Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

了解专用 Vlan

Vlan 将广播限制到指定用户。专用 Vlan (Pvlan)通过限制 VLAN 内的通信进一步提升了这一概念。Pvlan 通过限制流量通过其成员交换机端口(称为私有端口)来实现此目标,使这些端口仅与指定的上行链路中继端口或同一个 VLAN 中的指定端口通信。上行链路中继端口或链路聚合组(LAG)通常连接到路由器、防火墙、服务器或提供商网络。每个 PVLAN 通常都包含多个仅与单个上行链路端口通信的专用端口,从而防止端口相互通信。

Pvlan 在 VLAN 内部的端口之间提供2层隔离,将一个广播域拆分为多个离散的广播子域,方法是在主 VLAN 内创建次 Vlan (社区vlan 和隔离的 vlan)。同一社区 VLAN 中的端口可以相互通信。隔离 VLAN 中的端口只能与单个上行链路端口通信。

与常规 V VPN 一样,PV VPN 在 2 层上是隔离的,需要以下其中一个选项在辅助 VLAN 之间路由第 3 层流量:

  • 与路由器的混杂端口连接

  • 路由 VLAN 接口(RVI)

注:

要在辅助 Vlan 之间路由第3层信息流,PVLAN 只需要上面提到的其中一个选项。如果您使用 RVI,则仍可通过设置了混杂端口的一个到路由器的混杂端口连接,以仅处理进入和退出 PVLAN 的流量。

Pvlan 有助于限制广播流量和未知单播信息流,并限制已知主机之间的通信。服务提供商使用 Pvlan 保持客户彼此相互隔离。PVLAN 的另一种典型用途是在酒店提供每个房间的互联网接入。

注:

您可将 PVLAN 配置为支持 Pvlan 的跨交换机。

本主题介绍有关 EX 系列交换机上的 Pvlan 的以下概念:

Pvlan 的优势

在以下部署情景中,分离单个 VLAN 的需求特别有用:

  • 服务器场 — 典型的互联网服务提供商使用服务器场为众多客户提供 Web 托管。在单个服务器场中查找各种服务器可简化管理。如果所有服务器都处于同一 VLAN 中,则会出现安全问题,因为第2层广播将转至 VLAN 中的所有服务器。

  • 城域以太网网络 — 城域服务提供商为各种家庭、租赁社区和企业提供 2 层以太网接入。为每个客户部署一个 VLAN 的传统解决方案不可扩展且难以管理,从而可能浪费 IP 地址。Pvlan 提供更安全、更高效的解决方案。

Pvlan 的典型结构和主要应用

PVLAN 可在单个交换机上配置,也可配置为跨多台交换机。域和端口的类型为:

  • 主 VLAN — PVLAN 的主 VLAN 使用完整 PVLAN 的 802.1Q 标记 (VLAN ID) 定义。主 PVLAN 可以包含多个辅助 Vlan (一个隔离 VLAN 和多个群组 Vlan)。

  • 隔离 VLAN/隔离端口 — 主要 VLAN 只能包含一个隔离 VLAN。隔离 VLAN 内的接口只能将数据包转发到混杂端口或交换机间链路(ISL)端口。隔离接口不能将数据包转发至另一个孤立接口;独立接口不能从另一个独立接口接收数据包。如果客户设备需要访问网关路由器,则必须将设备连接到隔离的中继端口。

  • 社区 VLAN/社区端口 — 您可以在单个 PVLAN 中配置多个社区 VLAN。特定社区 VLAN 中的接口可与属于同一社区 VLAN 的任何其他接口建立2层通信。社区 VLAN 中的接口也可与混杂端口或 ISL 端口进行通信。 例如,如果您拥有需要从其他客户设备隔离但必须能够相互通信的两个客户设备,请使用社区端口。

  • 协调端口 — 无论接口属于隔离 VLAN 还是社区 VLAN,跨端口与 PVLAN 中所有接口均拥有第 2 层通信。混杂端口是主 VLAN 的成员,但不包含在任何辅助子域中。需要与端点设备通信的3层网关、DHCP 服务器和其他受信任设备通常连接到一个混杂端口。

  • 交换机间链路 (ISL) — ISL 是连接 PVLAN 中多个交换机的中继端口,包含两个或多个 VLAN。只有在 PVLAN 跨越多个交换机时才需要它。

配置的 PVLAN 是主域(主 VLAN)。在 PVLAN 中,您可以配置辅助vlan,使其成为在主域中嵌套的子域。PVLAN 可在单个交换机上配置,也可配置为跨多台交换机。中图 1所示的 PVLAN 包含两个交换机,主要 PVLAN 域和各种子域。

