (600) ao saída.

  2. O tráfego para comm600 também tem saída na porta da comunidade xe-0/0/6 no Switch 1. O tráfego é marcado porque a porta está configurada como um tronco.

  3. Após o tráfego para entradas comm600 na porta de tronco PVLAN no Switch 2, ele se egresso no xe-0/0/0, se essa interface estiver configurada como uma porta de tronco promíscua.

    Nota:

    Se o xe-0/0/0 no Switch 2 estiver configurado como uma porta de acesso promíscua, a porta pode participar de apenas uma VLAN primária. Nesse caso, a porta de acesso promíscua faz parte do pvlan100, para que o tráfego para comm600 não tenha saída dela

  4. O tráfego para comm600 também tem saída na porta da comunidade xe-0/0/6 no Switch 2. Nesse caso, o tráfego não está conectado porque o modo de porta é acesso.

Tronco VLAN secundário e tronco promíscuo

Para este caso de uso, assuma que tenha dois switches configurados com as mesmas portas e VLANs como no caso de uso anterior, com uma exceção: Nesse caso, o xe-0/0/0 no Switch 1 está configurado como uma porta de tronco VLAN secundário para VLAN pvlan100 e também está configurado como uma porta de tronco promíscua para pvlan400.

Figura 11 mostra essa topologia e como o tráfego para 200 (membro do pvlan100) e comm600 (membro do pvlan400) fluía após a entrada no Switch 1.

Figura 11: Tronco VLAN secundário e tronco promíscuo em uma interfaceTronco VLAN secundário e tronco promíscuo em uma interface

O fluxo de tráfego para VLAN isolado200 é o mesmo do caso de uso anterior, mas o fluxo para comm600 é diferente. Aqui está o fluxo de tráfego para vLAN comm600:

  1. Depois do tráfego para entradas comm600 na porta VLAN comunidade xe-0/0/6 no Switch 1, ele se egresso na porta do tronco promíscua xe-0/0/0 no Switch 1. Nesse caso, ela transporta a etiqueta VLAN primária (400).
  2. O tráfego para comm600 também tem saída na porta de tronco PVLAN, porque a porta do tronco PVLAN é um membro de todas as VLANs. Os pacotes mantêm a etiqueta VLAN secundário (600) ao saída.
  3. Após o tráfego para entradas comm600 na porta de tronco PVLAN no Switch 2, ele se egresso no xe-0/0/0, se essa interface estiver configurada como uma porta de tronco promíscua.

    Ele não terá saída no xe-0/0/0 se essa interface estiver configurada como uma porta de acesso promíscua, porque a porta só pode participar do pvlan100.

  4. O tráfego para comm600 também tem saída na porta da comunidade xe-0/0/6 no Switch 2.

Tronco VLAN secundário e tronco PVLAN

Para este caso de uso, assuma que tenha dois switches configurados com as mesmas portas e VLANs como nos casos de uso anteriores, exceto que xe-0/0/0 no Switch 1 está configurado como uma porta de tronco VLAN secundário para VLAN pvlan100 e também está configurada como uma porta de tronco de PVLAN para pvlan400.

Figura 12 mostra essa topologia e como o tráfego para comm300 (membro do pvlan100) e comm600 (membro do pvlan400) fluía após a entrada no Switch 1.

Figura 12: Tronco VLAN secundário e tronco PVLAN em uma interfaceTronco VLAN secundário e tronco PVLAN em uma interface

Aqui está o fluxo de tráfego para vLAN comm300:

  1. Depois do tráfego para entradas comm300 na porta da comunidade xe-0/0/3 no Switch 1, ele se egresso na porta de tronco PVLAN xe-0/0/1, porque essa porta de tronco PVLAN é membro de todas as VLANs. Os pacotes mantêm a etiqueta VLAN secundário (300) ao saída.
    Nota:

    O tráfego para comm300 não tem saída no xe-0/0/0, porque a porta de tronco VLAN secundário nesta interface transporta isolada200, não comm300.

  2. Depois do tráfego para entradas comm300 na porta de tronco PVLAN no Switch 2, ele se egresso no xe-0/0/0, configurado como uma porta de tronco promíscua ou porta de acesso promíscua.
    • Se xe-0/0/0 no Switch 2 estiver configurado como uma porta de tronco promíscua, os pacotes surgirão nesta porta com a etiqueta VLAN primária (100).

    • Se xe-0/0/0 no Switch 2 estiver configurado como uma porta de acesso promíscua, os pacotes surgirão nesta porta sem atagged.

  3. O tráfego para comm300 também tem saída na porta da comunidade xe-0/0/3 no Switch 2.

Aqui está o fluxo de tráfego para vLAN comm600:

  1. Após o tráfego para entradas comm600 na porta PVLAN xe-0/0/0 no Switch 1, ele vai para a porta da comunidade xe-0/0/6 no Switch 1. Os pacotes mantêm a etiqueta VLAN secundário (600) ao saída, porque xe-0/0/6 é uma porta de tronco.

  2. O tráfego para comm600 também tem saída na porta de tronco PVLAN xe-0/0/1, porque essa porta de tronco de PVLAN é um membro de todas as VLANs. Os pacotes mantêm a etiqueta VLAN secundário (600) ao saída.

  3. Após o tráfego para entradas comm600 na porta de tronco PVLAN no Switch 2, ele se egresso no xe-0/0/0, se essa interface estiver configurada como uma porta de tronco promíscua.

    Ele não terá saída no xe-0/0/0 se essa interface estiver configurada como uma porta de acesso promíscua, porque a porta só pode participar do pvlan100.

  4. O tráfego para comm600 também tem saída na porta da comunidade xe-0/0/6 no Switch 2. Esse tráfego não está conectado à saída, porque xe-0/0/6 é uma porta de acesso.

Tronco VLAN secundário e interface VLAN não privada

Para este caso de uso, assuma que tenha dois switches configurados com as mesmas portas e VLANs como nos casos de uso anteriores, exceto por essas diferenças:

  • Configuração para xe-0/0/0 no switch 1:

    • Porta de tronco VLAN secundário para VLAN pvlan100

    • Porta de acesso para vlan700

  • A porta xe-0/0/6 em ambos os switches é uma porta de acesso para vlan700.

Figura 13 mostra essa topologia e como o tráfego para 200 (membro da pvlan100) e vlan700 fluía após a entrada no Switch 1.

Figura 13: Tronco VLAN secundário e porta VLAN não privada em uma interfaceTronco VLAN secundário e porta VLAN não privada em uma interface

Aqui está o fluxo de tráfego para VLAN isolado200:

  1. Depois do tráfego de 200 entradas isoladas na porta de tronco VLAN secundário no Switch 1, ele se egresso na porta do tronco de PVLAN. Os pacotes mantêm a etiqueta VLAN secundário (200) ao saída.
  2. Depois do tráfego para ingresso isolado de 200 entradas na porta de tronco PVLAN no Switch 2, ele se egresso no xe-0/0/0, configurado como uma porta de porta de tronco promíscua ou porta de acesso promíscua.
    • Se xe-0/0/0 no Switch 2 estiver configurado como uma porta de tronco promíscua, os pacotes surgirão nesta porta com a etiqueta VLAN primária (100).

    • Se xe-0/0/0 no Switch 2 estiver configurado como uma porta de acesso promíscua, os pacotes surgirão nesta porta sem atagged.

Observe que o tráfego para VLAN isolado200 não tem saída na porta de acesso isolada xe-0/0/2 no Switch 1 ou na porta de tronco VLAN secundário xe-0/0/2 no Switch 2, embora essas duas portas sejam membros da mesma VLAN isolada.

Após o tráfego de entrada vlan700 na porta de acesso configurada no xe-0/0/0 no Switch 1, ele se egresso na porta de acesso xe-0/0/6, porque essa porta é membro da mesma VLAN. O tráfego para vlan700 não é encaminhado para o Switch 2 (embora xe-0/0/6 no Switch 2 seja membro do vlan700) porque o tronco PVLAN no xe-0/0/1 não transporta esse VLAN.

Entrada de tráfego na porta de acesso promíscua

Para este caso de uso, assuma que você tenha dois switches configurados com as mesmas portas e VLANs como no caso de uso anterior, exceto que xe-0/0/0 no Switch 1 está configurado como uma porta de acesso promíscua e é um membro do pvlan100. mostra essa topologia e como o tráfego não adoçado fluía após a entrada Figura 14 nesta interface no Switch 1.

Figura 14: Entrada de tráfego na porta de acesso promíscuaEntrada de tráfego na porta de acesso promíscua

Como mostra a figura, o tráfego não autorizado que ingresse em uma porta de acesso promíscua é encaminhado a todas as portas VLAN secundários que são membros da mesma VLAN primária da qual a porta de acesso promíscua faz parte. O tráfego não é etiquetado quando ele saída das portas de acesso e etiquetado na saída de uma porta de tronco (xe-0/0/2 no Switch 2).

Usando autenticação 802.1X e VLANs privadas juntas na mesma interface

Entender o uso de autenticação 802.1X e PVLANs juntos na mesma interface

Agora, você pode configurar autenticação 802.1X e VLANs privadas (PVLANs) na mesma interface.

IEEE autenticação 802.1X fornece segurança de borda de rede, protegendo LANs Ethernet do acesso não autorizado do usuário bloqueando todo o tráfego de e de um suplente (cliente) na interface até que as credenciais do súplice sejam apresentadas e partidas no servidor de autenticação (um servidor RADIUS).

VLANs privadas (PVLANs) fornecem isolamento de Camada 2 entre portas dentro de uma VLAN, dividindo um domínio de broadcast em várias subdomas de broadcast discretas criando VLANs secundários. As PVLANs são úteis para restringir o fluxo de broadcast e o tráfego unicast desconhecido e limitar a comunicação entre hosts conhecidos.

Em um switch configurado com autenticação 802.1X e PVLANs, quando um novo dispositivo está conectado à rede PVLAN, o dispositivo é autenticado e, em seguida, é atribuído a uma VLAN secundário com base na configuração PVLAN ou RADIUS perfil. Em seguida, o dispositivo obtém um endereço IP e tem acesso à rede PVLAN.

Nota:

Este documento não fornece informações detalhadas sobre autenticação 802.1X ou VLANs privadas. Para esses detalhes, consulte a documentação de recursos específica desses recursos individuais. Para 802.1X, consulte User Access and Authentication User Guide. Para PVLANs, consulte o Guia do Usuário de Composição de Ethernet.

Orientações de configuração para combinar autenticação 802.1X com PVLANs

Tenha em mente as seguintes orientações e limitações para configurar esses dois recursos na mesma interface:

  • Você não pode configurar uma interface habilitada para 802.1X como uma interface promíscua (uma interface que seja membro da VLAN primária por configuração) ou como uma interface entre enlaces (ISL).

  • Vários usuários não podem ser autenticados em VLANs diferentes que pertencem ao mesmo domínio de PVLAN em uma interface lógica, por exemplo, se a interface ge-0/0/0 está configurada e os clientes C1 e C2 são autenticados e são adicionados a VLANs dinâmicas V1 e V2, respectivamente, então V1 e V2 devem pertencer a supplicant multiple domínios diferentes de PVLAN.

  • Se o VoIP VLAN e a VLAN de dados são diferentes, esses dois VLANs devem estar em domínios PVLAN diferentes.

  • Quando a adesão a PVLAN é mudada (ou seja, uma interface é reconfigurada em uma PVLAN diferente), os clientes precisam ser reatenticados.

Exemplo: Configurando autenticação 802.1X com VLANs privadas em uma única configuração

Requisitos

  • Versão do Junos OS 18.2R1 ou mais tarde

  • EX2300, EX3400 ou EX4300 switch

Antes de começar, especifique o RADIUS servidor ou servidores a serem usados como servidor de autenticação. Consulte Como especificar RADIUS conexões de servidor nos switches (procedimento CLI).

Visão geral

A seção de configuração a seguir mostra a configuração do perfil de acesso, a configuração de autenticação 802.1X e, por fim, a configuração de VLANs (incluindo PVLANs).

Configurando autenticação 802.1X com VLANs privadas em uma única configuração

Procedimento
Configuração rápida CLI
Procedimento passo a passo

Para configurar autenticação 802.1X e PVLANs em uma única configuração:

  1. Configure o perfil de acesso:

    Nota:

    O VoIP VLAN configurado não pode ser uma PVLAN (primária, comunidade ou isolada).

  2. Configure as configurações 802.1X:

    Nota:

    O VLAN de dados configurados também pode ser uma VLAN da comunidade ou uma VLAN isolada.

  3. Configure as VLANs (incluindo as PVLANs):

Resultados

A partir do modo de configuração, confirme sua configuração inserindo os seguintes show comandos no switch. Se a saída não apresentar a configuração pretendido, repetir as instruções neste exemplo para corrigir a configuração.

Verificação

Verificar se os endereços MAC do cliente são aprendidas no VLAN principal
Propósito

Mostrar que um endereço MAC do cliente foi informado sobre a VLAN primária.

Ação
Verificar se a VLAN primária é uma VLAN autenticada
Propósito

Mostra que a VLAN primária é mostrada como uma VLAN autenticada.

Ação

Colocar segurança de porta de acesso em VLANs privadas

Entender a segurança da porta de acesso em PVLANs

Agora, você pode habilitar recursos de segurança de porta de acesso, como ODHCP, em VLANs privadas (PVLANs).

Por motivos de segurança, costuma ser útil restringir o fluxo de broadcast e o tráfego unicast desconhecido e até mesmo limitar a comunicação entre hosts conhecidos. O recurso PVLAN permite dividir um domínio de broadcast em várias subdomas de broadcast isoladas, essencialmente colocando uma VLAN dentro de uma VLAN.

As LANs ethernet são vulneráveis a ataques, como a spoofação de endereços (forjamento) e negação de serviço camada 2 (DoS) em dispositivos de rede. Os seguintes recursos de segurança de porta de acesso ajudam a proteger seu dispositivo contra perdas de informações e produtividade que esses ataques podem causar, e agora você pode configurar esses recursos de segurança em um PVLAN:

  • Espionagem DHCP — filtra e bloqueia mensagens de servidor DHCP de entrada em portas não falsas. O DHCP cria e mantém um banco de dados de informações de locação DHCP, que é chamado de banco de dados de xereçamento DHCP.

  • DHCPv6 bisbilhotagem — DHCP xing para IPv6.

  • opção DHCP 82 — também conhecida como a opção informações do agente do DHCP Relay. Ajuda a proteger o switch contra ataques, como a spoofagem de endereços IP e endereços MAC e a inanição de endereços IP DHCP. A opção 82 fornece informações sobre a localização da rede de um cliente DHCP. O servidor DHCP usa essas informações para implementar endereços IP ou outros parâmetros para o cliente.

  • Opções de DHCPv6:

    • Opção 37 — opção de ID remota para DHCPv6; insere informações sobre a localização da rede do host remoto em pacotes DHCPv6.

    • Opção 18 — Opção de ID de circuito para DHCPv6; insere informações sobre a porta do cliente nos pacotes DHCPv6.

    • Opção 16 — opção de ID do fornecedor para DHCPv6; insere informações sobre o fornecedor do hardware do cliente em pacotes DHCPv6.

  • Inspeção dinâmica de ARP (DAI)— Impede ataques spoofing do Protocolo de Resolução de Endereço (ARP). As solicitações e respostas de ARP são comparadas às entradas do banco de dados de xereçamento DHCP, e as decisões de filtragem são feitas com base nos resultados dessas comparações.

  • Proteção de origem IP — Atenua os efeitos de ataques de spoofagem de endereços IP na LAN Ethernet; valida o endereço IP de origem no pacote enviado de uma interface de acesso não confiável contra o banco de dados de espionagem DHCP. Caso o pacote não possa ser validado, ele será descartado.

  • Proteção de origem IPv6 — proteção de origem IP para IPv6.

  • Inspeção de descoberta de vizinho IPv6 — Impede ataques de spoofing do IPv6; compara solicitações de descoberta de vizinho e respostas contra entradas no banco de dados de espionagem DHCPv6, e as decisões de filtragem são feitas com base nos resultados dessas comparações.

Nota:

Este documento não fornece informações detalhadas sobre recursos de segurança de porta de acesso ou PVLANs. Para esses detalhes, consulte a documentação de recursos específica desses recursos individuais. Para acessar a segurança da porta, consulte o Guia de Administração de Serviços de Segurança. Para PVLANs, consulte o Guia do Usuário de Composição de Ethernet.

Orientações de configuração para colocar recursos de segurança de porta de acesso em PVLANs

Tenha em mente as seguintes orientações e limitações para configurar recursos de segurança de porta de acesso em PVLANs:

  • Você deve aplicar os mesmos recursos de segurança de porta de acesso no vlan principal e em todas as VLANs secundários.

  • Uma PVLAN pode ter apenas uma interface integrada de roteamento e conexão (IRB), e a interface do IRB deve estar no VLAN principal.

  • As limitações das configurações de segurança da porta de acesso em PVLANs são as mesmas das configurações de segurança de porta de acesso que não estão em PVLANs. Consulte a documentação de segurança da porta de acesso no Security Services Administration Guide.

Exemplo: Configurando a segurança de porta de acesso em uma PVLAN

Requisitos

  • Versão do Junos OS 18.2R1 ou mais tarde

  • EX4300 switch

Visão geral

A seção de configuração a seguir mostra:

  • Configuração de uma VLAN privada, com a VLAN primária () e seus três VLANs secundários — VLANs da comunidade ( e ) e vlan-privlan-hrvlan-finance VLAN isolada ( vlan-iso ).

  • Configuração das interfaces usadas para enviar comunicações entre as interfaces nesses VLANs.

  • Configuração de recursos de segurança de acesso nas VLANs primárias e secundárias que composição do PVLAN.

Tabela 5 lista as configurações da topologia por exemplo.

Tabela 5: Componentes da topologia para configurar uma PVLAN com recursos de segurança de porta de acesso
Interface Descrição

ge-0/0/0.0

Interface de tronco VLAN primária (vlan1-pri)

ge-0/0/11.0

Usuário 1, Comunidade de RH (vlan-hr)

ge-0/0/12.0

Usuário 2, Comunidade de RH (vlan-hr)

ge-0/0/13.0

Usuário 3, Comunidade financeira (vlan-finance)

ge-0/0/14.0

Usuário 4, Comunidade financeira (vlan-finance)

ge-0/0/15.0

Servidor de e-mail, isolado (vlan-iso)

ge-0/0/16.0

Servidor de backup, isolado (vlan-iso)

ge-1/0/0.0

Interface de tronco VLAN primária (vlan-pri)

Configurando a segurança de porta de acesso em uma PVLAN

Procedimento
Configuração rápida CLI
Procedimento passo a passo

Para configurar uma VLAN privada (PVLAN) e configurar os recursos de segurança de porta de acesso nesse PVLAN:

  1. Configure o PVLAN — crie a VLAN primária e suas VLANs secundários e atribua IDs VLAN a eles. Associe interfaces com as VLANs. (Para obter detalhes sobre a configuração de VLANs, consulte Configurar VLANs para Switches da Série EX com suporte a ELS (ClI Procedure).)

  2. Configure recursos de segurança de porta de acesso no VLAN principal e em todas as VLANs secundários:

    Nota:

    Ao configurar a inspeção de ARP, o proteção de origem IP, o proteção de origem IPv6, a inspeção de descoberta do vizinho, as opções DHCP 82 ou DHCPv6, o DHCP e o DHCPv6 estão configurados automaticamente.

Resultados

A partir do modo de configuração, confirme sua configuração inserindo os seguintes show comandos no switch. Se a saída não apresentar a configuração pretendido, repetir as instruções neste exemplo para corrigir a configuração.

Verificação

Verificar se os recursos de segurança de acesso estão funcionando como esperado
Propósito

Verificar se os recursos de segurança da porta de acesso configurados em seu PVLAN estão funcionando como esperado.

Ação

Use os show dhcp-security comandos e os comandos clear dhcp-security CLI para verificar se os recursos estão funcionando como esperado. Veja detalhes desses comandos no Guia de Administração de Serviços de Segurança.

Criação de uma VLAN privada em um único switch com suporte a ELS (ClI Procedure)

Nota:

Essa tarefa usa o Junos OS para switches com suporte ao estilo de configuração de Software de Camada 2 Aprimorada (ELS). Se o switch série EX executa software que não suporta ELS, consulte Criar uma VLAN privada em um Único Switch da Série EX (Procedimento CLI). Para detalhes da ELS, consulte Como usar a CLI de software aprimorada de Camada 2.

Nota:

VLANs privadas não são suportadas em switches QFX5100 e switches QFX10002 junos OS Release 15.1X53.

Por motivos de segurança, costuma ser útil restringir o fluxo de broadcast e o tráfego unicast desconhecido ou limitar a comunicação entre hosts conhecidos. VLANs privadas (PVLANs) permitem dividir um domínio de broadcast (VLAN primária) em várias subdomas de broadcast isoladas (VLANs secundários), essencialmente colocando uma VLAN dentro de uma VLAN. Esse procedimento descreve como criar uma PVLAN em um único switch.

Nota:

Você deve especificar uma ID VLAN para cada VLAN secundário, mesmo se o PVLAN estiver configurado em um único switch.

Você não precisa pré-configurar o VLAN principal. Este tópico mostra a VLAN primária configurada como parte deste procedimento de configuração de PVLAN.

Para ver uma lista de orientações sobre a configuração de PVLANs, consulte Entender VLANs privadas.

Para configurar uma VLAN privada em um único switch:

  1. Dede a ID de VLAN para a VLAN primária:
  2. Configure pelo menos uma interface dentro da VLAN primária para que ela se comunique com todas as subdomas do PVLAN. Essa interface funciona como uma porta promíscua. Pode ser uma porta de tronco ou uma porta de acesso.
  3. Configure outra interface promíscua da VLAN primária como uma porta de tronco para conectar o PVLAN ao roteador ou switch externo:
  4. Crie uma VLAN isolada selecionando a opção para, e configurando uma isolatedprivate-vlan ID VLAN para a VLAN isolada:
    Nota:

    Você pode criar apenas uma VLAN isolada em uma VLAN privada. Definir o nome VLAN para VLAN isolado é opcional. É necessário configurar a ID de VLAN.

  5. Crie uma VLAN da comunidade selecionando community a opção private-vlan e configurando uma ID VLAN para esta VLAN da comunidade:
    Nota:

    Para criar VLANs adicionais para a comunidade, repetir esta etapa e especificar um nome diferente para a VLAN da comunidade. Definir o nome VLAN para a VLAN da comunidade é opcional. É necessário configurar a ID de VLAN.

  6. Associe a VLAN isolada à VLAN primária:
  7. Associe cada VLAN da comunidade com a VLAN primária:
  8. Caso você ainda não tenha feito isso, configure pelo menos uma interface da VLAN isolada.
  9. Caso você ainda não tenha feito isso, configure pelo menos uma interface da VLAN da comunidade.
    Nota:

    Repetir o mesmo passo em outras VLANs da comunidade que você deseja incluir no PVLAN.

Criação de uma VLAN privada em um único switch QFX

Por motivos de segurança, costuma ser útil restringir o fluxo de broadcast e o tráfego unicast desconhecido e até mesmo limitar a comunicação entre hosts conhecidos. O recurso VLAN privado (PVLAN) permite dividir um domínio de broadcast em várias subdomas de broadcast isoladas, essencialmente colocando um VLAN secundário dentro de uma VLAN primária. Este tópico descreve como configurar uma PVLAN em um único switch.

Antes de começar, configure nomes para todas as VLANs secundários que fazem parte da VLAN primária. (Você não precisa pré-configurar a VLAN primária, ela está configurada como parte desse procedimento.) Você não precisa criar IDs (tags) de VLAN para as VLANs secundários. Ele não prejudicará o funcionamento se você identificar os VLANS secundários, mas as tags não são usadas quando VLANs secundários estão configuradas em um único switch.

Tenha essas regras em mente ao configurar uma PVLAN:

  • A VLAN primária deve ser uma VLAN etiquetada.

  • Para configurar uma VLAN da comunidade, primeiro você deve configurar a porta de tronco VLAN primária e a porta de tronco PVLAN. Você também deve configurar a VLAN primária para ser privada usando a instrução pvlan.

  • Para configurar uma VLAN isolada, primeiro é necessário configurar a VLAN primária e a porta de tronco PVLAN.

Se você completar as etapas de configuração na ordem mostrada, você não violará essas regras de PVLAN. Para configurar uma VLAN privada em um único switch:

  1. Dede o nome e a ID de VLAN (etiqueta 802.1Q) para a VLAN primária:
  2. Configure o VLAN para ser privado:
  3. Configure as interfaces de tronco para a VLAN primária:
  4. Adicione as interfaces de tronco à VLAN primária:
  5. Configure as interfaces de acesso para VLANs da comunidade (secundários:
  6. Adicione as interfaces de acesso às VLANs da comunidade:
  7. Para cada VLAN da comunidade, de definir a VLAN primária:
  8. Configurar portas isoladas:

Criação de uma VLAN privada em um único switch da série EX (procedimento CLI)

Por motivos de segurança, costuma ser útil restringir o fluxo de broadcast e o tráfego unicast desconhecido e até mesmo limitar a comunicação entre hosts conhecidos. O recurso VLAN privado (PVLAN) nos switches da Série EX permite dividir um domínio de broadcast, também conhecido como VLAN principal, em várias subdomas de broadcast isoladas, também conhecidas como VLANs secundários. Dividir a VLAN primária em VLANs secundários basicamente aninha uma VLAN dentro de outra VLAN. Este tópico descreve como configurar uma PVLAN em um único switch.