图 1: PVLAN 中的子域PVLAN 中的子域

如中图 3所示,PVLAN 只有一个主域和多个辅助域。域类型包括:

  • 主 VLAN—VLAN 用于将帧下游转发至隔离和社区 VLAN。PVLAN 的主要 VLAN 定义了完整 PVLAN 的 802.1 Q 标记(VLAN ID)。主 PVLAN 可以包含多个辅助 Vlan (一个隔离 VLAN 和多个群组 Vlan)。

  • 次要隔离 VLAN—仅从主 VLAN 接收数据包的 VLAN,将帧上游转发至主 VLAN。隔离 VLAN 是嵌套在主 VLAN 内的辅助 VLAN。主 VLAN 只能包含一个隔离的 VLAN。隔离 VLAN (独立接口)内的接口只能将数据包转发至混杂端口或 PVLAN 中继端口。隔离接口不能将数据包转发至另一个孤立接口;也不能由独立接口从另一个独立接口接收数据包。如果客户设备需要访问路由器,则必须将设备连接到隔离的中继端口。

  • 辅助交换机间隔离 VLAN—VLAN 用于通过 PVLAN 中继端口将隔离的 VLAN 流量从一台交换机转发至另一台交换机。交换机间隔离 VLAN 需要 802.1Q 标记,因为 IEEE 802.1Q 使用内部标记机制,中继设备通过此机制将 4 字节 VLAN 帧识别选项卡插入数据包标头中。交换机间隔离 VLAN 是嵌套在主 VLAN 内的辅助 VLAN。

  • 次要社区 VLAN—VLAN,用于在社区成员(VLAN 中的用户子集)之间传输帧,以及将帧上游转发至主 VLAN。社区 VLAN 是嵌套在主 VLAN 中的辅助 VLAN。您可以在一个 PVLAN 内配置多个社区 Vlan。特定社区 VLAN 中的接口可与属于同一社区 VLAN 的任何其他接口建立2层通信。社区 VLAN 中的接口也可与混杂端口或 PVLAN 中继端口进行通信。

图 2显示了跨越多个交换机的 PVLAN,其中主 VLAN100()包含两个(300社区400域和一个交换机间隔离域。

图 2: PVLAN 跨越多台交换机PVLAN 跨越多台交换机
注:

主要和辅助 Vlan 的计数超过 QFX 系列上支持的 4089 Vlan。例如,每个 VLAN 的图 2计数均为此限制。

MX 系列路由器上的典型 Pvlan 结构和主要应用程序

配置的 PVLAN 将成为主域,次要 Vlan 将成为嵌套在主域内的子域。可在单个路由器上创建 PVLAN。中图 3所示的 PVLAN 包含一个路由器,具有一个主要 PVLAN 域和多个辅助子域。

图 3: 具有一个路由器的 PVLAN 中的子域具有一个路由器的 PVLAN 中的子域

域类型包括:

  • 主 VLAN—VLAN 用于将帧下游转发至隔离和社区 VLAN。

  • 次要隔离 VLAN—仅从主 VLAN 接收数据包的 VLAN,将帧上游转发至主 VLAN。

  • 辅助交换机间隔离 VLAN—VLAN 用于通过 PVLAN 中继端口将隔离的 VLAN 流量从一个路由器转发到另一个路由器。

  • 次要社区 VLAN—VLAN,用于在社区成员(这是 VLAN 中的用户子集)之间传输帧,以及将帧上游转发至主 VLAN。

注:

在带 MPC1、MPC2 和自适应服务 pic 的 MX 系列路由器上,MX80 路由器、MX240、MX480 和 MX960 路由器上的 Dpc 支持 Pvlan。

EX 系列交换机上的典型 Pvlan 结构和主要应用程序

注:

PVLAN 的主要 VLAN 定义了完整 PVLAN 的 802.1 Q 标记(VLAN ID)。在 EX9200 交换机上,还必须使用各自单独的 VLAN ID 定义每个辅助 VLAN。

图 4显示了100单个交换机上的 PVLAN,其中主 VLAN (vlan)包含两个群组 VLAN (VLAN 300和 vlan 400)和一个隔离 VLAN (vlan 50)。

图 4: 单个 EX 交换机上的专用 VLAN单个 EX 交换机上的专用 VLAN

图 5显示了跨越多个交换机的 PVLAN,其中主 VLAN ( 100vlan)包含两个群组 VLAN 300 (vlan 400和 vlan)和一个隔离 VLAN (vlan 200)。它还显示交换机1和2通过一个交换机间链路(PVLAN 中继链路)连接。