Antes de começar, configure nomes para todas as VLANs secundários que fazem parte da VLAN primária. (Ao contrário das VLANs secundários, você não precisa pré-configurar a VLAN primária; esse procedimento fornece a configuração completa da VLAN primária.) Embora as tags não sejam necessárias quando uma VLAN secundário está configurada em um único switch, a configuração de uma VLAN secundário como etiquetada não afeta sua funcionalidade. Para obter instruções sobre como configurar os VLANs secundários, consulte Configurando VLANs paraswitches da série EX.

Tenha em mente essas regras ao configurar uma PVLAN em um único switch:

  • A VLAN primária deve ser uma VLAN etiquetada.

  • Não é possível configurar uma VLAN VoIP em interfaces PVLAN.

Para configurar uma VLAN privada em um único switch:

  1. Dede a ID de VLAN para a VLAN primária:
  2. Definir as interfaces e os modos de porta:
  3. Configure as portas de acesso na VLAN primária para não encaminhá-lo umas às outras:
  4. Para cada VLAN da comunidade, configure interfaces de acesso:
  5. Para cada VLAN da comunidade, de definir a VLAN primária:

VLANs isoladas não estão configuradas como parte desse processo. Em vez disso, elas são criadas internamente se for ativada na VLAN primária e a VLAN isolada tiver no-local-switching interfaces de acesso como membros.

Para habilitar o roteamento entre VLANs isoladas e comunitárias usando uma interface VLAN roteada (RVI) em vez de uma porta promíscua conectada a um roteador, consulte Configurar uma interface VLANroteada em uma VLAN privada em um Switch da Série EX.

Nota:

Apenas um EX8200 ou um EX8200 Virtual Chassis suporte ao uso de uma RVI para rotear o tráfego da Camada 3 entre VLANs isoladas e comunitárias em um domínio de PVLAN.

Criação de uma VLAN privada que abrange várias Switches da Série QFX

Por motivos de segurança, costuma ser útil restringir o fluxo de broadcast e o tráfego unicast desconhecido e até mesmo limitar a comunicação entre hosts conhecidos. O recurso VLAN privado (PVLAN) permite dividir um domínio de broadcast em várias subdomas de broadcast isoladas, essencialmente colocando um VLAN secundário dentro de uma VLAN primária. Este tópico descreve como configurar uma PVLAN para abranger vários switches.

Antes de começar, configure nomes para todas as VLANs secundários que fazem parte da VLAN primária. (Você não precisa pré-configurar a VLAN primária, ela está configurada como parte desse procedimento.) Você não precisa criar IDs (tags) de VLAN para as VLANs secundários. Ele não prejudicará o funcionamento se você identificar os VLANS secundários, mas as tags não são usadas quando VLANs secundários estão configuradas em um único switch.

As regras a seguir aplicam-se à criação de PVLANs:

  • A VLAN primária deve ser uma VLAN etiquetada.

  • Para configurar uma VLAN da comunidade, primeiro você deve configurar a porta de tronco VLAN primária e a porta de tronco PVLAN. Você também deve configurar a VLAN primária para ser privada usando a instrução pvlan.

  • Para configurar uma VLAN isolada, primeiro é necessário configurar a VLAN primária e a porta de tronco PVLAN.

Se você completar as etapas de configuração na ordem mostrada, você não violará essas regras de PVLAN. Para configurar uma VLAN privada para abranger vários switches:

  1. Dede o nome e a ID de VLAN (etiqueta 802.1Q) para a VLAN primária:
  2. Configure o VLAN para ser privado:
  3. Configure as interfaces de tronco para a VLAN primária:
  4. Adicione as interfaces de tronco à VLAN primária:
  5. Configure as interfaces de acesso para VLANs da comunidade (secundários:
  6. Adicione as interfaces de acesso às VLANs da comunidade:
  7. Para cada VLAN da comunidade, de definir a VLAN primária:
  8. Configure uma ID VLAN isolada para criar um domínio isolado entre os switches:
  9. Configurar portas isoladas:

Criação de uma VLAN privada que abrange vários switches da série EX com suporte a ELS (ClI Procedure)

Nota:

Esta tarefa usa o Junos OS para switches da Série EX com suporte ao estilo de configuração els (Enhanced Layer 2) Se o switch executa software que não suporta ELS, consulte Criação de uma VLAN privada que abrange vários switches da série EX (ClI Procedure). Para detalhes da ELS, consulte Como usar a CLI de software aprimorada de Camada 2.

Nota:

VLANs privadas não são suportadas em switches QFX5100 e switches QFX10002 junos OS Release 15.1X53.

Por motivos de segurança, costuma ser útil restringir o fluxo de broadcast e o tráfego unicast desconhecido ou limitar a comunicação entre hosts conhecidos. VLANs privadas (PVLANs) permitem dividir um domínio de broadcast (VLAN primária) em várias subdomas de broadcast isoladas (VLANs secundários), essencialmente colocando uma VLAN dentro de uma VLAN. Esse procedimento descreve como configurar uma PVLAN para abranger vários switches.

Para ver uma lista de orientações sobre a configuração de PVLANs, consulte Entender VLANs privadas.

Para configurar uma PVLAN para abranger vários switches, execute o seguinte procedimento em todos os switches que participarão do PVLAN::

  1. Crie a VLAN primária definindo o nome VLAN exclusivo e especificando uma etiqueta 802.1Q para a VLAN:
  2. No switch que se conectará a um roteador, configure uma interface promíscua como uma porta de tronco para conectar o PVLAN ao roteador:
  3. Em todos os switches, configure uma interface de tronco como o enlace entre switches (ISL) que será usado para conectar os switches entre si:
  4. Crie uma VLAN isolada dentro da VLAN primária selecionando a opção para, e configurando uma isolatedprivate-vlan ID VLAN para a VLAN isolada:
    Nota:

    Você pode criar apenas uma VLAN isolada em uma VLAN privada. A VLAN isolada pode conter interfaces de membro dos vários switches que compõem o PVLAN. Definir o nome VLAN para VLAN isolado é opcional. É necessário configurar a ID de VLAN.

  5. Crie uma VLAN comunidade dentro da VLAN primária selecionando a opção para, e configurando uma communityprivate-vlan ID VLAN para esta comunidade VLAN::
    Nota:

    Para criar VLANs adicionais para a comunidade, repetir esta etapa e especificar um nome diferente para a VLAN da comunidade. Definir o nome VLAN para a VLAN da comunidade é opcional. É necessário configurar a ID de VLAN.

  6. Associe a VLAN isolada à VLAN primária:
  7. Associe cada VLAN da comunidade com a VLAN primária:
  8. Caso você ainda não tenha feito isso, configure pelo menos uma interface de acesso para fazer parte da VLAN isolada.
  9. Caso você ainda não tenha feito isso, configure pelo menos uma interface de acesso para fazer parte da VLAN da comunidade.
    Nota:

    Repetir esta etapa para as outras VLANs da comunidade incluindo você na PVLAN.

Criação de uma VLAN privada que abrange vários switches da série EX (procedimento CLI)

Por motivos de segurança, costuma ser útil restringir o fluxo de broadcast e o tráfego unicast desconhecido e até mesmo limitar a comunicação entre hosts conhecidos. O recurso VLAN privado (PVLAN) nos switches da Série EX permite que um administrador divida um domínio de broadcast, também conhecido como VLAN principal, em várias subdomas de broadcast isoladas, também conhecidas como VLANs secundários. Dividir a VLAN primária em VLANs secundários basicamente aninha uma VLAN dentro de outra VLAN. Este tópico descreve como configurar uma PVLAN para abranger vários switches.

Antes de começar, configure nomes para todas as VLANs secundários que fazem parte da VLAN primária. (Ao contrário das VLANs secundários, você não precisa pré-configurar a VLAN primária; esse procedimento fornece a configuração completa da VLAN primária.) Para obter instruções sobre como configurar os VLANs secundários, consulte Configurando VLANs paraswitches da série EX.

As regras a seguir aplicam-se à criação de PVLANs:

  • A VLAN primária deve ser uma VLAN etiquetada.

  • Você deve configurar a VLAN primária e a porta de tronco PVLAN antes de configurar as VLANs secundários.

  • Não é possível configurar uma VLAN VoIP em interfaces PVLAN.

  • Se o MVRP (Multiple VLAN Registration Protocol) estiver configurado na porta de tronco PVLAN, a configuração de VLANs secundários e a porta de tronco PVLAN devem ser comprometidas com a mesma operação de commit.

Para configurar uma VLAN privada para abranger vários switches:

  1. Configure um nome e uma etiqueta 802.1Q para a VLAN primária:.
  2. Definir a VLAN primária para não ter com switching local:
  3. De definir a interface de tronco de PVLAN que conectará a VLAN primária ao switch vizinho:
  4. Configure um nome e uma tag 802.1Q para uma VLAN da comunidade que abrange os switches:
  5. Adicione interfaces de acesso à VLAN da comunidade:
  6. Especifique a VLAN primária da VLAN da comunidade especificada:
  7. Adicione a interface isolada à VLAN primária especificada:
    Nota:

    Para configurar uma interface isolada, inclua-a como um dos membros da VLAN primária, mas não configure-a como pertencente a uma das VLANs da comunidade.

  8. Dete a tag 802.1Q do VLAN isolado entre eles:

    As tags 802.1Q são necessárias para VLANs isoladas por IEEE 802.1Q usa um mecanismo de marcação interna pelo qual um dispositivo de tronco insere uma guia de identificação de quadro VLAN de 4 byte no cabeamento do pacote.

Para habilitar o roteamento entre VLANs isoladas e comunitárias usando uma interface VLAN roteada (RVI) em vez de uma porta promíscua conectada a um roteador, consulte Configurar uma interface VLANroteada em uma VLAN privada em um Switch da Série EX.

Nota:

Apenas um EX8200 ou um EX8200 Virtual Chassis suporte ao uso de uma RVI para rotear o tráfego da Camada 3 entre VLANs isoladas e comunitárias em um domínio de PVLAN.

Exemplo: Configurando uma VLAN privada em um único switch com suporte a ELS

Nota:

Este exemplo usa o Junos OS para switches com suporte ao estilo de configuração de Software de Camada 2 Aprimorada (ELS). Se o switch EX executa software que não suporta ELS, consulte Exemplo: Configurando uma VLAN privada em um único switch da série EX. Para detalhes da ELS, consulte Como usar a CLI de software aprimorada de Camada 2.

Nota:

VLANs privadas não são suportadas em switches QFX5100 e switches QFX10002 junos OS Release 15.1X53.

Por motivos de segurança, costuma ser útil restringir o fluxo de broadcast e o tráfego unicast desconhecido ou limitar a comunicação entre hosts conhecidos. VLANs privadas (PVLANs) permitem dividir um domínio de broadcast (VLAN primária) em várias subdomas de broadcast isoladas (VLANs secundários), essencialmente colocando uma VLAN dentro de uma VLAN.

Este exemplo descreve como criar uma PVLAN em um único switch:

Requisitos

Este exemplo usa os seguintes componentes de hardware e software:

  • Switch One Junos OS

  • Junos OS Release 14.1X53-D10 ou mais tarde para switches da Série EX

    Junos OS Release 14.1X53-D15 ou mais tarde para switches da Série QFX

Visão geral e topologia

Você pode isolar grupos de assinantes para melhorar a segurança e a eficiência. Este exemplo de configuração usa uma topologia simples para ilustrar como criar uma PVLAN com um VLAN principal e três VLANs secundários (um VLAN isolado e dois VLANs da comunidade).

Tabela 6 lista as interfaces da topologia usada no exemplo.

Tabela 6: Interfaces da topologia para configurar uma PVLAN
Interface Descrição

ge-0/0/0

ge-1/0/0

Portas membros promíscuas

ge-0/0/11ge-0/0/12

Portas de membro VLAN da comunidade de RH

ge-0/0/13ge-0/0/14

Portas membro da comunidade de financiamento VLAN

ge-0/0/15ge-0/0/16

Portas de membro isoladas

Tabela 7 lista as IDs VLAN da topologia usada no exemplo.

Tabela 7: IDs de VLAN na topologia para configurar uma PVLAN
VLAN ID Descrição

100

VLAN primária

200

VLAN da comunidade de RH

300

VLAN da comunidade financeira

400

VLAN isolada

Figura 15 mostra a topologia deste exemplo.

Figura 15: Topologia de uma VLAN privada em um único switch da série EXTopologia de uma VLAN privada em um único switch da série EX

Configuração

Você pode usar uma VLAN existente como base para sua PVLAN privada e criar subdomas dentro dele. Esse exemplo cria uma VLAN primária, usando o nome vlan-pri VLAN, como parte do procedimento.

Para configurar uma PVLAN, realize essas tarefas:

Configuração rápida CLI

Para criar e configurar uma PVLAN rapidamente, copie os seguintes comandos e os confique na janela do terminal do switch:

Procedimento

Procedimento passo a passo

Para configurar o PVLAN:

  1. Crie a VLAN primária (neste exemplo, o nome é vlan-pri ) da VLAN privada:

  2. Crie uma VLAN isolada e atribua a ele uma ID VLAN:

  3. Crie uma VLAN da comunidade de RH e atribua a ela uma ID VLAN:

  4. Crie uma VLAN da comunidade financeira e atribua uma ID VLAN:

  5. Associe as VLANs secundários com a VLAN primária:

  6. Definir as interfaces para os modos de interface apropriados:

  7. Configure uma interface de tronco promíscua do VLAN principal. Essa interface é usada pela VLAN primária para se comunicar com as VLANs secundários.