图 5: 跨多个 EX 系列交换机的 PVLAN跨多个 EX 系列交换机的 PVLAN

此外,Pvlan 中图 4所示的图 5和使用连接到路由器的混杂端口作为在社区和隔离 vlan 之间路由第3层信息流的方法。您可以不使用连接到路由器的混杂端口,而是在中所示的交换机图 4或其中一个交换机上配置 RVI 图 5 (在某些 EX 交换机上)。

要路由隔离和社区 Vlan 之间的3层流量,您必须将路由器连接到混杂端口,如和图 4图 5中所示,或者配置 RVI。

如果您选择 RVI 选项,则必须为 PVLAN 域中的主 VLAN 配置一个 RVI。无论该域是否包含一个或多个交换机,此 RVI 都可用于整个 PVLAN 域。配置 RVI 后,由辅助 VLAN 接口接收的 3 层数据包将映射到 RVI 并路由。

设置 RVI 时,还必须启用代理地址解析协议(ARP),以便 RVI 可以处理辅助 VLAN 接口接收的 ARP 请求。

有关在单个交换机和多台交换机上配置 Pvlan 的信息,请参阅在单个 EX 系列交换机(CLI 过程)上创建专用 VLAN。有关配置 RVI 的信息,请参阅在 EX 系列交换机上的专用 VLAN 中配置路由 VLAN 接口

隔离和社区 Vlan 之间的路由

要路由隔离和社区 Vlan 之间的3层流量,必须将外部路由器或交换机连接到主 VLAN 的中继端口。主 VLAN 的中继端口为混杂端口;因此,它可以与 PVLAN 中的所有端口通信。

Pvlan 使用 802.1 Q 标记识别数据包

当数据包使用客户特定的 802.1 Q 标记进行标记时,该标记将识别网络中任何交换机或路由器的数据包的所有权。有时,PVLAN 内需要 802.1Q 标记来跟踪不同子域的数据包。 表 1 指示在主 VLAN 或辅助 VLAN 上需要 VLAN 802.1Q 标记时。

表 1: 当 PVLAN 中的 Vlan 需要 802.1 Q 标记时

在单个交换机上 多台交换机上

主 VLAN

通过设置 VLAN ID 指定 802.1 Q 标记。

通过设置 VLAN ID 指定 802.1 Q 标记。

辅助 VLAN

Vlan 无需标记。

Vlan 需要 802.1 Q 标记:

  • 通过设置 VLAN ID 为每个社区 VLAN 指定 802.1 Q 标记。

  • 通过设置隔离 ID 为隔离 VLAN ID 指定 802.1 Q 标记。

Pvlan 有效使用 IP 地址

Pvlan 网络提供 ip 地址的节省和高效分配。在典型网络中,Vlan 通常对应于单个 IP 子网。在 Pvlan 中,所有辅助 Vlan 中的主机都属于同一 IP 子网,因为该子网已分配给主 VLAN。辅助 VLAN 中的主机根据与主 VLAN 关联的 IP 子网分配 IP 地址,而其 IP 子网掩码信息反映了主 VLAN 子网。但是,每个辅助 VLAN 都是一个单独的广播域。

PVLAN 端口类型和转发规则

Pvlan 最多可使用六种不同的端口类型。中图 2描述的网络使用混杂端口将信息传输到路由器、用于将财务和 HR 社区连接到其各自的交换机的社区端口、隔离端口以连接服务器,以及用于连接两个 PVLAN 中继端口的开关. PVLAN 端口具有不同的限制:

  • 统一中继端口 — 无论接口属于隔离 VLAN 还是社区 VLAN,一个跨端口均具有与 PVLAN 中所有接口之间的第 2 层通信。混杂端口是主 VLAN 的成员,但不包含在一个辅助子域中。需要与端点设备通信的3层网关、DHCP 服务器和其他受信任设备通常连接到一个混杂端口。

  • PVLAN 中继链路 — PVLAN 中继链路也称为交换机间链路,只有在 PVLAN 配置为跨越多个交换机时才需要。PVLAN 中继链路连接构成 PVLAN 的多个交换机。

  • PVLAN 中继端口 — 多交换机 PVLAN 配置中需要一个 PVLAN 中继端口来跨越交换机。PVLAN 中继端口是 PVLAN 内所有 Vlan (即主要 VLAN、社区 Vlan 和交换机间隔离 VLAN)的成员,它可传送来自主要 VLAN 和所有辅助 Vlan 的流量。它可以与隔离端口以外的所有端口进行通信。