  8. Configure outra interface de tronco (também é uma interface promíscua) da VLAN primária, conectando a PVLAN ao roteador.

Exemplo: Configurando uma VLAN privada em um único switch da série QFX

Por motivos de segurança, costuma ser útil restringir o fluxo de broadcast e o tráfego unicast desconhecido e até mesmo limitar a comunicação entre hosts conhecidos. O recurso VLAN privado (PVLAN) permite que um administrador divida um domínio de broadcast em várias subdomas de broadcast isoladas, essencialmente colocando uma VLAN dentro de uma VLAN.

Este exemplo descreve como criar uma PVLAN em um único switch:

Requisitos

Este exemplo usa os seguintes componentes de hardware e software:

  • Um QFX3500 de segurança

  • Junos OS Release 12.1 ou mais tarde para a Série QFX

Antes de começar a configurar uma PVLAN, certifique-se de ter criado e configurado as VLANs necessárias. Veja Configuração de VLANs nos switches .

Visão geral e topologia

Em um escritório grande com vários edifícios e VLANs, talvez seja necessário isolar alguns grupos de trabalho ou outros endpoints por motivos de segurança ou particionar o domínio de broadcast. Este exemplo de configuração mostra uma topologia simples para ilustrar como criar uma PVLAN com uma VLAN primária e duas VLANs da comunidade, uma para o RH e uma para finanças, além de duas portas isoladas, uma para o servidor de e-mail e a outra para o servidor de backup.

Tabela 8 lista as configurações da topologia da amostra.

Tabela 8: Componentes da topologia para configuração de uma PVLAN
Interface Descrição

ge-0/0/0.0

Interface de tronco VLAN pvlan100 primária ()

ge-0/0/11.0

Usuário 1, Comunidade de RH ( hr-comm )

ge-0/0/12.0

Usuário 2, Comunidade de RH ( hr-comm )

ge-0/0/13.0

Usuário 3, Comunidade financeira ( finance-comm )

ge-0/0/14.0

Usuário 4, Comunidade financeira ( finance-comm )

ge-0/0/15.0

Servidor de e-mail, isolado ( isolated )

ge-0/0/16.0

Servidor de backup isolado ( isolated )

ge-1/0/0.0

Interface de tronco VLAN pvlan100 primária ()

Configuração

Configuração rápida CLI

Para criar e configurar uma PVLAN rapidamente, copie os seguintes comandos e os confique na janela do terminal do switch:

Procedimento

Procedimento passo a passo

Para configurar o PVLAN:

  1. Dede a ID de VLAN para a VLAN primária:

  2. Definir as interfaces e os modos de porta:

  3. Definir a VLAN primária para não ter com switching local:

    Nota:

    A VLAN primária deve ser uma VLAN etiquetada.

  4. Adicione as interfaces de tronco à VLAN primária:

  5. Para cada VLAN secundário, configure interfaces de acesso:

    Nota:

    Recomendamos que as VLANs secundários sejam VLANs não ataçadas. Ele não prejudicará o funcionamento se você identificar o VLANS secundário. Entretanto, as tags não são usadas quando um VLAN secundário está configurado em um único switch.

  6. Para cada VLAN da comunidade, de definir a VLAN primária:

  7. Configure as interfaces isoladas na VLAN primária:

Resultados

Veja os resultados da configuração:

Verificação

Para confirmar se a configuração está funcionando corretamente, realize essas tarefas:

Verificar se as VLAN privadas e as VLANs secundárias foram criadas

Propósito

Verificar se as VLAN primárias e as VLANs secundários foram criadas corretamente no switch.

Ação

Use o show vlans comando:

Significado

A saída mostra que a VLAN primária foi criada e identifica as interfaces e as VLANs secundários associadas a ela.

Exemplo: Configurando uma VLAN privada em um único switch da série EX

Por motivos de segurança, costuma ser útil restringir o fluxo de broadcast e o tráfego unicast desconhecido e até mesmo limitar a comunicação entre hosts conhecidos. O recurso VLAN privado (PVLAN) nos switches da Série EX permite que um administrador divida um domínio de broadcast em várias subdomas de broadcast isoladas, essencialmente colocando uma VLAN dentro de uma VLAN.

Este exemplo descreve como criar uma PVLAN em um único switch da Série EX:

Nota:

Não é suportado configurar uma VLAN de voz sobre IP (VoIP) em interfaces PVLAN.

Requisitos

Este exemplo usa os seguintes componentes de hardware e software:

  • Switch One EX Series

  • Junos OS Release 9.3 ou mais tarde para switches da Série EX

Antes de começar a configurar uma PVLAN, certifique-se de ter criado e configurado as VLANs necessárias. Consulte a configuração de VLANs para switches da série EX.

Visão geral e topologia

Em um escritório grande com vários edifícios e VLANs, talvez seja necessário isolar alguns grupos de trabalho ou outros endpoints por motivos de segurança ou particionar o domínio de broadcast. Este exemplo de configuração mostra uma topologia simples para ilustrar como criar uma PVLAN com uma VLAN primária e duas VLANs da comunidade, uma para o RH e uma para finanças, além de duas portas isoladas, uma para o servidor de e-mail e a outra para o servidor de backup.

Tabela 9 lista as configurações da topologia por exemplo.

Tabela 9: Componentes da topologia para configuração de uma PVLAN
Interface Descrição

ge-0/0/0.0

Interface de tronco VLAN vlan1 primária ()

ge-0/0/11.0

Usuário 1, Comunidade de RH ( hr-comm )

ge-0/0/12.0

Usuário 2, Comunidade de RH ( hr-comm )

ge-0/0/13.0

Usuário 3, Comunidade financeira ( finance-comm )

ge-0/0/14.0

Usuário 4, Comunidade financeira ( finance-comm )

ge-0/0/15.0

Servidor de e-mail, isolado ( isolated )

ge-0/0/16.0

Servidor de backup isolado ( isolated )

ge-1/0/0.0

Interface de tronco VLAN pvlan primária ()

Figura 16 mostra a topologia deste exemplo.

Figura 16: Topologia de uma VLAN privada em um único switch da série EXTopologia de uma VLAN privada em um único switch da série EX

Configuração

Para configurar uma PVLAN, realize essas tarefas:

Configuração rápida CLI

Para criar e configurar uma PVLAN rapidamente, copie os seguintes comandos e os confique na janela do terminal do switch:

Procedimento

Procedimento passo a passo

Para configurar o PVLAN:

  1. Dede a ID de VLAN para a VLAN primária:

  2. Definir as interfaces e os modos de porta:

  3. Definir a VLAN primária para não ter com switching local:

    Nota:

    A VLAN primária deve ser uma VLAN etiquetada.

  4. Adicione as interfaces de tronco à VLAN primária:

  5. Para cada VLAN secundário, configure as IDs de VLAN e as interfaces de acesso:

    Nota:

    Recomendamos que as VLANs secundários sejam VLANs não ataçadas. Ele não prejudicará o funcionamento se você identificar o VLANS secundário. Entretanto, as tags não são usadas quando um VLAN secundário está configurado em um único switch.

  6. Para cada VLAN da comunidade, de definir a VLAN primária:

  7. Adicione cada interface isolada à VLAN primária:

Resultados

Veja os resultados da configuração:

Verificação

Para confirmar se a configuração está funcionando corretamente, realize essas tarefas:

Verificar se as VLAN privadas e as VLANs secundárias foram criadas

Propósito

Verificar se as VLAN primárias e as VLANs secundários foram criadas corretamente no switch.

Ação

Use o show vlans comando:

Significado

A saída mostra que a VLAN primária foi criada e identifica as interfaces e as VLANs secundários associadas a ela.

Exemplo: Configuração de uma VLAN privada que abrange vários switches QFX

Por motivos de segurança, costuma ser útil restringir o fluxo de broadcast e o tráfego unicast desconhecido e até mesmo limitar a comunicação entre hosts conhecidos. O recurso VLAN privado (PVLAN) permite que um administrador divida um domínio de broadcast em várias subdomas de broadcast isoladas, essencialmente colocando uma VLAN dentro de uma VLAN. Uma PVLAN pode abranger vários switches.

Este exemplo descreve como criar uma PVLAN com vários switches. O exemplo cria uma PVLAN primária contendo várias VLANs secundários:

Requisitos

Este exemplo usa os seguintes componentes de hardware e software:

  • Três QFX3500 de rede

  • Junos OS Release 12.1 ou mais tarde para a Série QFX

Antes de começar a configurar uma PVLAN, certifique-se de ter criado e configurado as VLANs necessárias. Veja Configuração de VLANs nos switches .

Visão geral e topologia

Em um escritório grande com vários edifícios e VLANs, talvez seja necessário isolar alguns grupos de trabalho ou outros endpoints por motivos de segurança ou particionar o domínio de broadcast. Este exemplo de configuração mostra como criar uma PVLAN que abrange vários dispositivos QFX, com uma VLAN primária contendo duas VLANs da comunidade (uma para o RH e outra para finanças) e uma VLAN isolada entre eles (para o servidor de e-mail, o servidor de backup e o servidor CVS). O PVLAN é composto por três switches, dois switches de acesso e um switch de distribuição. O PVLAN está conectado a um roteador por meio de uma porta promíscua, configurada no switch de distribuição.

Nota:

As portas isoladas do Switch 1 e do Switch 2 não têm conectividade de Camada 2 entre si, embora elas sejam incluídas no mesmo domínio. Veja Compreender VLANs privadas .

Figura 17 mostra a topologia deste exemplo: dois switches de acesso que se conectam a um switch de distribuição, que tem uma conexão (por meio de uma porta promíscua) ao roteador.

Figura 17: Topologia de PVLAN que abrange vários switchesTopologia de PVLAN que abrange vários switches

Tabela 10e Tabela 11Tabela 12 listar as configurações da topologia por exemplo.

Tabela 10: Componentes do Switch 1 na topologia para configurar uma PVLAN que abrange vários dispositivos
Propriedade Configurações

Nomes de VLAN e IDs de tags

primary-vlanTag 100

isolation-vlan-idTag 50finance-commTag 300hr-commTag 400

interfaces de tronco PVLAN

ge-0/0/0.0, conecta o Switch 1 ao Switch 3

ge-0/0/5.0, conecta o Switch 1 ao Switch 2

Interfaces isoladas em VLAN primária

ge-0/0/15.0, servidor de e-mail

ge-0/0/16.0, servidor de backup

Interfaces em VLAN finance-com

ge-0/0/11.0

ge-0/0/12.0

Interfaces em VLAN hr-comm

ge-0/0/13.0

ge-0/0/14.0

Tabela 11: Componentes do Switch 2 na topologia para configurar uma PVLAN que abrange vários dispositivos
Propriedade Configurações

Nomes de VLAN e IDs de tags

primary-vlanTag 100

isolation-vlan-idTag 50finance-commTag 300hr-commTag 400

interfaces de tronco PVLAN

ge-0/0/0.0, conecta o Switch 2 ao Switch 3

ge-0/0/5.0, conecta o Switch 2 ao Switch 1

Interface isolada em VLAN primária

ge-0/0/17.0, servidor CVS

Interfaces em VLAN finance-com

ge-0/0/11.0

ge-0/0/12.0

Interfaces em VLAN hr-comm

ge-0/0/13.0

ge-0/0/14.0

Tabela 12: Componentes do Switch 3 na topologia para configurar uma PVLAN que abrange vários dispositivos
Propriedade Configurações

Nomes de VLAN e IDs de tags

primary-vlanTag 100

isolation-vlan-idTag 50finance-commTag 300hr-commTag 400

interfaces de tronco PVLAN

ge-0/0/0.0, conecta o Switch 3 ao Switch 1

ge-0/0/1.0, conecta o Switch 3 ao Switch 2

Porto promíscuo

ge-0/0/2, conecta o PVLAN ao roteador

Nota:

Você deve configurar a porta de tronco que conecta a PVLAN a outro switch ou roteador fora da PVLAN como um membro da PVLAN, o que o configura implicitamente como uma porta promíscua.

Topologia

Configuração de uma PVLAN no Switch 1

Ao configurar uma PVLAN em vários switches, essas regras se aplicam:

  • A VLAN primária deve ser uma VLAN etiquetada. Recomendamos que você configure a VLAN primária primeiro.

  • Para configurar uma ID VLAN da comunidade, primeiro você deve configurar a porta de tronco VLAN primária e a porta de tronco PVLAN. Você também deve configurar a VLAN primária para ser privada usando a instrução pvlan.

  • Para configurar uma ID VLAN isolada, primeiro você deve configurar a porta de tronco VLAN primária e a porta de tronco PVLAN.

Configuração rápida CLI

Para criar e configurar rapidamente uma PVLAN com vários switches, copie os seguintes comandos e os confique na janela do terminal do Switch 1:

Procedimento

Procedimento passo a passo
  1. Dede a ID de VLAN para a VLAN primária:

  2. Depare as interfaces de tronco PVLAN para conectar essa VLAN entre os switches vizinhos:

  3. Definir a VLAN primária como privada e sem comutar local:

  4. Dede a ID de VLAN para a VLAN da finance-comm comunidade que abrange os switches:

  5. Configure interfaces de acesso para finance-comm a VLAN:

  6. Definir a VLAN primária desta VLAN da comunidade secundária, VLAN, finance-comm :

  7. Dede a ID VLAN para a VLAN da comunidade de RH que abrange os switches.

  8. Configure interfaces de acesso para hr-comm a VLAN:

  9. Definir a VLAN primária desta VLAN da comunidade secundária, VLAN, hr-comm :

  10. Detete a ID isolada do interswitch para criar um domínio isolado entre eles que abrange os switches:

  11. Configure as interfaces isoladas na VLAN primária:

    Nota:

    Ao configurar uma porta isolada, inclua-a como um membro da VLAN primária, mas não configure-a como um membro de qualquer VLAN da comunidade.

Resultados

Veja os resultados da configuração:

Configuração de uma PVLAN no Switch 2

Configuração rápida CLI

Para criar e configurar rapidamente uma VLAN privada com vários switches, copie os seguintes comandos e os confique na janela do terminal do Switch 2:

Nota:

A configuração do Switch 2 é a mesma que a configuração do Switch 1, exceto pela interface no domínio isolado do interswitch. Para o Switch 2, a interface é ge-0/0/17.0 .

Procedimento

Procedimento passo a passo

Para configurar uma PVLAN no Switch 2 que abrange vários switches:

  1. Dede a ID de VLAN para a VLAN da finance-comm comunidade que abrange os switches:

  2. Configure interfaces de acesso para finance-comm a VLAN:

  3. Definir a VLAN primária desta VLAN da comunidade secundária, VLAN, finance-comm :

  4. Dede a ID VLAN para a VLAN da comunidade de RH que abrange os switches.

  5. Configure interfaces de acesso para hr-comm a VLAN:

  6. Definir a VLAN primária desta VLAN da comunidade secundária, VLAN, hr-comm :

  7. Dede a ID de VLAN para a VLAN primária:

  8. Depare as interfaces de tronco PVLAN que conectarão essa VLAN entre os switches vizinhos:

  9. Definir a VLAN primária como privada e sem comutar local:

  10. Detete a ID isolada do interswitch para criar um domínio isolado entre eles que abrange os switches:

    Nota:

    Para configurar uma porta isolada, inclua-a como um dos membros da VLAN primária, mas não configure-a como pertencente a uma das VLANs da comunidade.

  11. Configure a interface isolada na VLAN primária:

Resultados

Veja os resultados da configuração:

Configuração de uma PVLAN no switch 3

Configuração rápida CLI

Para configurar rapidamente o Switch 3 para funcionar como o switch de distribuição deste PVLAN, copie os seguintes comandos e os confique na janela do terminal do Switch 3:

Nota:

Interface ge-0/0/2.0 é uma porta de tronco que conecta o PVLAN a um roteador.

Procedimento

Procedimento passo a passo

Para configurar o Switch 3 para funcionar como o switch de distribuição deste PVLAN, use o seguinte procedimento:

  1. Dede a ID de VLAN para a VLAN da finance-comm comunidade que abrange os switches:

  2. Definir a VLAN primária desta VLAN da comunidade secundária, VLAN, finance-comm :

  3. Dede a ID de VLAN para a VLAN da comunidade de RH que abrange os switches:

  4. Definir a VLAN primária desta VLAN da comunidade secundária, VLAN, hr-comm :

  5. Dede a ID de VLAN para a VLAN primária:

  6. Depare as interfaces de tronco PVLAN que conectarão essa VLAN entre os switches vizinhos:

  7. Definir a VLAN primária como privada e sem comutar local:

  8. Detete a ID isolada do interswitch para criar um domínio isolado entre eles que abrange os switches:

    Nota:

    Para configurar uma porta isolada, inclua-a como um dos membros da VLAN primária, mas não configure-a como pertencente a uma das VLANs da comunidade.

Resultados

Veja os resultados da configuração:

Verificação

Para confirmar se a configuração está funcionando corretamente, realize essas tarefas:

Verificar se as VLAN primárias e as VLANs secundários foram criadas no switch 1

Propósito

Verificar se a configuração de PVLAN com vários switches está funcionando corretamente no Switch 1:

Ação

Use o show vlans extensive comando:

Significado

A saída mostra que uma PVLAN foi criada no Switch 1 e mostra que ela inclui dois VLANs isolados, dois VLANs da comunidade e um VLAN isolado entre eles. A presença dos campos pvlan-trunk e inter-switch-isolados indica que esta PVLAN abrange mais de um switch.

Verificar se as VLAN primárias e as VLANs secundários foram criadas no switch 2

Propósito

Verificar se a configuração de PVLAN com vários switches está funcionando corretamente no Switch 2:

Ação

Use o show vlans extensive comando:

Significado

A saída mostra que uma PVLAN foi criada no Switch 2 e mostra que ela inclui um VLAN isolado, dois VLANs da comunidade e um VLAN isolado entre eles. A presença dos campos pvlan-trunk e inter-switch-isolados indica que esta PVLAN abrange mais de um switch. Quando comparamos essa saída com a saída do Switch 1, vemos que ambos os switches são do mesmo PVLAN ( pvlan100 ).

Verificar se as VLAN primárias e as VLANs secundários foram criadas no switch 3

Propósito

Verificar se a configuração de PVLAN com vários switches está funcionando corretamente no Switch 3:

Ação

Use o show vlans extensive comando:

Significado

A saída mostra que o PVLAN ( ) está configurado no Switch 3 e que ele não inclui pvlan100 VLANs isoladas, dois VLANs da comunidade e um VLAN isolado entre eles. Mas o Switch 3 está funcionando como um switch de distribuição, de forma que a saída não inclui interfaces de acesso dentro do PVLAN. Ele mostra apenas as interfaces que se conectam do Switch 3 aos outros pvlan-trunkpvlan100 switches (Switch 1 e Switch 2) no mesmo PVLAN.

Exemplo: Configuração de uma VLAN privada que abrange vários switches com uma interface IRB

Por motivos de segurança, costuma ser útil restringir o fluxo de broadcast e o tráfego unicast desconhecido e até mesmo limitar a comunicação entre hosts conhecidos. O recurso VLAN privado (PVLAN) permite que um administrador divida um domínio de broadcast em várias subdomas de broadcast isoladas, essencialmente colocando uma VLAN dentro de uma VLAN. Uma PVLAN pode abranger vários switches. Este exemplo descreve como criar uma PVLAN com vários switches. O exemplo cria uma PVLAN primária, contendo várias VLANs secundários.

Assim como as VLANs regulares, as PVLANs são isoladas na Camada 2 e normalmente exigem que um dispositivo de Camada 3 seja usado para rotear o tráfego. A partir do Junos OS 14.1X53-D30, você pode usar uma interface integrada de roteamento e ponte (IRB) para rotear o tráfego da Camada 3 entre dispositivos conectados a uma PVLAN. Usar uma interface IRB dessa forma também pode permitir que os dispositivos da PVLAN se comuniquem na Camada 3 com dispositivos em outra comunidade ou VLANs isolados ou com dispositivos fora do PVLAN. Este exemplo também demonstra como incluir uma interface IRB em uma configuração de PVLAN.

Requisitos

Este exemplo usa os seguintes componentes de hardware e software:

  • Três switches de série QFX ou EX4600 de segurança

  • Versão do Junos OS com PVLAN para Série QFX ou EX4600

Visão geral e topologia

Em um escritório grande com vários edifícios e VLANs, talvez seja necessário isolar alguns grupos de trabalho ou outros endpoints por motivos de segurança ou particionar o domínio de broadcast. Este exemplo de configuração mostra como criar uma PVLAN com vários switches, com uma VLAN primária contendo duas VLANs da comunidade (uma para o RH e outra para finanças) e uma VLAN isolada entre eles (para o servidor de e-mail, o servidor de backup e o servidor CVS). A PVLAN inclui três switches, dois switches de acesso e um switch de distribuição. Os dispositivos na PVLAN são conectados na Camada 3 entre si e a dispositivos fora da PVLAN por meio de uma interface IRB configurada no switch de distribuição.

Nota:

As portas isoladas do Switch 1 e do Switch 2 não têm conectividade de Camada 2 entre si, embora elas sejam incluídas no mesmo domínio. Veja Compreender VLANs privadas .

Figura 18 mostra a topologia deste exemplo.

Figura 18: Topologia de PVLAN que abrange vários switches com uma interface IRBTopologia de PVLAN que abrange vários switches com uma interface IRB

Tabela 13e Tabela 14Tabela 15 listar as configurações da topologia por exemplo.

Tabela 13: Componentes do Switch 1 na topologia para configurar uma PVLAN que abrange vários dispositivos
Propriedade Configurações

Nomes de VLAN e IDs de tags

primary-vlanTag 100

isolated-vlan-idTag 50finance-commTag 300hr-commTag 400

interfaces de enlace entre eles

xe-0/0/0.0, conecta o Switch 1 ao Switch 3

xe-0/0/5.0, conecta o Switch 1 ao Switch 2

Interfaces isoladas em VLAN primária

xe-0/0/15.0, servidor de e-mail

xe-0/0/16.0, servidor de backup

Interfaces em VLAN finance-com

xe-0/0/11.0

xe-0/0/12.0

Interfaces em VLAN hr-comm

xe-0/0/13.0

xe-0/0/14.0

Tabela 14: Componentes do Switch 2 na topologia para configurar uma PVLAN que abrange vários dispositivos
Propriedade Configurações

Nomes de VLAN e IDs de tags

primary-vlanTag 100

isolated-vlan-idTag 50finance-commTag 300hr-commTag 400

interfaces de enlace entre eles

xe-0/0/0.0, conecta o Switch 2 ao Switch 3

xe-0/0/5.0, conecta o Switch 2 ao Switch 1

Interface isolada em VLAN primária

xe-0/0/17.0, servidor CVS

Interfaces em VLAN finance-com

xe-0/0/11.0

xe-0/0/12.0

Interfaces em VLAN hr-comm

xe-0/0/13.0

xe-0/0/14.0

Tabela 15: Componentes do Switch 3 na topologia para configurar uma PVLAN que abrange vários dispositivos
Propriedade Configurações

Nomes de VLAN e IDs de tags

primary-vlanTag 100

isolated-vlan-id, 50finance-comm tag, tag 300hr-commTag 400

interfaces de enlace entre eles

xe-0/0/0.0, conecta o Switch 3 ao Switch 1.

xe-0/0/1.0, conecta o Switch 3 ao Switch 2.

Porto promíscuo

xe-0/0/2, conecta o PVLAN a outra rede.

Nota:

Você deve configurar a porta de tronco que conecta a PVLAN a outro switch ou roteador fora da PVLAN como um membro da PVLAN, o que o configura implicitamente como uma porta promíscua.

interface IRB

xe-0/0/0

xe-0/0/1

Configure a ARP de proxy sem restrições na interface IRB para permitir que a resolução ARP ocorra para que dispositivos que usam IPv4 possam se comunicar na Camada 3. Para o tráfego IPv6, você deve mapear explicitamente um endereço IRB até o endereço de destino para permitir a resolução do ARP.

Topologia

Visão geral da configuração

Ao configurar uma PVLAN em vários switches, as seguintes regras se aplicam:

  • A VLAN primária deve ser uma VLAN etiquetada.

  • A VLAN primária é a única VLAN que pode ser um membro de uma interface de enlace entre eles.

Ao configurar uma interface IRB em uma PVLAN, essas regras se aplicam:

  • Você pode criar apenas uma interface IRB em uma PVLAN, independentemente de quantos switches participem da PVLAN.

  • A interface do IRB deve ser um membro da VLAN primária na PVLAN.

  • Cada dispositivo host que você deseja conectar na Camada 3 deve usar um endereço IP do IRB como seu endereço de gateway padrão.

Configuração de uma PVLAN no Switch 1

Configuração rápida CLI

Para criar e configurar rapidamente uma PVLAN com vários switches, copie os seguintes comandos e os confique na janela do terminal do Switch 1:

Procedimento

Procedimento passo a passo
  1. Configure a interface xe-0/0/0 como um tronco:

  2. Configure a interface xe-0/0/0 para ser um enlace entre eles que transporta todas as VLANs:

  3. Configure pvlan100 (a VLAN primária) para ser um membro da interface xe-0/0/0:

  4. Configure a interface xe-0/0/5 como um tronco:

  5. Configure a interface xe-0/0/5 para ser um enlace entre eles que transporta todas as VLANs:

  6. Configure pvlan100 para ser um membro da interface xe-0/0/5:

  7. Crie uma VLAN da comunidade para a organização financeira:

  8. Crie uma VLAN da comunidade para a organização de RH:

  9. Crie a VLAN isolada para servidores de e-mail e backup:

  10. Crie a VLAN primária e faça da comunidade e VLANs membros isolados dela:

  11. Configure o VLAN 300 (a VLAN da comunidade) para fazer parte da interface xe-0/0/11:

  12. Configure o VLAN 300 (uma VLAN da comunidade) para ser um membro da interface xe-0/0/12:

  13. Configure o VLAN 400 (uma VLAN da comunidade) para ser um membro da interface xe-0/0/13:

  14. Configure o VLAN 400 (uma VLAN da comunidade) para ser um membro da interface xe-0/0/14:

  15. Configure a VLAN 50 (a VLAN isolada) como membro da interface xe-0/0/15:

  16. Configure a VLAN 50 (a VLAN isolada) como membro da interface xe-0/0/16:

Resultados

Veja os resultados da configuração:

Configuração de uma PVLAN no Switch 2

Configuração rápida CLI

Para criar e configurar rapidamente uma VLAN privada com vários switches, copie os seguintes comandos e os confique na janela do terminal do Switch 2:

Nota:

A configuração do Switch 2 é a mesma que a configuração do Switch 1, exceto a VLAN isolada. Para o Switch 2, a interface VLAN isolada é xe-0/0/17.0 .

Procedimento

Procedimento passo a passo
  1. Configure a interface xe-0/0/0 como um tronco:

  2. Configure a interface xe-0/0/0 para ser um enlace entre eles que transporta todas as VLANs:

  3. Configure pvlan100 (a VLAN primária) para ser um membro da interface xe-0/0/0:

  4. Configure a interface xe-0/0/5 como um tronco:

  5. Configure a interface xe-0/0/5 para ser um enlace entre eles que transporta todas as VLANs:

  6. Configure pvlan100 para ser um membro da interface xe-0/0/5:

  7. Crie uma VLAN da comunidade para a organização financeira:

  8. Crie uma VLAN da comunidade para a organização de RH:

  9. Crie a VLAN isolada para servidores de e-mail e backup:

  10. Crie a VLAN primária e faça da comunidade e VLANs membros isolados dela:

  11. Configure o VLAN 300 (a VLAN da comunidade) para fazer parte da interface xe-0/0/11:

  12. Configure o VLAN 300 (uma VLAN da comunidade) para ser um membro da interface xe-0/0/12:

  13. Configure o VLAN 400 (uma VLAN da comunidade) para ser um membro da interface xe-0/0/13:

  14. Configure o VLAN 400 (uma VLAN da comunidade) para ser um membro da interface xe-0/0/14:

  15. Configure a VLAN 50 (a VLAN isolada) como membro da interface xe-0/0/17:

Resultados

Veja os resultados da configuração:

Configuração de uma PVLAN no switch 3

Configuração rápida CLI

Para configurar rapidamente o Switch 3 para funcionar como o switch de distribuição deste PVLAN, copie os seguintes comandos e os confique na janela do terminal do Switch 3:

Nota:

A interface xe-0/0/2.0 é uma porta de tronco que conecta o PVLAN a outra rede.

Procedimento

Procedimento passo a passo

Para configurar o Switch 3 para funcionar como o switch de distribuição deste PVLAN, use o seguinte procedimento:

  1. Configure a interface xe-0/0/0 como um tronco:

  2. Configure a interface xe-0/0/0 para ser um enlace entre eles que transporta todas as VLANs:

  3. Configure pvlan100 (a VLAN primária) para ser um membro da interface xe-0/0/0:

  4. Configure a interface xe-0/0/5 como um tronco:

  5. Configure a interface xe-0/0/5 para ser um enlace entre eles que transporta todas as VLANs:

  6. Configure pvlan100 para ser um membro da interface xe-0/0/5:

  7. Configure a interface xe-0/0/2 (a interface promíscua) como um tronco:

  8. Configure pvlan100 para ser um membro da interface xe-0/0/2:

  9. Crie a VLAN primária:

  10. Crie a interface do IRB e atribua a ela um endereço na irb sub-rede usada pelos dispositivos conectados aos Switches 1 e 2:

    Nota:

    Cada dispositivo host que você deseja conectar na Camada 3 deve estar na mesma sub-rede da interface IRB e usar o endereço IP da interface IRB como seu endereço de gateway padrão.

  11. Complete a configuração da interface do IRB vinculando a interface à VLAN pvlan100 primária:

  12. Configure a ARP de proxy irrestrito para cada unidade da interface IRB para que a resolução do ARP funcione para o tráfego IPv4:

    Nota:

    Como os dispositivos na comunidade e as VLANs isoladas estão isolados na Camada 2, essa etapa é necessária para permitir que a resolução ARP ocorra entre as VLANs para que dispositivos usando IPv4 possam se comunicar na Camada 3. (Para o tráfego IPv6, você deve mapear explicitamente um endereço IRB até o endereço de destino para permitir a resolução do ARP.)

Resultados

Veja os resultados da configuração:

Verificação

Para confirmar se a configuração está funcionando corretamente, realize essas tarefas:

Verificar se as VLAN primárias e as VLANs secundários foram criadas no switch 1

Propósito

Verificar se a configuração de PVLAN com vários switches está funcionando corretamente no Switch 1:

Ação

Use o show vlans extensive comando:

Significado

A saída mostra que uma PVLAN foi criada no Switch 1 e mostra que ela inclui dois VLANs isolados, dois VLANs da comunidade e um VLAN isolado entre eles. A presença do tronco e dos campos isolados por inter-switch indica que esse PVLAN abrange mais de um switch.

Verificar se as VLAN primárias e as VLANs secundários foram criadas no switch 2

Propósito

Verificar se a configuração de PVLAN com vários switches está funcionando corretamente no Switch 2:

Ação

Use o show vlans extensive comando:

Significado

A saída mostra que uma PVLAN foi criada no Switch 2 e mostra que ela inclui um VLAN isolado, dois VLANs da comunidade e um VLAN isolado entre eles. A presença do tronco e dos campos isolados por inter-switch indica que esse PVLAN abrange mais de um switch. Quando comparamos essa saída com a saída do Switch 1, vemos que ambos os switches são do mesmo PVLAN ( pvlan100 ).

Verificar se as VLAN primárias e as VLANs secundários foram criadas no switch 3

Propósito

Verificar se a configuração de PVLAN com vários switches está funcionando corretamente no Switch 3:

Ação

Use o show vlans extensive comando:

Significado

A saída mostra que o PVLAN ( ) está configurado no Switch 3 e que ele não inclui pvlan100 VLANs isoladas, dois VLANs da comunidade e um VLAN isolado entre eles. Mas o Switch 3 está funcionando como um switch de distribuição, de forma que a saída não inclui interfaces de acesso dentro do PVLAN. Ele mostra apenas as interfaces de tronco que se conectam do Switch 3 com os outros pvlan100 switches (Switch 1 e Switch 2) no mesmo PVLAN.

Exemplo: Configuração de uma VLAN privada que abrange vários switches da série EX

Por motivos de segurança, costuma ser útil restringir o fluxo de broadcast e o tráfego unicast desconhecido e até mesmo limitar a comunicação entre hosts conhecidos. O recurso VLAN privado (PVLAN) nos switches da Série EX permite que um administrador divida um domínio de broadcast em várias subdomas de broadcast isoladas, essencialmente colocando uma VLAN dentro de uma VLAN. Uma PVLAN pode abranger vários switches.

Este exemplo descreve como criar uma PVLAN com vários switches da Série EX. O exemplo cria uma PVLAN primária, contendo várias VLANs secundários:

Nota:

Não é suportado configurar uma VLAN de voz sobre IP (VoIP) em interfaces PVLAN.

Requisitos

Este exemplo usa os seguintes componentes de hardware e software:

  • Três switches da Série EX

  • Junos OS Release 10.4 ou mais tarde para switches da Série EX

Antes de começar a configurar uma PVLAN, certifique-se de ter criado e configurado as VLANs necessárias. Consulte a configuração de VLANs para switches da série EX.

Visão geral e topologia

Em um escritório grande com vários edifícios e VLANs, talvez seja necessário isolar alguns grupos de trabalho ou outros endpoints por motivos de segurança ou particionar o domínio de broadcast. Este exemplo de configuração mostra como criar uma PVLAN com vários switches da Série EX, com uma VLAN primária contendo duas VLANs da comunidade (uma para o RH e outra para finanças) e uma VLAN isolada da Interswitch (para o servidor de e-mail, o servidor de backup e o servidor CVS). O PVLAN é composto por três switches, dois switches de acesso e um switch de distribuição. O PVLAN está conectado a um roteador por meio de uma porta promíscua, configurada no switch de distribuição.

Nota:

As portas isoladas do Switch 1 e do Switch 2 não têm conectividade de Camada 2 entre si, embora elas sejam incluídas no mesmo domínio. Consulte a compreensão de VLANs privadas.

Figura 19 mostra a topologia deste exemplo: dois switches de acesso que se conectam a um switch de distribuição, que tem uma conexão (por meio de uma porta promíscua) ao roteador.

Figura 19: Topologia de PVLAN que abrange vários switchesTopologia de PVLAN que abrange vários switches

Tabela 16e Tabela 17Tabela 18 listar as configurações da topologia por exemplo.

Tabela 16: Componentes do Switch 1 na topologia para configurar uma PVLAN que abrange vários switches da série EX
Propriedade Configurações

Nomes de VLAN e IDs de tags

primary-vlanTag 100

isolation-idTag 50finance-commTag 300hr-commTag 400

interfaces de tronco PVLAN

ge-0/0/0.0, conecta o switch 1 ao switch 3

ge-0/0/5.0, conecta o switch 1 ao switch 2

Interfaces em VLAN isolation

ge-0/0/15.0, servidor de e-mail

ge-0/0/16.0, servidor de backup

Interfaces em VLAN finance-com

ge-0/0/11.0

ge-0/0/12.0

Interfaces em VLAN hr-comm

ge-0/0/13.0

ge-0/0/14.0

Tabela 17: Componentes do Switch 2 na topologia para configurar uma PVLAN que abrange vários switches da série EX
Propriedade Configurações

Nomes de VLAN e IDs de tags

primary-vlanTag 100

isolation-idTag 50finance-commTag 300hr-commTag 400

interfaces de tronco PVLAN

ge-0/0/0.0, conecta o switch 2 ao switch 3

ge-0/0/5.0, conecta o switch 2 ao switch 1

Interfaces em VLAN isolation

ge-0/0/17.0servidor CVS

Interfaces em VLAN finance-com

ge-0/0/11.0

ge-0/0/12.0

Interfaces em VLAN hr-comm

ge-0/0/13.0

ge-0/0/14.0

Tabela 18: Componentes do Switch 3 na topologia para configurar uma PVLAN que abrange vários switches da série EX
Propriedade Configurações

Nomes de VLAN e IDs de tags

primary-vlanTag 100

isolation-idTag 50finance-commTag 300hr-commTag 400

interfaces de tronco PVLAN

ge-0/0/0.0, conecta o switch 3 ao switch 1

ge-0/0/1.0, conecta o switch 3 ao switch 2

Porto promíscuo

ge-0/0/2, conecta o PVLAN ao roteador

Nota:

Você deve configurar a porta de tronco que conecta a PVLAN a outro switch ou roteador fora da PVLAN como um membro da PVLAN, o que o configura implicitamente como uma porta promíscua.

Topologia

Configuração de uma PVLAN no Switch 1

Configuração rápida CLI

Ao configurar uma PVLAN em vários switches, essas regras se aplicam:

  • A VLAN primária deve ser uma VLAN etiquetada. Recomendamos que você configure a VLAN primária primeiro.

  • Não é suportado configurar uma VLAN de voz sobre IP (VoIP) em interfaces PVLAN.

  • Para configurar uma ID VLAN da comunidade, primeiro você deve configurar a porta de tronco VLAN primária e a porta de tronco PVLAN.

  • Para configurar uma ID VLAN isolada, primeiro você deve configurar a porta de tronco VLAN primária e a porta de tronco PVLAN.

  • As VLANs secundários e a porta de tronco PVLAN devem ser comprometidas em um único commit se o MVRP estiver configurado na porta do tronco PVLAN.

Para criar e configurar rapidamente uma PVLAN com vários switches, copie os seguintes comandos e os confique na janela do terminal do Switch 1:

Procedimento

Procedimento passo a passo

Complete as etapas de configuração abaixo na ordem mostrada, também, complete todas as etapas antes de comprometer a configuração em um único commit. Essa é a maneira mais fácil de evitar mensagens de erro acionadas violando qualquer uma dessas três regras:

  • Para configurar uma ID VLAN da comunidade, primeiro você deve configurar a porta de tronco VLAN primária e a porta de tronco PVLAN.

  • Para configurar uma ID VLAN isolada, primeiro você deve configurar a porta de tronco VLAN primária e a porta de tronco PVLAN.

  • Vlans secundários e um tronco PVLAN devem ser comprometidos em um único commit.

Para configurar uma PVLAN no Switch 1 que abrange vários switches:

  1. Dede a ID de VLAN para a VLAN primária:

  2. Depare as interfaces de tronco PVLAN que conectarão essa VLAN entre os switches vizinhos:

  3. Definir a VLAN primária para não ter com switching local:

  4. Dede a ID de VLAN para a VLAN da finance-comm comunidade que abrange os switches:

  5. Configure interfaces de acesso para finance-comm a VLAN:

  6. Definir a VLAN primária desta VLAN da comunidade secundária, VLAN, finance-comm :

  7. Dede a ID VLAN para a VLAN da comunidade de RH que abrange os switches.

  8. Configure interfaces de acesso para hr-comm a VLAN:

  9. Definir a VLAN primária desta VLAN da comunidade secundária, VLAN, hr-comm :

  10. Definir a ID isolada entre switches para criar um domínio isolado entre switches que abrange os switches:

    Nota:

    Para configurar uma porta isolada, inclua-a como um dos membros da VLAN primária, mas não configure-a como pertencente a uma das VLANs da comunidade.

Resultados

Veja os resultados da configuração:

Configuração de uma PVLAN no Switch 2

Configuração rápida CLI

Para criar e configurar rapidamente uma VLAN privada com vários switches, copie os seguintes comandos e os confique na janela do terminal do Switch 2:

Nota:

A configuração do Switch 2 é a mesma da configuração do Switch 1, exceto pela interface no domínio isolado entre comudores. Para o Switch 2, a interface é ge-0/0/17.0 .

Procedimento

Procedimento passo a passo

Para configurar uma PVLAN no Switch 2 que abrange vários switches:

  1. Dede a ID de VLAN para a VLAN da finance-comm comunidade que abrange os switches:

  2. Configure interfaces de acesso para finance-comm a VLAN:

  3. Definir a VLAN primária desta VLAN da comunidade secundária, VLAN, finance-comm :

  4. Dede a ID VLAN para a VLAN da comunidade de RH que abrange os switches.

  5. Configure interfaces de acesso para hr-comm a VLAN:

  6. Definir a VLAN primária desta VLAN da comunidade secundária, VLAN, hr-comm :

  7. Dede a ID de VLAN para a VLAN primária:

  8. Depare as interfaces de tronco PVLAN que conectarão essa VLAN entre os switches vizinhos:

  9. Definir a VLAN primária para não ter com switching local:

  10. Definir a ID isolada entre switches para criar um domínio isolado entre switches que abrange os switches:

    Nota:

    Para configurar uma porta isolada, inclua-a como um dos membros da VLAN primária, mas não configure-a como pertencente a uma das VLANs da comunidade.

Resultados

Veja os resultados da configuração:

Configuração de uma PVLAN no switch 3

Configuração rápida CLI

Para configurar rapidamente o Switch 3 para funcionar como o switch de distribuição deste PVLAN, copie os seguintes comandos e os confique na janela do terminal do Switch 3:

Nota:

Interface ge-0/0/2.0 é uma porta de tronco que conecta o PVLAN a um roteador.

Procedimento

Procedimento passo a passo

Para configurar o Switch 3 para funcionar como o switch de distribuição deste PVLAN, use o seguinte procedimento:

  1. Dede a ID de VLAN para a VLAN da finance-comm comunidade que abrange os switches:

  2. Definir a VLAN primária desta VLAN da comunidade secundária, VLAN, finance-comm :

  3. Dede a ID de VLAN para a VLAN da comunidade de RH que abrange os switches:

  4. Definir a VLAN primária desta VLAN da comunidade secundária, VLAN, hr-comm :

  5. Dede a ID de VLAN para a VLAN primária:

  6. Depare as interfaces de tronco PVLAN que conectarão essa VLAN entre os switches vizinhos:

  7. Definir a VLAN primária para não ter com switching local:

  8. Definir a ID isolada entre switches para criar um domínio isolado entre switches que abrange os switches:

    Nota:

    Para configurar uma porta isolada, inclua-a como um dos membros da VLAN primária, mas não configure-a como pertencente a uma das VLANs da comunidade.

Resultados

Veja os resultados da configuração:

Verificação

Para confirmar se a configuração está funcionando corretamente, realize essas tarefas:

Verificar se as VLAN primárias e as VLANs secundários foram criadas no switch 1

Propósito

Verificar se a configuração de PVLAN com vários switches está funcionando corretamente no Switch 1:

Ação

Use o show vlans extensive comando:

Significado

A saída mostra que uma PVLAN foi criada no Switch 1 e mostra que ela inclui dois VLANs isolados, dois VLANs da comunidade e um VLAN isolado entre eles. A presença dos campos pvlan-trunkInter-switch-isolated e deste PVLAN abrange mais de um switch.

Verificar se as VLAN primárias e as VLANs secundários foram criadas no switch 2

Propósito

Verificar se a configuração de PVLAN com vários switches está funcionando corretamente no Switch 2:

Ação

Use o show vlans extensive comando:

Significado

A saída mostra que uma PVLAN foi criada no Switch 1 e mostra que ela inclui dois VLANs isolados, dois VLANs da comunidade e um VLAN isolado entre eles. A presença dos campos pvlan-trunk e do PVLAN indica que ele abrange mais Inter-switch-isolated de um switch. Quando comparamos essa saída com a saída do Switch 1, vemos que ambos os switches são do mesmo PVLAN ( pvlan100 ).

Verificar se as VLAN primárias e as VLANs secundários foram criadas no switch 3

Propósito

Verificar se a configuração de PVLAN com vários switches está funcionando corretamente no Switch 3:

Ação

Use o show vlans extensive comando:

Significado

A saída mostra que o PVLAN ( ) está configurado no Switch 3 e que ele inclui dois pvlan100 VLANs isolados, dois VLANs da comunidade e um VLAN isolado entre eles. Mas o Switch 3 está funcionando como um switch de distribuição, de forma que a saída não inclui interfaces de acesso dentro do PVLAN. Ele mostra apenas as interfaces que se conectam do Switch 3 aos outros pvlan-trunkpvlan100 switches (Switch 1 e Switch 2) no mesmo PVLAN.

Exemplo: Configuração de PVLANs com portas de tronco VLAN secundários e portas de acesso promíscuas em um switch da série QFX

Este exemplo mostra como configurar portas de tronco VLAN secundários e portas de acesso promíscuas como parte de uma configuração de VLAN privada. As portas de tronco VLAN secundários transportam tráfego VLAN secundário.

Nota:

Este exemplo usa o Junos OS para switches que não suportam o estilo de configuração de Software de Camada 2 Aprimorada (ELS). Para saber mais sobre ELS, consulte Como usar a CLI de software aprimorada de Camada 2.

Para uma determinada VLAN privada, uma porta de tronco VLAN secundário pode transportar tráfego para apenas um VLAN secundário. Entretanto, uma porta-tronco VLAN secundária pode transportar tráfego para várias VLANs secundários, desde que cada VLAN secundário seja membro de uma VLAN privada (primária) diferente. Por exemplo, uma porta-tronco VLAN secundária pode transportar tráfego para uma VLAN comunidade que faz parte do VLAN pvlan100 principal e também transportar tráfego para uma VLAN isolada que faz parte do VLAN principal pvlan400.

Para configurar uma porta de tronco para transportar isolated tráfego VLAN secundário, use as declarações e os isolados, como mostrado nas etapas e na configuração de exemplo do interface Switch 1213 1.

Nota:

Quando o tráfego vai de uma porta de tronco VLAN secundário, normalmente ele transporta a etiqueta da VLAN primária da onde a porta secundária faz parte. Se você quiser que o tráfego surgido de uma porta de tronco VLAN secundário mantenha sua etiqueta VLAN secundário, use a instrução extend-secondary-vlan-id.

Uma porta de acesso promíscua transporta tráfego não autorizado e pode ser membro de apenas uma VLAN primária. O tráfego que ingresse em uma porta de acesso promíscua é encaminhado para as portas das VLANs secundários que são membros da VLAN primária da que a porta de acesso promíscua faz parte. Esse tráfego transporta as tags VLAN secundários apropriados quando ele se saída das portas VLAN secundários, se a porta VLAN secundário for uma porta de tronco.

Para configurar uma porta de acesso para ser promíscua, use a declaração promíscua, como mostrado na etapa da configuração 12 do exemplo para o Switch 2.

Se o tráfego entrar em uma porta VLAN secundário e entrar em uma porta de acesso promíscua, o tráfego não será conectado à saída. Se o tráfego etiquetado entrar em uma porta de acesso promíscua, o tráfego será descartado.

Requisitos

Este exemplo usa os seguintes componentes de hardware e software:

  • Dois dispositivos QFX

  • Junos OS Release 12.2 ou mais tarde para a Série QFX

Visão geral e topologia

Figura 20 mostra a topologia usada neste exemplo. O Switch 1 inclui várias VLANs privadas primárias e secundárias e também duas portas de tronco VLAN secundários configuradas para transportar VLANs secundários que são membros de VLANs primárias pvlan100 e pvlan400.

O Switch 2 inclui as mesmas VLANs privadas. A figura mostra xe-0/0/0 no Switch 2 configurado com portas de acesso promíscuas ou portas de tronco promíscuas. A configuração de exemplo incluída aqui configura essa porta como uma porta de acesso promíscua.

A figura também mostra como o tráfego fluía após a entrada nas portas de tronco VLAN secundários no Switch 1.

Figura 20: Topologia de PVLAN com portas de tronco VLAN secundários e porta de acesso promíscuaTopologia de PVLAN com portas de tronco VLAN secundários e porta de acesso promíscua

Tabela 19 e Tabela 20 listar as configurações da topologia por exemplo em ambos os switches.

Tabela 19: Componentes da topologia para configurar um tronco VLAN secundário no switch 1
Componente Descrição

pvlan100, ID 100

VLAN primária

pvlan400, ID 400

VLAN primária

comm300, ID 300

VLAN da comunidade, membro do pvlan100

comm600, ID 600

VLAN da comunidade, membro do pvlan400

isolation-vlan-id 200

ID de VLAN para VLAN isolada, membro da pvlan100

isolation-vlan-id 500

ID de VLAN para VLAN isolada, membro do pvlan400

xe-0/0/0.0

Porta de tronco VLAN secundário para VLANs primárias pvlan100 e pvlan400

xe-0/0/1.0

Porta de tronco de PVLAN para VLANs primárias pvlan100 e pvlan400

xe-0/0/2.0

Porta de acesso isolado para pvlan100

xe-0/0/3.0

Porta de acesso da comunidade para comm300

xe-0/0/5.0

Porta de acesso isolado para pvlan400

xe-0/0/6.0

Porta do tronco da comunidade para comm600

Tabela 20: Componentes da topologia para configurar um tronco VLAN secundário no switch 2
Componente Descrição

pvlan100, ID 100

VLAN primária

pvlan400, ID 400

VLAN primária

comm300, ID 300

VLAN da comunidade, membro do pvlan100

comm600, ID 600

VLAN da comunidade, membro do pvlan400

isolation-vlan-id 200

ID de VLAN para VLAN isolada, membro da pvlan100

isolation-vlan-id 500

ID de VLAN para VLAN isolada, membro do pvlan400

xe-0/0/0.0

Porta de acesso promíscua para VLANs primárias pvlan100

xe-0/0/1.0

Porta de tronco de PVLAN para VLANs primárias pvlan100 e pvlan400

xe-0/0/2.0

Porta de tronco secundário para VLAN isolada, membro do pvlan100

xe-0/0/3.0

Porta de acesso da comunidade para comm300

xe-0/0/5.0

Porta de acesso isolado para pvlan400

xe-0/0/6.0

Porta de acesso da comunidade para comm600

Configuração das PVLANs no Switch 1

Configuração rápida CLI

Para criar e configurar rapidamente as PVLANs no Switch 1, copie os seguintes comandos e os confique em uma janela do terminal do switch:

Procedimento

Procedimento passo a passo

Para configurar as VLANs privadas e as portas de tronco VLAN secundários:

  1. Configure as interfaces e os modos de porta:

  2. Crie as VLANs primárias:

    Nota:

    As VLANs primárias sempre devem ser marcadas por VLANs, mesmo que elas existam em apenas um dispositivo.

  3. Configure as VLANs primárias para que sejam privadas:

  4. Configure a porta de tronco de PVLAN para transportar o tráfego VLAN privado entre os switches:

  5. Crie um comm300 VLAN secundário com VLAN com VLAN ID 300:

  6. Configure a VLAN primária para comm300:

  7. Configure a interface para comm300:

  8. Crie um comm600 VLAN secundário com VLAN com VLAN ID 600:

  9. Configure a VLAN primária para comm600:

  10. Configure a interface para comm600:

  11. Configure as VLANs isoladas do interswitch:

    Nota:

    Ao configurar uma porta-tronco VLAN secundário para transportar uma VLAN isolada, você também deve configurar um isola-vlan-id. Isso é verdade, mesmo que a VLAN isolada exista apenas em um switch.

  12. Habilitar a porta de tronco xe-0/0/0 para transportar VLANs secundários para as VLANs primárias:

  13. Configure a porta de tronco xe-0/0/0 para transportar o comm600 (membro do pvlan400):

    Nota:

    Você não precisa configurar explicitamente xe-0/0/0 para transportar o tráfego VLAN isolado (tags 200 e 500) porque todas as portas isoladas em pvlan100 e pvlan400, incluindo xe-0/0/0.0, estão incluídas automaticamente nos VLANs isolados criados quando você configura e isolation-vlan-id 200isolation-vlan-id 500 .

  14. Configure xe-0/0/2 e xe-0/0/6 a ser isolado:

Resultados

Veja os resultados da configuração no Switch 1:

Configuração das PVLANs no Switch 2

A configuração do Switch 2 é quase igual à configuração do Switch 1. A diferença mais significativa é que o xe-0/0/0 no Switch 2 está configurado como uma porta de tronco promíscua ou uma porta de acesso promíscua, como Figura 20 mostra. Na configuração a seguir, xe-0/0/0 está configurado como uma porta de acesso promíscua para VLAN pvlan100 principal.

Se o tráfego entrar em uma porta e saída habilitada por VLAN em uma porta de acesso promíscua, as tags VLAN serão lançadas na saída e o tráfego não está ativado nesse ponto. Por exemplo, tráfego para ingresso comm600 na porta de tronco VLAN secundário configurada em xe-0/0/0.0 no Switch 1 e transporta a etiqueta 600 conforme é encaminhada pelo VLAN secundário. Quando ele surgir do xe-0/0/0.0 no Switch 2, ele não será conectado se você configurar xe-0/0/0.0 como uma porta de acesso promíscua, como mostrado neste exemplo. Se você configurar xe-0/0/0.0 como uma porta de tronco promíscua (tronco modo de porta), o tráfego para comm600 transporta sua etiqueta VLAN primária (400) quando ele se for.

Configuração rápida CLI

Para criar e configurar rapidamente as PVLANs no Switch 2, copie os seguintes comandos e os confique em uma janela do terminal do switch:

Procedimento

Procedimento passo a passo

Para configurar as VLANs privadas e as portas de tronco VLAN secundários:

  1. Configure as interfaces e os modos de porta:

  2. Crie as VLANs primárias:

  3. Configure as VLANs primárias para que sejam privadas:

  4. Configure a porta de tronco de PVLAN para transportar o tráfego VLAN privado entre os switches:

  5. Crie um comm300 VLAN secundário com VLAN com VLAN ID 300:

  6. Configure a VLAN primária para comm300:

  7. Configure a interface para comm300:

  8. Crie um comm600 VLAN secundário com VLAN com VLAN ID 600:

  9. Configure a VLAN primária para comm600:

  10. Configure a interface para comm600:

  11. Configure as VLANs isoladas do interswitch:

  12. Configure a porta de acesso xe-0/0/0 para ser promíscua para pvlan100:

    Nota:

    Uma porta de acesso promíscua pode ser membro de apenas uma VLAN primária.

  13. Configure xe-0/0/2 e xe-0/0/6 a ser isolado:

Resultados

Veja os resultados da configuração no Switch 2:

Verificação

Para confirmar se a configuração está funcionando corretamente, realize essas tarefas:

Verificar se as VLAN privadas e as VLANs secundárias foram criadas

Propósito

Verificar se as VLAN primárias e as VLANs secundários foram criadas corretamente no Switch 1.

Ação

Use o show vlans comando:

Significado

A saída mostra que as VLANs privadas foram criadas e identificam as interfaces e as VLANs secundários associadas a elas.

Verificar as entradas da tabela de com switching Ethernet

Propósito

Verificar se as entradas da tabela de com switching Ethernet foram criadas para VLAN pvlan100 primária.

Ação

Mostrar as entradas da tabela de com switching Ethernet para pvlan100.

Verificar se uma VLAN privada está trabalhando em um switch

Propósito

Depois de criar e configurar VLANs privadas (PVLANs), verifique se elas estão configuradas corretamente.

Ação

  1. Para determinar se você criou com sucesso as configurações de VLAN primárias e secundárias:

    • Para uma PVLAN em um único switch, use o show configuration vlans comando:

    • Para uma PVLAN que abrange vários switches, use o show vlans extensive comando:

  2. Use o comando para exibir informações de VLAN e status de link para uma PVLAN em um único switch ou para uma PVLAN que abrange show vlans extensive vários switches.

    • Para uma PVLAN em um único switch:

    • Para uma PVLAN que abrange vários switches:

  3. Use o show ethernet-switching table comando para exibir logs para aprendizado de MAC nas VLANs:

Nota:

Se você tiver configurado uma PVLAN que abrange vários switches, você pode usar o mesmo comando em todos os switches para verificar os logs de aprendizado de MAC nesses switches.

Significado

Na saída exibido para uma PVLAN em um único switch, você pode ver que a VLAN primária contém dois domínios da comunidade (e), duas portas isoladas e duas portas community1community2 de tronco. A PVLAN em um único switch tem apenas uma tag ( 1000 ), que é para a VLAN primária.

A PVLAN que abrange vários switches contém várias tags:

  • O domínio da comunidade COM1 é identificado com a 100 etiqueta.

  • O domínio da comunidade community2 é identificado com a 20 etiqueta.

  • O domínio isolado do interswitch é identificado com 50 tag.

  • A VLAN primária primary é identificada com a etiqueta 10 .

Além disso, para a PVLAN que abrange vários switches, as interfaces de tronco são identificadas como pvlan-trunk .

Solução de problemas de VLANs privadas em switches QFX

Use as informações a seguir para solucionar problemas em uma configuração de VLAN privada.

Limitações de VLANs privadas

As seguintes restrições aplicam-se às configurações de VLAN privadas:

  • A espionagem por IGMP não é suportada com VLANs privadas.

  • Interfaces VLAN roteadas não são suportadas em VLANs privadas

  • O roteamento entre VLANs secundários no mesmo VLAN principal não é suportado.

  • Para mudar uma VLAN primária para uma VLAN secundário, primeiro é necessário alterá-la para uma VLAN normal e cometer a mudança. Por exemplo, você seguiria esse procedimento:

    1. Mude a VLAN primária para ser uma VLAN normal.

    2. Compromete a configuração.

    3. Altere a VLAN normal para ser uma VLAN secundário.

    4. Compromete a configuração.

    Siga a mesma sequência de commits se você quiser alterar uma VLAN secundário para ser uma VLAN primária. Ou seja, tornar a VLAN secundário uma VLAN normal e comprometer essa mudança e, em seguida, mudar a VLAN normal para ser uma VLAN primária.

Encaminhamento com VLANs privadas

Problema

Descrição
  • Quando o tráfego identificado por VLAN isolado ou da comunidade VLAN é recebido em uma porta de tronco PVLAN, os endereços MAC são apurados com o VLAN principal. Isso significa que a saída do comando show ethernet-switching table mostra que os endereços MAC são aprendidos com a VLAN primária e replicados para VLANs secundários. Esse comportamento não tem efeito no encaminhamento de decisões.

  • Caso um pacote com uma etiqueta VLAN secundário seja recebido em uma porta promíscua, ele é aceito e encaminhado.

  • Se um pacote for recebido em uma porta-tronco de PVLAN e atender às duas condições listadas abaixo, ele será descartado.

    • O pacote tem uma etiqueta VLAN da comunidade.

    • O pacote é destinado a um endereço MAC unicast ou endereço MAC do grupo multicast que foi aprendido em uma VLAN isolada.

  • Se um pacote for recebido em uma porta-tronco de PVLAN e atender às duas condições listadas abaixo, ele será descartado.

    • O pacote tem uma etiqueta VLAN isolada.

    • O pacote é destinado a um endereço MAC unicast ou endereço MAC do grupo multicast que foi aprendido em uma VLAN da comunidade.

  • Se um pacote com uma etiqueta VLAN primária for recebido por uma porta VLAN secundária (isolada ou comunidade), a porta secundária encaminha o pacote.

  • Se você configurar uma VLAN comunidade em um dispositivo e configurar outro VLAN da comunidade em um segundo dispositivo, e ambas as VLANs da comunidade usarem a mesma ID VLAN, o tráfego para um dos VLANs pode ser encaminhado para o outro VLAN. Por exemplo, assuma a seguinte configuração:

    • O comm1 da comunidade VLAN no switch 1 tem ID VLAN 50 e é membro do VLAN pvlan100 principal.

    • O comm2 da comunidade VLAN no switch 2 também tem VLAN ID 50 e é membro do VLAN pvlan200 principal.

    • O VLAN pvlan100 principal existe em ambos os switches.

    Se o tráfego para comm1 for enviado do switch 1 para o switch 2, ele será enviado para as portas participantes do comm2. (O tráfego também será encaminhado para as portas no comm1, como você esperava.)

Solução

São comportamentos esperados.

Filtros de firewall de saída com VLANs privadas

Problema

Descrição

Se você aplicar um filtro de firewall na direção de saída a uma VLAN primária, o filtro também se aplica às VLANs secundários que são membros da VLAN primária quando o tráfego se egresso com a etiqueta VLAN primária ou a etiqueta VLAN isolada, conforme indicado abaixo:

  • Tráfego encaminhado de uma porta de tronco VLAN secundário para uma porta promíscua (tronco ou acesso)

  • Tráfego encaminhado de uma porta-tronco VLAN secundário que transporta uma VLAN isolada até uma porta-tronco PVLAN.

  • Tráfego encaminhado de uma porta promíscua (tronco ou acesso) até uma porta de tronco VLAN secundário

  • Tráfego encaminhado de uma porta de tronco PVLAN. para uma porta de tronco VLAN secundário

  • Tráfego encaminhado de uma porta da comunidade para uma porta promíscua (tronco ou acesso)

Se você aplicar um filtro de firewall na direção da saída a uma VLAN primária, o filtro não se aplicará ao tráfego que surgirá com uma etiqueta VLAN da comunidade, conforme indicado abaixo:

  • Tráfego encaminhado de uma porta de tronco da comunidade para uma porta-tronco PVLAN

  • Tráfego encaminhado de uma porta de tronco VLAN secundário que transporta uma VLAN da comunidade até uma porta-tronco PVLAN

  • Tráfego encaminhado de uma porta promíscua (tronco ou acesso) até uma porta de tronco da comunidade

  • Tráfego encaminhado de uma porta de tronco PVLAN. até uma porta de tronco da comunidade

Se você aplicar um filtro de firewall na direção de saída a uma VLAN da comunidade, os seguintes comportamentos se aplicam:

  • O filtro é aplicado ao tráfego encaminhado de uma porta promíscua (tronco ou acesso) até uma porta de tronco da comunidade (porque o tráfego se dá com a etiqueta VLAN da comunidade).

  • O filtro é aplicado ao tráfego encaminhado de uma porta da comunidade até uma porta de tronco PVLAN (porque o tráfego se egresso com a etiqueta VLAN da comunidade).

  • O filtro não é aplicado ao tráfego encaminhado de uma porta da comunidade até uma porta promíscua (porque o tráfego se vai com a etiqueta VLAN primária ou sem etiqueta).

Solução

São comportamentos esperados. Eles só ocorrem se você aplicar um filtro de firewall a uma VLAN privada na direção da saída e não ocorrer se você aplicar um filtro de firewall a uma VLAN privada na direção da entrada.

Espelhamento de portas de saída com VLANs privadas

Problema

Descrição

Se você criar uma configuração de espelhamento de porta que espelha o tráfego VLAN privado (PVLAN) na saída, o tráfego espelhado (o tráfego enviado ao sistema de analisador) terá a etiqueta VLAN da VLAN de entrada em vez da VLAN de saída. Por exemplo, assuma a seguinte configuração de PVLAN:

  • Porta-tronco promíscua que transporta VLANs primárias pvlan100 e pvlan400.

  • Porta de acesso isolado que transporta VLAN secundário isolado200. Este VLAN é um membro do VLAN pvlan100 principal.

  • Porta da comunidade que transporta comm300 VLAN secundário. Esse VLAN também é membro do VLAN pvlan100 principal.

  • Interface de saída (interface de monitor) que se conecta ao sistema de analisador. Essa interface encaminha o tráfego espelhado ao analisador.

Se um pacote para pvlan100 entra na porta de tronco promíscua e sai na porta de acesso isolada, o pacote original não está conectado à saída porque está saindo em uma porta de acesso. No entanto, a cópia espelhada retém a etiqueta para pvlan100 quando ela é enviada ao analisador.

Aqui está outro exemplo: Se um pacote para entradas comm300 na porta da comunidade e saídas na porta do tronco promíscua, o pacote original transporta a etiqueta para pvlan100 na saída, como esperado. No entanto, a cópia espelhada retém a etiqueta para comm300 quando ela é enviada ao analisador.

Solução

Esse é o comportamento esperado.