    PVLAN 中继端口与隔离端口之间的通信通常是单向的。PVLAN 中继端口在交换机间隔离 VLAN 中的成员仅会出口,也就是说,隔离端口可以将数据包转发至 PVLAN 中继端口,但 PVLAN 中继端口不会将数据包转发至隔离端口(除非数据包在一个不协调的接入端口上进入,因此被转发至与散乱端口相同的主 VLAN 中所有辅助 VLAN)。

  • 辅助 VLAN 中继端口(未显示)— 辅助中继端口可承载辅助 VLAN 流量。对于给定的专用 VLAN,辅助 VLAN 中继端口只能传输一个辅助 VLAN 的流量。但是,只要每个辅助 vlan 是不同主 VLAN 的成员,辅助 VLAN 中继端口就可以传输多个辅助 Vlan 的流量。例如,辅助 VLAN 中继端口可以传输作为主 VLAN pvlan100 一部分的社区 VLAN 的流量,并且还会传输作为主 VLAN pvlan400 一部分的隔离 VLAN 的信息流。

  • 社区端口 — 社区端口相互通信并与其不相符合的端口进行通信。社区端口仅为选择的用户组提供服务。这些接口在其 PVLAN 内的其他社区或独立端口中的所有其他接口之间分开。

  • 隔离接入端口 — 隔离端口仅有与协调端口和 PVLAN 中继端口的 2 层连接—即使这两个端口是同一隔离 VLAN(或交换机间隔离 VLAN)域的成员,隔离端口也不得与另一个隔离端口通信。通常,服务器(例如邮件服务器或备份服务器)连接到隔离的端口。在酒店,每个房间通常都连接在一个独立的端口上,这意味着不可能有房间间的通信,但每个房间都可以访问混杂端口上的互联网。

  • 不规则访问端口(未显示)— 这些端口承载未标记的流量。在混杂接入端口上 ingresses 的流量将转发到设备上的所有辅助 VLAN 端口。如果在支持 VLAN 的端口上将信息流 ingresses 到设备,并在混杂接入端口上 egresses,则信息流在出口上未加标签。如果在混杂接入端口上标记的信息流 ingresses,信息流将被丢弃。

  • Interswitch 链路端口 — 一个交换机间链路 (ISL) 端口是在 PVLAN 跨越这些路由器时连接两个路由器的中继端口。ISL 端口是 PVLAN 内所有 Vlan 的成员(即主要 VLAN、社区 Vlan 和隔离 VLAN)。

    ISL 端口与隔离端口之间的通信是单向的。ISL 端口在交换机间隔离 VLAN 中的成员身份仅提供出口,也就是说,ISL 端口上的传入流量永远不会分配至隔离的 VLAN。隔离端口可将数据包转发至 PVLAN 中继端口,但 PVLAN 中继端口无法将数据包转发至隔离端口。表 3汇总不同类型端口之间是否存在2层连接。

表 2汇总了在支持 ELS 的 EX 系列交换机上的 PVLAN 内不同类型端口之间的2层连接。

表 2: 在支持 ELS 的 EX 系列交换机上的 PVLAN 端口和第2层转发

从端口类型

隔离端口?

到混杂端口?

社区端口?

到交换机间链路端口?

发生

赋予

允许

赋予

允许

多播

允许

允许

允许

允许

社区1

赋予

允许

允许

允许

表 3: PVLAN 端口和2层连接

端口类型

混杂主干

PVLAN 主干

辅助中继

社区

隔离访问

混杂接入

混杂主干

PVLAN 主干

是 — 仅同一社区

辅助中继

社区

是 — 仅同一社区

隔离访问

是 — 仅单向

混杂接入

表 4汇总了 PVLAN 内不同类型的端口之间是否存在2层连接。

表 4: 不支持 ELS 的 EX 系列交换机上的 PVLAN 端口和2层连接

端口类型

新版:→

从:?

多播

社区

发生

PVLAN 主干

RVI

多播

社区

是 — 仅同一社区

发生

注:

这种通信是单向的。

PVLAN 主干

是 — 仅同一社区

注:

这种通信是单向的。

RVI

如 中说明,隔离端口与 PVLAN 中继端口之间的第 2 层通信为 表 4 单向通信。也就是说,独立端口只能将数据包发送至 PVLAN 中继端口,而 PVLAN 中继端口只能从隔离的端口接收数据包。相反,PVLAN 中继端口无法将数据包发送至隔离端口,而隔离端口将无法从 PVLAN 中继端口接收数据包。

注:

如果您在no-mac-learning主 VLAN 上启用,则 PVLAN 中的所有隔离 vlan (或交换机间隔离 vlan)都会继承该设置。但是,如果您想要在任何社区 Vlan 上禁用 MAC 地址学习,则必须no-mac-learning在每个 vlan 上进行配置。

创建 PVLAN

图 6显示的流程图为您提供了创建 pvlan 的大致思路。如果您按照显示的顺序完成配置步骤,则不会违反这些 PVLAN 规则。(在 PVLAN 规则中,配置 PVLAN 中继端口仅适用于跨越多个路由器的 PVLAN。)

  • 主 VLAN 必须为标记的 VLAN。

  • 如果要配置社区 VLAN ID,必须先配置主 VLAN。

  • 如果您打算配置隔离 VLAN ID,则必须先配置主 VLAN。

注:

不支持在 PVLAN 接口上配置 IP 语音(VoIP) VLAN。

在单个路由器上配置 VLAN 相对简单,如中图 6所示。

图 6: 在单个交换机上配置 PVLAN在单个交换机上配置 PVLAN

配置主 VLAN 包括以下步骤:

  1. 配置主 VLAN name 和 802.1 Q 标记。

  2. no-local-switching 主 VLAN 上设置。

  3. 配置混杂中继端口和接入端口。

  4. 使混杂的主干和接入端口成为主 VLAN 的成员。

在主 VLAN 中,您可以配置辅助社区 Vlan 或次要隔离 Vlan 或两者。配置辅助社区 VLAN 包括以下步骤:

  1. 使用常规进程配置 VLAN。

  2. 配置 VLAN 的接入接口。

  3. 将主 VLAN 分配至社区 VLAN

当隔离的 VLAN 将访问接口作为成员且主 VLAN 上启用了 选项时,在内部 no-local-switching 创建隔离 VLAN。

802.1 q 标记对于交换机间隔离 Vlan 是必需的,因为 IEEE 802.1 Q 使用一种内部标记机制,中继设备将4字节 VLAN 帧标识选项卡插入数据包标头。

中继端口仅对多路由 PVLAN 配置所需 — 中继端口携带来自主 VLAN 及所有辅助 VLAN 的流量。

专用 Vlan 的限制

以下约束适用于专用 VLAN 配置:

  • 接入接口只能属于一个 PVLAN 域,即它不能加入两个不同的主 Vlan。

  • 只要辅助 Vlan 位于两个不同的主 vlan 中,中继接口就可以是两个辅助 vlan 的成员。中继接口不能是同一主 vlan 中两个辅助 vlan 的成员。

  • 必须在 PVLAN 中包含的所有 Vlan 上配置多生成树协议(MSTP)的单个区域。

  • 不支持 VLAN 生成树协议(VSTP)。

  • 专用 Vlan 不支持 IGMP 侦听。

  • 专用 Vlan 不支持路由 VLAN 接口

  • 不支持同一主 VLAN 中的次 Vlan 之间的路由。

  • 某些配置语句不能在辅助 VLAN 上指定。只能在主 PVLAN 的层级配置 [edit vlans vlan-name switch-options] 以下语句

  • 如果要将主 VLAN 更改为辅助 VLAN,则必须先将其更改为正常 VLAN,然后提交更改。例如,您可以按照以下过程操作:

    1. 将主 VLAN 更改为正常 VLAN。

    2. 提交配置。

    3. 将正常 VLAN 更改为辅助 VLAN。

    4. 提交配置。

    如果要将辅助 VLAN 更改为主 VLAN,请遵循相同的提交顺序。也就是说,使辅助 VLAN 成为正常 VLAN 并提交更改,然后将正常 VLAN 更改为主 VLAN。

Junos 交换机上的 Pvlan 上支持以下功能,支持 ELS 配置样式:

  • DHCP 安全功能(DHCP 侦听、动态 ARP 检测、IP 源保护)

  • 出口 VLAN 防火墙过滤器

  • 以太网环形保护(ERP)

  • 灵活的 VLAN 标记

  • 全球 mac 统计

  • 集成路由和桥接(IRB)接口

  • 多播侦听或 IGMP 侦听

  • 多机箱链路聚合组(MC-滞后)

  • 端口镜像

  • Q 入 Q 通道

  • VLAN 生成树协议 (VSTP)

  • IP 语音(VoIP)

只能在主 PVLAN 上的[edit vlans vlan-name switch-options]层次结构级别上配置以下语句: