Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

专用 VLAN

了解专用 Vlan

Vlan 将广播限制到指定用户。专用 Vlan (Pvlan)通过限制 VLAN 内的通信进一步提升了这一概念。Pvlan 通过限制流量通过其成员交换机端口(称为私有端口)来实现此目标,使这些端口仅与指定的上行链路中继端口或同一个 VLAN 中的指定端口通信。上行链路中继端口或链路聚合组(LAG)通常连接到路由器、防火墙、服务器或提供商网络。每个 PVLAN 通常都包含多个仅与单个上行链路端口通信的专用端口,从而防止端口相互通信。

Pvlan 在 VLAN 内部的端口之间提供2层隔离,将一个广播域拆分为多个离散的广播子域,方法是在主 VLAN 内创建次 Vlan (社区vlan 和隔离的 vlan)。同一社区 VLAN 中的端口可以相互通信。隔离 VLAN 中的端口只能与单个上行链路端口通信。

与常规 V VPN 一样,PV VPN 在 2 层上是隔离的,需要以下其中一个选项在辅助 VLAN 之间路由第 3 层流量:

  • 与路由器的混杂端口连接

  • 路由 VLAN 接口(RVI)

注:

要在辅助 Vlan 之间路由第3层信息流,PVLAN 只需要上面提到的其中一个选项。如果您使用 RVI,则仍可通过设置了混杂端口的一个到路由器的混杂端口连接,以仅处理进入和退出 PVLAN 的流量。

Pvlan 有助于限制广播流量和未知单播信息流,并限制已知主机之间的通信。服务提供商使用 Pvlan 保持客户彼此相互隔离。PVLAN 的另一种典型用途是在酒店提供每个房间的互联网接入。

注:

您可将 PVLAN 配置为支持 Pvlan 的跨交换机。

本主题介绍有关 EX 系列交换机上的 Pvlan 的以下概念:

Pvlan 的优势

在以下部署情景中,分离单个 VLAN 的需求特别有用:

  • 服务器场 — 典型的互联网服务提供商使用服务器场为众多客户提供 Web 托管。在单个服务器场中查找各种服务器可简化管理。如果所有服务器都处于同一 VLAN 中,则会出现安全问题,因为第2层广播将转至 VLAN 中的所有服务器。

  • 城域以太网网络 — 城域服务提供商为各种家庭、租赁社区和企业提供 2 层以太网接入。为每个客户部署一个 VLAN 的传统解决方案不可扩展且难以管理,从而可能浪费 IP 地址。Pvlan 提供更安全、更高效的解决方案。

Pvlan 的典型结构和主要应用

PVLAN 可在单个交换机上配置,也可配置为跨多台交换机。域和端口的类型为:

  • 主 VLAN — PVLAN 的主 VLAN 使用完整 PVLAN 的 802.1Q 标记 (VLAN ID) 定义。主 PVLAN 可以包含多个辅助 Vlan (一个隔离 VLAN 和多个群组 Vlan)。

  • 隔离 VLAN/隔离端口 — 主要 VLAN 只能包含一个隔离 VLAN。隔离 VLAN 内的接口只能将数据包转发到混杂端口或交换机间链路(ISL)端口。隔离接口不能将数据包转发至另一个孤立接口;独立接口不能从另一个独立接口接收数据包。如果客户设备需要访问网关路由器,则必须将设备连接到隔离的中继端口。

  • 社区 VLAN/社区端口 — 您可以在单个 PVLAN 中配置多个社区 VLAN。特定社区 VLAN 中的接口可与属于同一社区 VLAN 的任何其他接口建立2层通信。社区 VLAN 中的接口也可与混杂端口或 ISL 端口进行通信。 例如,如果您拥有需要从其他客户设备隔离但必须能够相互通信的两个客户设备,请使用社区端口。

  • 协调端口 — 无论接口属于隔离 VLAN 还是社区 VLAN,跨端口与 PVLAN 中所有接口均拥有第 2 层通信。混杂端口是主 VLAN 的成员,但不包含在任何辅助子域中。需要与端点设备通信的3层网关、DHCP 服务器和其他受信任设备通常连接到一个混杂端口。

  • 交换机间链路 (ISL) — ISL 是连接 PVLAN 中多个交换机的中继端口,包含两个或多个 VLAN。只有在 PVLAN 跨越多个交换机时才需要它。

配置的 PVLAN 是主域(主 VLAN)。在 PVLAN 中,您可以配置辅助vlan,使其成为在主域中嵌套的子域。PVLAN 可在单个交换机上配置,也可配置为跨多台交换机。中图 1所示的 PVLAN 包含两个交换机,主要 PVLAN 域和各种子域。

图 1: PVLAN 中的子域PVLAN 中的子域

如中图 3所示,PVLAN 只有一个主域和多个辅助域。域类型包括:

  • 主 VLAN—VLAN 用于将帧下游转发至隔离和社区 VLAN。PVLAN 的主要 VLAN 定义了完整 PVLAN 的 802.1 Q 标记(VLAN ID)。主 PVLAN 可以包含多个辅助 Vlan (一个隔离 VLAN 和多个群组 Vlan)。

  • 次要隔离 VLAN—仅从主 VLAN 接收数据包的 VLAN,将帧上游转发至主 VLAN。隔离 VLAN 是嵌套在主 VLAN 内的辅助 VLAN。主 VLAN 只能包含一个隔离的 VLAN。隔离 VLAN (独立接口)内的接口只能将数据包转发至混杂端口或 PVLAN 中继端口。隔离接口不能将数据包转发至另一个孤立接口;也不能由独立接口从另一个独立接口接收数据包。如果客户设备需要访问路由器,则必须将设备连接到隔离的中继端口。

  • 辅助交换机间隔离 VLAN—VLAN 用于通过 PVLAN 中继端口将隔离的 VLAN 流量从一台交换机转发至另一台交换机。交换机间隔离 VLAN 需要 802.1Q 标记,因为 IEEE 802.1Q 使用内部标记机制,中继设备通过此机制将 4 字节 VLAN 帧识别选项卡插入数据包标头中。交换机间隔离 VLAN 是嵌套在主 VLAN 内的辅助 VLAN。

  • 次要社区 VLAN—VLAN,用于在社区成员(VLAN 中的用户子集)之间传输帧,以及将帧上游转发至主 VLAN。社区 VLAN 是嵌套在主 VLAN 中的辅助 VLAN。您可以在一个 PVLAN 内配置多个社区 Vlan。特定社区 VLAN 中的接口可与属于同一社区 VLAN 的任何其他接口建立2层通信。社区 VLAN 中的接口也可与混杂端口或 PVLAN 中继端口进行通信。

图 2显示了跨越多个交换机的 PVLAN,其中主 VLAN100()包含两个(300社区400域和一个交换机间隔离域。

图 2: PVLAN 跨越多台交换机PVLAN 跨越多台交换机
注:

主要和辅助 Vlan 的计数超过 QFX 系列上支持的 4089 Vlan。例如,每个 VLAN 的图 2计数均为此限制。

MX 系列路由器上的典型 Pvlan 结构和主要应用程序

配置的 PVLAN 将成为主域,次要 Vlan 将成为嵌套在主域内的子域。可在单个路由器上创建 PVLAN。中图 3所示的 PVLAN 包含一个路由器,具有一个主要 PVLAN 域和多个辅助子域。

图 3: 具有一个路由器的 PVLAN 中的子域具有一个路由器的 PVLAN 中的子域

域类型包括:

  • 主 VLAN—VLAN 用于将帧下游转发至隔离和社区 VLAN。

  • 次要隔离 VLAN—仅从主 VLAN 接收数据包的 VLAN,将帧上游转发至主 VLAN。

  • 辅助交换机间隔离 VLAN—VLAN 用于通过 PVLAN 中继端口将隔离的 VLAN 流量从一个路由器转发到另一个路由器。

  • 次要社区 VLAN—VLAN,用于在社区成员(这是 VLAN 中的用户子集)之间传输帧,以及将帧上游转发至主 VLAN。

注:

在带 MPC1、MPC2 和自适应服务 pic 的 MX 系列路由器上,MX80 路由器、MX240、MX480 和 MX960 路由器上的 Dpc 支持 Pvlan。

EX 系列交换机上的典型 Pvlan 结构和主要应用程序

注:

PVLAN 的主要 VLAN 定义了完整 PVLAN 的 802.1 Q 标记(VLAN ID)。在 EX9200 交换机上,还必须使用各自单独的 VLAN ID 定义每个辅助 VLAN。

图 4显示了100单个交换机上的 PVLAN,其中主 VLAN (vlan)包含两个群组 VLAN (VLAN 300和 vlan 400)和一个隔离 VLAN (vlan 50)。

图 4: 单个 EX 交换机上的专用 VLAN单个 EX 交换机上的专用 VLAN

图 5显示了跨越多个交换机的 PVLAN,其中主 VLAN ( 100vlan)包含两个群组 VLAN 300 (vlan 400和 vlan)和一个隔离 VLAN (vlan 200)。它还显示交换机1和2通过一个交换机间链路(PVLAN 中继链路)连接。

图 5: 跨多个 EX 系列交换机的 PVLAN跨多个 EX 系列交换机的 PVLAN

此外,Pvlan 中图 4所示的图 5和使用连接到路由器的混杂端口作为在社区和隔离 vlan 之间路由第3层信息流的方法。您可以不使用连接到路由器的混杂端口,而是在中所示的交换机图 4或其中一个交换机上配置 RVI 图 5 (在某些 EX 交换机上)。

要路由隔离和社区 Vlan 之间的3层流量,您必须将路由器连接到混杂端口,如和图 4图 5中所示,或者配置 RVI。

如果您选择 RVI 选项,则必须为 PVLAN 域中的主 VLAN 配置一个 RVI。无论该域是否包含一个或多个交换机,此 RVI 都可用于整个 PVLAN 域。配置 RVI 后,由辅助 VLAN 接口接收的 3 层数据包将映射到 RVI 并路由。

设置 RVI 时,还必须启用代理地址解析协议(ARP),以便 RVI 可以处理辅助 VLAN 接口接收的 ARP 请求。

有关在单个交换机和多台交换机上配置 Pvlan 的信息,请参阅在单个 EX 系列交换机(CLI 过程)上创建专用 VLAN。有关配置 RVI 的信息,请参阅在 EX 系列交换机上的专用 VLAN 中配置路由 VLAN 接口

隔离和社区 Vlan 之间的路由

要路由隔离和社区 Vlan 之间的3层流量,必须将外部路由器或交换机连接到主 VLAN 的中继端口。主 VLAN 的中继端口为混杂端口;因此,它可以与 PVLAN 中的所有端口通信。

Pvlan 使用 802.1 Q 标记识别数据包

当数据包使用客户特定的 802.1 Q 标记进行标记时,该标记将识别网络中任何交换机或路由器的数据包的所有权。有时,PVLAN 内需要 802.1Q 标记来跟踪不同子域的数据包。 表 1 指示在主 VLAN 或辅助 VLAN 上需要 VLAN 802.1Q 标记时。

表 1: 当 PVLAN 中的 Vlan 需要 802.1 Q 标记时

在单个交换机上 多台交换机上

主 VLAN

通过设置 VLAN ID 指定 802.1 Q 标记。

通过设置 VLAN ID 指定 802.1 Q 标记。

辅助 VLAN

Vlan 无需标记。

Vlan 需要 802.1 Q 标记:

  • 通过设置 VLAN ID 为每个社区 VLAN 指定 802.1 Q 标记。

  • 通过设置隔离 ID 为隔离 VLAN ID 指定 802.1 Q 标记。

Pvlan 有效使用 IP 地址

Pvlan 网络提供 ip 地址的节省和高效分配。在典型网络中,Vlan 通常对应于单个 IP 子网。在 Pvlan 中,所有辅助 Vlan 中的主机都属于同一 IP 子网,因为该子网已分配给主 VLAN。辅助 VLAN 中的主机根据与主 VLAN 关联的 IP 子网分配 IP 地址,而其 IP 子网掩码信息反映了主 VLAN 子网。但是,每个辅助 VLAN 都是一个单独的广播域。

PVLAN 端口类型和转发规则

Pvlan 最多可使用六种不同的端口类型。中图 2描述的网络使用混杂端口将信息传输到路由器、用于将财务和 HR 社区连接到其各自的交换机的社区端口、隔离端口以连接服务器,以及用于连接两个 PVLAN 中继端口的开关. PVLAN 端口具有不同的限制:

  • 统一中继端口 — 无论接口属于隔离 VLAN 还是社区 VLAN,一个跨端口均具有与 PVLAN 中所有接口之间的第 2 层通信。混杂端口是主 VLAN 的成员,但不包含在一个辅助子域中。需要与端点设备通信的3层网关、DHCP 服务器和其他受信任设备通常连接到一个混杂端口。

  • PVLAN 中继链路 — PVLAN 中继链路也称为交换机间链路,只有在 PVLAN 配置为跨越多个交换机时才需要。PVLAN 中继链路连接构成 PVLAN 的多个交换机。

  • PVLAN 中继端口 — 多交换机 PVLAN 配置中需要一个 PVLAN 中继端口来跨越交换机。PVLAN 中继端口是 PVLAN 内所有 Vlan (即主要 VLAN、社区 Vlan 和交换机间隔离 VLAN)的成员,它可传送来自主要 VLAN 和所有辅助 Vlan 的流量。它可以与隔离端口以外的所有端口进行通信。

    PVLAN 中继端口与隔离端口之间的通信通常是单向的。PVLAN 中继端口在交换机间隔离 VLAN 中的成员仅会出口,也就是说,隔离端口可以将数据包转发至 PVLAN 中继端口,但 PVLAN 中继端口不会将数据包转发至隔离端口(除非数据包在一个不协调的接入端口上进入,因此被转发至与散乱端口相同的主 VLAN 中所有辅助 VLAN)。

  • 辅助 VLAN 中继端口(未显示)— 辅助中继端口可承载辅助 VLAN 流量。对于给定的专用 VLAN,辅助 VLAN 中继端口只能传输一个辅助 VLAN 的流量。但是,只要每个辅助 vlan 是不同主 VLAN 的成员,辅助 VLAN 中继端口就可以传输多个辅助 Vlan 的流量。例如,辅助 VLAN 中继端口可以传输作为主 VLAN pvlan100 一部分的社区 VLAN 的流量,并且还会传输作为主 VLAN pvlan400 一部分的隔离 VLAN 的信息流。

  • 社区端口 — 社区端口相互通信并与其不相符合的端口进行通信。社区端口仅为选择的用户组提供服务。这些接口在其 PVLAN 内的其他社区或独立端口中的所有其他接口之间分开。

  • 隔离接入端口 — 隔离端口仅有与协调端口和 PVLAN 中继端口的 2 层连接—即使这两个端口是同一隔离 VLAN(或交换机间隔离 VLAN)域的成员,隔离端口也不得与另一个隔离端口通信。通常,服务器(例如邮件服务器或备份服务器)连接到隔离的端口。在酒店,每个房间通常都连接在一个独立的端口上,这意味着不可能有房间间的通信,但每个房间都可以访问混杂端口上的互联网。

  • 不规则访问端口(未显示)— 这些端口承载未标记的流量。在混杂接入端口上 ingresses 的流量将转发到设备上的所有辅助 VLAN 端口。如果在支持 VLAN 的端口上将信息流 ingresses 到设备,并在混杂接入端口上 egresses,则信息流在出口上未加标签。如果在混杂接入端口上标记的信息流 ingresses,信息流将被丢弃。

  • Interswitch 链路端口 — 一个交换机间链路 (ISL) 端口是在 PVLAN 跨越这些路由器时连接两个路由器的中继端口。ISL 端口是 PVLAN 内所有 Vlan 的成员(即主要 VLAN、社区 Vlan 和隔离 VLAN)。

    ISL 端口与隔离端口之间的通信是单向的。ISL 端口在交换机间隔离 VLAN 中的成员身份仅提供出口,也就是说,ISL 端口上的传入流量永远不会分配至隔离的 VLAN。隔离端口可将数据包转发至 PVLAN 中继端口,但 PVLAN 中继端口无法将数据包转发至隔离端口。表 3汇总不同类型端口之间是否存在2层连接。

表 2汇总了在支持 ELS 的 EX 系列交换机上的 PVLAN 内不同类型端口之间的2层连接。

表 2: 在支持 ELS 的 EX 系列交换机上的 PVLAN 端口和第2层转发

从端口类型

隔离端口?

到混杂端口?

社区端口?

到交换机间链路端口?

发生

赋予

允许

赋予

允许

多播

允许

允许

允许

允许

社区1

赋予

允许

允许

允许

表 3: PVLAN 端口和2层连接

端口类型

混杂主干

PVLAN 主干

辅助中继

社区

隔离访问

混杂接入

混杂主干

PVLAN 主干

是 — 仅同一社区

辅助中继

社区

是 — 仅同一社区

隔离访问

是 — 仅单向

混杂接入

表 4汇总了 PVLAN 内不同类型的端口之间是否存在2层连接。

表 4: 不支持 ELS 的 EX 系列交换机上的 PVLAN 端口和2层连接

端口类型

新版:→

从:?

多播

社区

发生

PVLAN 主干

RVI

多播

社区

是 — 仅同一社区

发生

注:

这种通信是单向的。

PVLAN 主干

是 — 仅同一社区

注:

这种通信是单向的。

RVI

如 中说明,隔离端口与 PVLAN 中继端口之间的第 2 层通信为 表 4 单向通信。也就是说,独立端口只能将数据包发送至 PVLAN 中继端口,而 PVLAN 中继端口只能从隔离的端口接收数据包。相反,PVLAN 中继端口无法将数据包发送至隔离端口,而隔离端口将无法从 PVLAN 中继端口接收数据包。

注:

如果您在no-mac-learning主 VLAN 上启用,则 PVLAN 中的所有隔离 vlan (或交换机间隔离 vlan)都会继承该设置。但是,如果您想要在任何社区 Vlan 上禁用 MAC 地址学习,则必须no-mac-learning在每个 vlan 上进行配置。

创建 PVLAN

图 6显示的流程图为您提供了创建 pvlan 的大致思路。如果您按照显示的顺序完成配置步骤,则不会违反这些 PVLAN 规则。(在 PVLAN 规则中,配置 PVLAN 中继端口仅适用于跨越多个路由器的 PVLAN。)

  • 主 VLAN 必须为标记的 VLAN。

  • 如果要配置社区 VLAN ID,必须先配置主 VLAN。

  • 如果您打算配置隔离 VLAN ID,则必须先配置主 VLAN。

注:

不支持在 PVLAN 接口上配置 IP 语音(VoIP) VLAN。

在单个路由器上配置 VLAN 相对简单,如中图 6所示。

图 6: 在单个交换机上配置 PVLAN在单个交换机上配置 PVLAN

配置主 VLAN 包括以下步骤:

  1. 配置主 VLAN name 和 802.1 Q 标记。

  2. no-local-switching 主 VLAN 上设置。

  3. 配置混杂中继端口和接入端口。

  4. 使混杂的主干和接入端口成为主 VLAN 的成员。

在主 VLAN 中,您可以配置辅助社区 Vlan 或次要隔离 Vlan 或两者。配置辅助社区 VLAN 包括以下步骤:

  1. 使用常规进程配置 VLAN。

  2. 配置 VLAN 的接入接口。

  3. 将主 VLAN 分配至社区 VLAN

当隔离的 VLAN 将访问接口作为成员且主 VLAN 上启用了 选项时,在内部 no-local-switching 创建隔离 VLAN。

802.1 q 标记对于交换机间隔离 Vlan 是必需的,因为 IEEE 802.1 Q 使用一种内部标记机制,中继设备将4字节 VLAN 帧标识选项卡插入数据包标头。

中继端口仅对多路由 PVLAN 配置所需 — 中继端口携带来自主 VLAN 及所有辅助 VLAN 的流量。

专用 Vlan 的限制

以下约束适用于专用 VLAN 配置:

  • 接入接口只能属于一个 PVLAN 域,即它不能加入两个不同的主 Vlan。

  • 只要辅助 Vlan 位于两个不同的主 vlan 中,中继接口就可以是两个辅助 vlan 的成员。中继接口不能是同一主 vlan 中两个辅助 vlan 的成员。

  • 必须在 PVLAN 中包含的所有 Vlan 上配置多生成树协议(MSTP)的单个区域。

  • 不支持 VLAN 生成树协议(VSTP)。

  • 专用 Vlan 不支持 IGMP 侦听。

  • 专用 Vlan 不支持路由 VLAN 接口

  • 不支持同一主 VLAN 中的次 Vlan 之间的路由。

  • 某些配置语句不能在辅助 VLAN 上指定。只能在主 PVLAN 的层级配置 [edit vlans vlan-name switch-options] 以下语句

  • 如果要将主 VLAN 更改为辅助 VLAN,则必须先将其更改为正常 VLAN,然后提交更改。例如,您可以按照以下过程操作:

    1. 将主 VLAN 更改为正常 VLAN。

    2. 提交配置。

    3. 将正常 VLAN 更改为辅助 VLAN。

    4. 提交配置。

    如果要将辅助 VLAN 更改为主 VLAN,请遵循相同的提交顺序。也就是说,使辅助 VLAN 成为正常 VLAN 并提交更改,然后将正常 VLAN 更改为主 VLAN。

Junos 交换机上的 Pvlan 上支持以下功能,支持 ELS 配置样式:

  • DHCP 安全功能(DHCP 侦听、动态 ARP 检测、IP 源保护)

  • 出口 VLAN 防火墙过滤器

  • 以太网环形保护(ERP)

  • 灵活的 VLAN 标记

  • 全球 mac 统计

  • 集成路由和桥接(IRB)接口

  • 多播侦听或 IGMP 侦听

  • 多机箱链路聚合组(MC-滞后)

  • 端口镜像

  • Q 入 Q 通道

  • VLAN 生成树协议 (VSTP)

  • IP 语音(VoIP)

只能在主 PVLAN 上的[edit vlans vlan-name switch-options]层次结构级别上配置以下语句:

了解多个交换机上的 PVLAN 流量流

本主题介绍并解释使用专用 VLAN (PVLAN)配置的样本 multiswitch 网络上的三个不同信息流。PVLAN 会限制通过其成员交换机端口(称为"专用端口")的流量,以便仅与特定上行链路中继端口或同一 VLAN 内的指定端口进行通信。

本主题介绍:

发送未标记流量的社区 VLAN

在这种情况下,接口 ge-0/0/0 的交换机1的第1社区中的 VLAN 将发送未标记流量。中图 7的箭头表示此信息流。

图 7: 社区 VLAN 发送未标记流量社区 VLAN 发送未标记流量

在这种情况下,交换机1上会发生以下活动:

  • 接口 ge 上的社团-1 VLAN-0/0/0:知识分享

  • 接口 ge 上的 pvlan100-0/0/0:Replication

  • 接口 ge 上的社团-1 VLAN-0/0/12:接收信息流

  • PVLAN 中继端口:流量从 ge-1/0/2 和 ae0 (带标记10)中退出

  • Community-2: 接口未接收到信息流

  • 隔离 Vlan:接口未接收到信息流

在这种情况下,此活动发生在交换机3:

  • 接口 ge 上的社团-1 VLAN-0/0/23 (PVLAN 干线):知识分享

  • 接口 ge 上的 pvlan100-0/0/23:Replication

  • 接口 ge 上的社团-1 VLAN-0/0/9 和 ge-0/0/16:接收信息流

  • 混杂中继端口:使用标记100从 ge-0/0/0 中退出流量

  • Community-2: 接口未接收到信息流

  • 隔离 Vlan:接口未接收到信息流

独立 VLAN 发送未标记流量

在这种情况下,接口 ge-1/0/0 上的交换机1上的隔离 VLAN1 会发送未加标签的信息流。中图 8的箭头表示此信息流。

图 8: 隔离 VLAN 发送未标记流量隔离 VLAN 发送未标记流量

在这种情况下,交换机1上会发生以下活动:

  • 接口 ge 上的隔离 VLAN1-1/0/0:知识分享

  • 接口 ge-1 上的 pvlan100/0/0:Replication

  • 流量从 pvlan-中继 ge-1/0/2 和 ae0 (带标记为50)退出

  • 社区-1 和群组-2:接口未接收到信息流

  • 隔离 Vlan:接口未接收到信息流

在这种情况下,此活动发生在交换机3:

  • 接口 ge 上的 VLAN-0/0/23 (PVLAN 中继端口):知识分享

  • 接口 ge0 上的 pvlan100/0/23:Replication

  • 混杂中继端口:使用标记100从 ge-0/0/0 中退出流量

  • 社区-1 和群组-2:接口未接收到信息流

  • 隔离 Vlan:不接收信息流

在混杂端口上发送的 PVLAN 标记流量

在这种情况下,PVLAN 标记信息流在混杂端口上发送。中图 9的箭头表示此信息流。

图 9: 在混杂端口上发送的 PVLAN 标记流量在混杂端口上发送的 PVLAN 标记流量

在这种情况下,交换机1上会发生以下活动:

  • 接口 ae0 上的 pvlan100 VLAN (PVLAN 干线):知识分享

  • 在接口 ae0 上的社团-1、团体-2 和所有孤立 Vlan:Replication

  • 接口 ae0 上的 VLAN:Replication

  • 使用标记100从 pvlan-中继 ge-1/0/2 中退出流量

  • 社区-1 和群组-2:接口接收信息流

  • 隔离 Vlan:接收流量

在这种情况下,此活动发生在交换机3:

  • 接口 ge 上的 pvlan100-0/0/0:知识分享

  • 在接口 ge 上的社区-1、团体-2 和所有孤立的 Vlan-0/0/0:Replication

  • 接口 ge 上的 VLAN-0/0/0:Replication

  • 社区-1 和群组-2:接口接收信息流

  • 隔离 Vlan:接收流量

了解 Pvlan 上的辅助 VLAN 中继端口和混杂接入端口

Vlan 将广播限制到指定用户。专用 Vlan (Pvlan)通过将 VLAN 拆分为多个广播子域,并实质上将辅助 Vlan 放在主 VLAN 中,进一步将此概念转化为一步。Pvlan 将流量限制在其成员端口上,以便这些端口仅与指定的上行链路中继端口或同一个 VLAN 中的指定端口通信。上行链路中继端口通常连接到路由器、防火墙、服务器或提供商网络。PVLAN 通常包含多个专用端口,它们仅与单个上行链路通信,从而防止端口相互通信。

辅助中继端口和混杂接入端口扩展 Pvlan 的功能,以便在复杂部署中使用,例如:

  • 企业 VMWare 基础架构环境

  • 具有虚拟机管理的多租户云服务

  • 面向多个客户的 Web 托管服务

例如,您可以使用辅助 VLAN 中继端口将 QFX 设备连接到配置有专用 Vlan 的 VMware 服务器。您可以使用混杂接入端口将 QFX 设备连接到不支持中继端口但需要参与专用 Vlan 的系统。

本主题介绍有关 QFX 系列上的 Pvlan 的以下概念:

PVLAN 端口类型

Pvlan 可使用以下不同的端口类型:

  • 聚合中继端口 — 不相接端口是连接到路由器、防火墙、服务器或提供商网络的上游中继端口。一个混杂的中继端口可与所有接口通信,包括 PVLAN 内的隔离端口和群组。

  • PVLAN 中继端口 — 多交换机 PVLAN 配置中需要一个 PVLAN 中继端口来跨越交换机。PVLAN 中继端口是 PVLAN 内所有 Vlan (即主要 VLAN、社区 Vlan 和交换机间隔离 VLAN)的成员,它可传送来自主要 VLAN 和所有辅助 Vlan 的流量。它可以与所有端口通信。

    PVLAN 中继端口与隔离端口之间的通信通常是单向的。PVLAN 中继端口在交换机间隔离 VLAN 中的成员仅会出口,也就是说,隔离端口可以将数据包转发至 PVLAN 中继端口,但 PVLAN 中继端口不会将数据包转发至隔离端口(除非数据包在一个不协调的接入端口上进入,因此被转发至与散乱端口相同的主 VLAN 中所有辅助 VLAN)。

  • 辅助 VLAN 中继端口 — 辅助 VLAN 中继端口可承载辅助 VLAN 流量。对于给定专用(主) VLAN,辅助 VLAN 中继端口只能传输一个辅助 VLAN 的流量。但是,只要每个辅助 vlan 是不同主 VLAN 的成员,辅助 VLAN 中继端口就可以传输多个辅助 Vlan 的流量。例如,辅助 VLAN 中继端口可以传输作为主 VLAN pvlan100 一部分的社区 VLAN 的流量,并且还会传输作为主 VLAN pvlan400 一部分的隔离 VLAN 的信息流。

    注:

    当从辅助 VLAN 中继端口 egresses 流量时,它通常会携带辅助端口所属的主 VLAN 的标签。如果您希望从辅助 VLAN 中继端口出口的流量保留其辅助 VLAN 标记,请使用 扩展-辅助 vlan id 语句。

  • 社区端口 — 社区端口相互通信并与其不相符合的端口进行通信。社区端口仅为选择的用户组提供服务。这些接口在其 PVLAN 内的其他社区或独立端口中的所有其他接口之间分开。

  • 隔离接入端口 — 隔离端口只有与不协调的端口和 PVLAN 中继端口才能进行第 2 层连接。即使这两个端口是同一隔离 VLAN 的成员,独立接入端口也无法与另一个孤立端口通信。

  • 不规则访问端口 — 这些端口承载未标记流量,只能是一个主 VLAN 的成员。在混杂接入端口上 ingresses 的流量将转发到作为混杂接入端口所属主要 VLAN 成员的辅助 Vlan 的端口。在这种情况下,如果辅助 vlan 端口为中继端口,则该流量在从辅助 VLAN 端口 egresses 时带有相应的辅助 VLAN 标记。如果在一个混杂接入端口上的辅助 VLAN 端口和 egresses 上的流量 ingresses,则流未标记在出口上。如果在混杂接入端口上标记的信息流 ingresses,信息流将被丢弃。

辅助 VLAN 中继端口详细信息

使用辅助 VLAN 中继端口时,请注意以下几点:

  • 您必须为辅助 VLAN 中继端口将参与的每个主 VLAN 配置隔离 VLAN ID。即使辅助 VLAN 中继端口将携带的次 Vlan 被限制在单个设备中也是如此。

  • 如果将端口配置为给定主 VLAN 的辅助 VLAN 中继端口,则还可以将相同的物理端口配置为以下任何一项:

    • 另一个主 VLAN 的辅助 VLAN 中继端口

    • 另一个主 VLAN 的 PVLAN 干线

    • 混杂中继端口

    • 非私有 VLAN 的接入端口

  • Ingresses 在 PVLAN 中继端口上的辅助 VLAN 中继端口(带有辅助 VLAN 标记)和 egresses 的流量保留出站上的辅助 VLAN 标记。

  • Ingresses 在混杂中继端口上的辅助 VLAN 中继端口和 egresses 上的流量在出口上具有相应的主 VLAN 标记。

  • Ingresses 在混杂接入端口上的辅助 VLAN 中继端口和 egresses 上的流量未标记在出口上。

  • 在具有辅助 VLAN 中继端口上的主 VLAN 标记和 egresses 的混杂中继端口上 ingresses 的流量在出口上带有相应的辅助 VLAN 标记。例如,假设您已在交换机上配置了以下内容:

    • 主 VLAN 100

    • 作为主要 VLAN 的一部分的社区 VLAN 200

    • 混杂中继端口

    • 用于携带社区 VLAN 200 的辅助中继端口

    如果在辅助 VLAN 中继端口上具有主 VLAN 标记100和 egresses 的混杂中继端口上的数据包 ingresses,则会在出口上携带标记200。

用例

在同一物理接口上,您可以配置多个辅助 VLAN 中继端口(在不同的主 Vlan 中)或将辅助 VLAN 中继端口与其他类型的 VLAN 端口相结合。以下用例提供了这样的示例,并显示了流量在每种情况下的流动方式:

两个主要 VLAN 中的辅助 VLAN 中继

对于此用例,假设您具有以下配置的两台交换机:

  • 带标记100的主 VLAN pvlan100。

    • 带标记200的隔离 VLAN isolated200 是 pvlan100 的成员。

    • 带有标记300的社区 VLAN comm300 是 pvlan100 的成员。

  • 带标记400的主 VLAN pvlan400。

    • 带标记500的隔离 VLAN isolated500 是 pvlan400 的成员。

    • 带有标记600的社区 VLAN comm600 是 pvlan400 的成员。

  • 接口 xe-0/0/0 在交换机1上连接到的 VMware 服务器(未显示)使用本示例中使用的专用 Vlan 进行配置。此接口配置为辅助 VLAN 中继端口以传送辅助 VLAN comm600 和 pvlan100 成员的隔离 VLAN (标记200)的流量。

  • Interface 2 上的接口 xe-0/0/0 显示配置为混杂中继端口或混杂接入端口。在后一种情况下,您可以假定它连接到不支持中继端口但配置了此示例中使用的专用 Vlan 的系统(未显示)。

  • 在交换机1上,xe 0/0/6 是 comm600 的成员,并配置为中继端口。

  • 在交换机2上,xe 0/0/6 是 comm600 的成员,并配置为接入端口。

图 10显示了此拓扑,以及 isolated200 和 comm600 的流量如何在位于1上的 xe-0/0/0 之后流动。请注意,流量仅在箭头指示的位置流动。例如,接口 xe 无箭头-0/0/2、xe-0/0/3、xe-0/0/5 (在交换机1上),因为这些接口上没有数据包。

图 10: 一个接口上的两个辅助 VLAN 中继端口一个接口上的两个辅助 VLAN 中继端口

以下是 VLAN isolated200 的信息流:

  1. Isolated200 ingresses 的流量在交换机1上的辅助 VLAN 中继端口上,它 egresses 在 PVLAN 中继端口上,因为 PVLAN 中继端口是所有 Vlan 的成员。Egressing 时,数据包将保留辅助 VLAN 标记(200)。
  2. Isolated200 ingresses 的信息流在交换机2上的辅助 VLAN 中继端口上 egresses,位于 xe-0/0/0 上,它被配置为混杂中继端口或混杂接入端口。
    • 如果在交换机2上 xe 0/0/0 配置为混杂中继端口,则使用主 VLAN 标记(100)在此端口上传出的数据包。

    • 如果在交换机2上 xe 0/0/0 配置为混杂访问端口,则此端口上的数据包出口未标记。

请注意,VLAN isolated200 的流量不会在独立接入端口 xe 上的传出-0/0/2 上、交换机1或辅助 VLAN 上的第 xe 上,即使这两个端口是同一隔离 VLAN 的成员,也是如此。

以下是 VLAN comm600 的信息流:

  1. Comm600 ingresses 的流量在交换机1上的辅助 VLAN 中继端口上,它 egresses 在 PVLAN 中继端口上,因为 PVLAN 中继端口是所有 Vlan 的成员。Egressing 时,数据包将保留辅助 VLAN 标记(600)。

  2. Comm600 的流量也 egresses 在交换机1上的社区端口 xe-0/0/6 上。该信息流被标记,因为该端口配置为主干。

  3. 在交换机2上的 PVLAN 中继端口上的 comm600 ingresses 的流量之后,如果此接口配置为混杂中继端口,则它 egresses 位于 xe-0/0。

    注:

    如果在交换机2上 xe 0/0/0 配置为混杂接入端口,则端口只能参与一个主 VLAN。在这种情况下,混杂接入端口是 pvlan100 的一部分,因此 comm600 的流量不会从其出口

  4. Comm600 的流量也 egresses 在交换机2上的社区端口 xe-0/0/6 上。在这种情况下,流量未标记,因为端口模式是接入。

辅助 VLAN 干线和混杂干线

对于此用例,假设您已使用与前用例相同的端口和 Vlan 配置了两个交换机,但有一个例外:在这种情况下,交换机1上的 xe 0/0/0 配置为 VLAN pvlan100 的辅助 VLAN 中继端口,也配置为 pvlan400 的混杂中继端口。

图 11显示了此拓扑结构,以及 isolated200 (pvlan100 成员)和 comm600 (pvlan400 成员)的流量在交换机1上的 ingressing 之后的流动方式。

图 11: 一个接口上的辅助 VLAN 干线和混杂干线一个接口上的辅助 VLAN 干线和混杂干线

VLAN isolated200 的流量流与在上一个用例中的信息流相同,但 comm600 的流量不同。以下是 VLAN comm600 的信息流:

  1. Comm600 ingresses 的信息流在交换机1上的社区 VLAN 端口 xe-0/0/6 上,it egresses 在交换机1上的混杂中继端口 xe-0/0/0。在这种情况下,它会携带主 VLAN 标记(400)。
  2. Comm600 的流量也 egresses 在 PVLAN 中继端口上,因为 PVLAN 中继端口是所有 Vlan 的成员。Egressing 时,数据包将保留辅助 VLAN 标记(600)。
  3. 在交换机2上的 PVLAN 中继端口上的 comm600 ingresses 的流量之后,如果此接口配置为混杂中继端口,则它 egresses 位于 xe-0/0。

    如果此接口配置为混杂访问端口,则它不会在 xe 上外出,因为该端口只能参与 pvlan100。

  4. Comm600 的流量也 egresses 在交换机2上的社区端口 xe-0/0/6 上。

辅助 VLAN 干线和 PVLAN 干线

对于此用例,假设您使用与前用例中相同的端口和 Vlan 配置的两个交换机,但在交换机1上的 xe 0/0/0 配置为 VLAN pvlan100 的辅助 VLAN 中继端口,也配置为 pvlan400 的 PVLAN 中继端口。

图 12显示了此拓扑结构,以及 comm300 (pvlan100 成员)和 comm600 (pvlan400 成员)的流量在交换机1上的 ingressing 之后的流动方式。

图 12: 一个接口上的辅助 VLAN 干线和 PVLAN 干线一个接口上的辅助 VLAN 干线和 PVLAN 干线

以下是 VLAN comm300 的信息流:

  1. 在交换机1上的 comm300 ingresses 的流量在社区端口 xe 上(0/0/3),it egresses 在 PVLAN 中继端口 xe-0/0/1 上,因为 PVLAN 中继端口是所有 Vlan 的成员。Egressing 时,数据包将保留辅助 VLAN 标记(300)。
    注:

    Comm300 的流量不在 xe-0/0/0 上出口,因为此接口上的辅助 VLAN 中继端口带有 isolated200,而不是 comm300。

  2. 在交换机2的 PVLAN 中继端口上 comm300 ingresses 的流量之后,它 egresses 位于 xe-0/0/0 上,该设置被配置为混杂中继端口或混杂接入端口。
    • 如果在交换机2上 xe 0/0/0 配置为混杂中继端口,则使用主 VLAN 标记(100)在此端口上传出的数据包。

    • 如果在交换机2上 xe 0/0/0 配置为混杂访问端口,则此端口上的数据包出口未标记。

  3. Comm300 的流量也 egresses 在交换机2上的社区端口 xe-0/0/3 上。

以下是 VLAN comm600 的信息流:

  1. 在交换机1上的 PVLAN 端口 xe-0/0/0 上的 comm600 ingresses 流量之后,它 egresses 位于交换机1上的社区端口 xe-0/0/6 上。Egressing 时,数据包将保留辅助 VLAN 标记(600),因为 xe-0/0/6 是中继端口。

  2. Comm600 的流量也 egresses PVLAN 中继端口 xe-0/0/1,因为 PVLAN 中继端口是所有 Vlan 的成员。Egressing 时,数据包将保留辅助 VLAN 标记(600)。

  3. 在交换机2上的 PVLAN 中继端口上的 comm600 ingresses 的流量之后,如果此接口配置为混杂中继端口,则它 egresses 位于 xe-0/0。

    如果此接口配置为混杂访问端口,则它不会在 xe 上外出,因为该端口只能参与 pvlan100。

  4. Comm600 的流量也 egresses 在交换机2上的社区端口 xe-0/0/6 上。由于 xe 0/0/6 是接入端口,此信息流在出口上未加标记。

辅助 VLAN 干线和非专用 VLAN 接口

对于此用例,假设您已使用与前用例相同的端口和 Vlan 配置两个交换机,但这些差异除外:

  • On 交换机1上的 xe 0/0/0 配置:

    • 用于 VLAN pvlan100 的辅助 VLAN 中继端口

    • Vlan700 接入端口

  • 两台交换机上的端口 xe-0/0/6 是用于 vlan700 的接入端口。

图 13显示了此拓扑以及 isolated200 (pvlan100 成员)和 vlan700 如何在交换机1上 ingressing 之后的流量。

图 13: 一个接口上的辅助 VLAN 中继和非专用 VLAN 端口一个接口上的辅助 VLAN 中继和非专用 VLAN 端口

以下是 VLAN isolated200 的信息流:

  1. Isolated200 ingresses 的信息流在交换机1上的辅助 VLAN trunk 端口上,在 PVLAN 中继端口上 egresses。Egressing 时,数据包将保留辅助 VLAN 标记(200)。
  2. 在交换机2的 PVLAN 中继端口上 isolated200 ingresses 的流量之后,它 egresses 位于 xe-0/0/0 上,该设置被配置为混杂中继端口或混杂接入端口。
    • 如果在交换机2上 xe 0/0/0 配置为混杂中继端口,则使用主 VLAN 标记(100)在此端口上传出的数据包。

    • 如果在交换机2上 xe 0/0/0 配置为混杂访问端口,则此端口上的数据包出口未标记。

请注意,VLAN isolated200 的流量不会在独立接入端口 xe 上的传出-0/0/2 上、交换机1或辅助 VLAN 上的第 xe 上,即使这两个端口是同一隔离 VLAN 的成员,也是如此。

Vlan700 ingresses 的信息流在交换机1上的 xe-0/0/0 上配置的接入端口上,在接入端口 xe 上 egresses,因为该端口是同一 VLAN 的成员。Vlan700 的流量不会转发到交换机2(即使位于开关2上的 xe 0/0/6 是 vlan700 的成员),因为 xe-0/1 上的 PVLAN 主干不携带此 VLAN。

混杂接入端口上的流量 Ingressing

对于此用例,假设您已使用与前用例中的 xe-0/0/0 配置为混杂接入端口且是 pvlan100 成员的两个交换机配置有相同的端口和 Vlan。图 14显示了此拓扑以及未标记信息流在 Ingressing 通过交换机1上的此接口之后的流动方式。

图 14: 混杂接入端口上的流量 Ingressing混杂接入端口上的流量 Ingressing

如图中所示,在混杂接入端口上 ingresses 的未标记流量将转发到所有辅助 VLAN 端口,它们是混杂接入端口所属的同一主 VLAN 的成员。当 egresses 来自接入端口并标记出中继端口(xe-0/0/2 上的交换机2)上的邮件时,该信息流处于未标记。

在同一接口上同时使用 802.1 X 身份验证和专用 Vlan

了解在同一接口上同时使用 802.1 X 身份验证和 Pvlan

您现在可以在同一接口上配置 802.1 X 身份验证和专用 Vlan (Pvlan)。

IEEE 802.1X 身份验证提供网络边缘安全,通过阻止来自接口请求方(客户端)的所有流量,直到在身份验证服务器(RADIUS 服务器)上显示并匹配请求方凭据,保护以太网 LAN 免遭未经授权的用户访问。

专用 Vlan (Pvlan)在 VLAN 内的端口之间提供2层隔离,通过创建辅助 Vlan 将广播域拆分为多个离散的广播子域。Pvlan 有助于限制广播流量和未知单播信息流,并限制已知主机之间的通信。

在配置了 802.1 X 身份验证和 Pvlan 的交换机上,将新设备连接到 PVLAN 网络时,将对设备进行身份验证,然后根据 PVLAN 配置或 RADIUS 配置文件将其分配给辅助 VLAN。然后,设备获得 IP 地址,并被授予访问 PVLAN 网络的权限。

注:

本文档不提供有关 802.1 X 身份验证或专用 Vlan 的详细信息。有关这些详细信息,请参阅特定于这些单独功能的功能文档。对于 802.1 X,请参阅用户访问和认证用户指南。有关 Pvlan,请参阅《以太网交换用户指南》

将 802.1 X 身份验证与 Pvlan 结合使用的配置准则

在相同接口上配置这两个功能时,请记住以下准则和限制:

  • 不能将 802.1 X 启用的接口配置为混杂接口(即配置为主 VLAN 成员的接口),也不能作为交换机间链路(ISL)接口。

  • 多个用户无法通过逻辑接口上属于同一 PVLAN 域的不同 VLAN 进行身份验证—例如,如果接口 ge-0/0/0 配置为且客户端 C1 和 C2 已通过认证,并分别添加到动态 VLAN V1 和 V2 中,则 V1 和 V2 必须属于不同的 supplicant multiple PVLAN 域。

  • 如果 VoIP VLAN 和数据 VLAN 不同,则这两个 Vlan 必须位于不同的 PVLAN 域中。

  • 更改 PVLAN 成员身份(即在不同的 PVLAN 中重新配置接口)时,客户端必须重新进行身份验证。

示例:在一个配置中使用专用 Vlan 配置 802.1 X 身份验证

要求

  • Junos OS Release 18.2 R1 或更高版本

  • EX2300、EX3400 或 EX4300 交换机

开始之前,请指定要用作认证服务器的 RADIUS 台或服务器。请参阅在交换机上指定 RADIUS 服务器连接(CLI 过程)

概述

以下配置部分显示访问配置文件配置、802.1 X 身份验证配置,最后是 Vlan (包括 Pvlan)配置。

在一个配置中使用专用 Vlan 配置 802.1 X 身份验证

操作
CLI 快速配置
分步过程

要在一个配置中配置 802.1 X 身份验证和 Pvlan:

  1. 配置接入配置文件:

    注:

    配置的 VoIP VLAN 不能是 PVLAN (主要、社区或隔离)。

  2. 配置 802.1 X 设置:

    注:

    配置的数据 VLAN 也可以是一个社区 VLAN 或一个独立的 VLAN。

  3. 配置 Vlan (包括 Pvlan):

成果

从配置模式,在交换机上输入以下show命令以确认您的配置。如果输出未显示预期的配置,请重复此示例中的说明以更正配置。

针对

验证在主 VLAN 上是否了解客户端 MAC 地址
用途

显示已在主 VLAN 上了解的客户端 MAC 地址。

行动
验证主 VLAN 是否为经过身份验证的 VLAN
用途

显示主 VLAN 显示为经过身份验证的 VLAN。

行动

在专用 Vlan 上放置接入端口安全性

了解 Pvlan 上的接入端口安全

您现在可以在专用 Vlan (Pvlan)上启用接入端口安全功能,例如 DHCP 侦听。

出于安全考虑,限制广播流量和未知单播信息流,甚至限制已知主机之间的通信通常很有用。PVLAN 功能允许您将广播域拆分为多个独立的广播子域,实质上是在 VLAN 内部放置一个 VLAN。

以太网 Lan 容易受到网络设备上地址欺骗(伪造)和第2层拒绝服务(DoS)等攻击。以下接入端口安全功能有助于保护您的设备免遭此类攻击可能导致的信息和生产力的损失,并且您现在可以在 PVLAN 上配置这些安全功能:

  • DHCP 窥探 — 过滤并阻止不可信端口上的入口 DHCP 服务器消息。DHCP 侦听构建并维护一个数据库,其中的 DHCP 租用信息称为 DHCP 侦听数据库。

  • DHCPv6 窥探— IPv6 的 DHCP 窥探。

  • DHCP option 82 — 又称为 DHCP 中继代理信息选项。帮助保护交换机免遭攻击,如欺骗 IP 地址和 MAC 地址以及 DHCP IP 地址不足。选项82提供有关 DHCP 客户端的网络位置的信息。DHCP 服务器使用这些信息来为客户端实施 IP 地址或其他参数。

  • DHCPv6 选项:

    • 选项 37— DHCPv6 的远程 ID 选项;将有关远程主机网络位置的信息插入 DHCPv6 数据包中。

    • 选项 18 — DHCPv6 的电路 ID 选项;将有关客户端端口的信息插入 DHCPv6 数据包中。

    • 选项 16—DHCPv6 的供应商 ID 选项;将有关客户端硬件供应商的信息插入 DHCPv6 数据包中。

  • 动态 ARP 检查 (DAI) — 防止地址解析协议 (ARP) 欺骗攻击。ARP 请求和回复将与 DHCP 侦听数据库中的条目进行比较,并根据这些比较结果做出过滤决策。

  • IP 源保护 - 缓解 IP 地址欺骗攻击对以太网 LAN 的影响;根据 DHCP 窥探数据库,验证来自不可信接入接口的数据包中的源 IP 地址。如果数据包无法验证,将被丢弃。

  • IPv6 源保护 — IPv6 的 IP 源保护。

  • IPv6 邻居发现检测 — 防止 IPv6 地址欺骗攻击;比较邻接方发现请求和回复 DHCPv6 窥探数据库中的条目,并基于这些比较的结果做出过滤决策。

注:

本文档不提供有关接入端口安全功能或 Pvlan 的详细信息。有关这些详细信息,请参阅特定于这些单独功能的功能文档。有关接入端口的安全性,请参阅安全服务管理指南。有关 Pvlan,请参阅《以太网交换用户指南》

在 Pvlan 上放置接入端口安全功能的配置准则

在 Pvlan 上配置接入端口安全功能时,请记住以下准则和限制:

  • 您必须在主 vlan 及其所有辅助 Vlan 上应用相同的接入端口安全功能。

  • 一个 PVLAN 只能有一个集成路由和桥接(IRB)接口,而 IRB 接口必须位于主 VLAN 上。

  • Pvlan 上的接入端口安全配置限制与不在 Pvlan 中的接入端口安全功能配置相同。请参阅安全服务管理指南中的接入端口安全文档。

示例:在 PVLAN 上配置接入端口安全

要求

  • Junos OS Release 18.2 R1 或更高版本

  • EX4300 交换机

概述

以下配置部分显示:

  • 配置专用 VLAN,以及主 VLAN ( ) 及其三个辅助 vlan-privlan-hr VLAN—公共组 VLAN( 和 )和隔离 vlan-finance VLAN ( vlan-iso )。

  • 接口的配置,用于在这些 Vlan 上的接口之间发送通信。

  • 在构成 PVLAN 的主要和辅助 Vlan 上配置接入安全功能。

表 5列出了示例拓扑的设置。

表 5: 拓扑的组件,用于使用接入端口安全功能配置 PVLAN
接口 说明

ge-0/0/0.0

主 VLAN (vlan1-pri)中继接口

ge-0/0/11.0

用户1、人力资源社区(vlan-HR)

ge-0/0/12.0

用户2、人力资源社区(vlan-HR)

ge-0/0/13.0

用户3,财务社区(vlan-财务)

ge-0/0/14.0

用户4,财务社区(vlan-财务)

ge-0/0/15.0

邮件服务器,孤立(vlan-iso)

ge-0/0/16.0

备份服务器,已隔离(vlan-iso)

ge-1/0/0.0

主 VLAN (VLAN pri)中继接口

在 PVLAN 上配置接入端口安全

操作
CLI 快速配置
分步过程

要配置专用 VLAN (PVLAN),然后在该 PVLAN 上配置接入端口安全功能:

  1. 配置 PVLAN — 创建主要 VLAN 及其辅助 VLAN 并将 VLAN ID 分配至这些 VLAN。将接口与 Vlan 关联。(有关配置 Vlan 的详细信息,请参阅使用 ELS 支持(CLI 过程)为 EX 系列交换机配置 vlan。)

  2. 在主 VLAN 及其所有辅助 Vlan 上配置接入端口安全功能:

    注:

    当您配置 ARP 检测时,IP 源保护、IPv6 源保护、邻居发现检测、DHCP 选项82或 DHCPv6 选项,则会自动配置 DHCP 侦听和 DHCPv6 侦听。

成果

从配置模式,在交换机上输入以下show命令以确认您的配置。如果输出未显示预期的配置,请重复此示例中的说明以更正配置。

针对

验证接入安全功能是否按预期方式工作
用途

验证您在 PVLAN 上配置的接入端口安全功能是否按预期方式工作。

行动

使用show dhcp-securityclear dhcp-security CLI 命令验证功能是否按预期方式工作。请参阅《安全服务管理指南》中有关这些命令的详细信息。

使用 ELS 支持在单个交换机上创建专用 VLAN (CLI 过程)

注:

此任务使用支持增强型第2层软件(ELS)配置样式的交换机的 Junos OS。如果 EX 系列交换机运行不支持 ELS 的软件,请参阅在单个 EX 系列交换机(CLI 过程)上创建专用 VLAN。有关 ELS 详细信息,请参阅使用增强型第2层软件 CLI

注:

运行 Junos OS 版本 15.1 X53 的 QFX5100 交换机和 QFX10002 交换机上不支持私有 Vlan。

出于安全考虑,限制广播流和未知单播信息流或限制已知主机之间的通信通常很有用。专用 Vlan (Pvlan)允许您将广播域(主 VLAN)拆分为多个独立的广播子域(辅助 Vlan),实质上是在 VLAN 内部放置一个 VLAN。此过程介绍如何在单个交换机上创建 PVLAN。

注:

即使 PVLAN 是在单个交换机上配置的,您也必须为每个辅助 VLAN 指定 VLAN ID。

您无需预先配置主 VLAN。本主题显示了作为此 PVLAN 配置过程的一部分配置的主要 VLAN。

有关配置 Pvlan 的准则列表,请参阅了解专用 vlan

要在单个交换机上配置专用 VLAN:

  1. 设置主 VLAN 的 VLAN ID:
  2. 在主 VLAN 中至少配置一个接口,使其与 PVLAN 的所有子域通信。此接口充当一个混杂端口。它可以是中继端口或接入端口。
  3. 将主 VLAN 的另一个混杂接口配置为中继端口,以便将 PVLAN 连接到外部路由器或交换机:
  4. 通过选择的isolatedprivate-vlan选项以及为隔离的 vlan 设置 VLAN ID,可创建隔离的 vlan:
    注:

    您只能在专用 VLAN 中创建一个隔离 VLAN。为隔离 VLAN 设置 VLAN 名称是可选的。需要配置 VLAN ID。

  5. 通过选择的community选项以及为此社区 VLAN private-vlan设置 VLAN ID,创建社区 vlan:
    注:

    要创建其他社区 Vlan,请重复此步骤,并为该社区 VLAN 指定不同的名称。为社区 VLAN 设置 VLAN 名称是可选的。需要配置 VLAN ID。

  6. 将隔离 VLAN 与主 VLAN 相关联:
  7. 将每个社区 VLAN 与主 VLAN 关联:
  8. 如果尚未执行此操作,请至少配置隔离 VLAN 的一个接口。
  9. 如果尚未执行此操作,请至少配置一个社区 VLAN 接口。
    注:

    在要包括在 PVLAN 中的其他群组 Vlan 上重复相同的步骤。

在单个 QFX 交换机上创建专用 VLAN

出于安全考虑,限制广播流量和未知单播信息流,甚至限制已知主机之间的通信通常很有用。专用 VLAN (PVLAN)功能允许您将广播域拆分为多个独立的广播子域,实质上是将辅助 VLAN 放在主 VLAN 中。本主题介绍如何在单个交换机上配置 PVLAN。

开始之前,请为将成为主 VLAN 一部分的所有辅助 Vlan 配置名称。(无需预配置主 VLAN - 已配置为此过程的一部分。)无需为辅助 VLAN 创建 VLANID(标记)。如果标记辅助 VLAN,则不会影响其运行,但在单个交换机上配置辅助 Vlan 时不会使用标记。

配置 PVLAN 时请记住以下规则:

  • 主 VLAN 必须为标记的 VLAN。

  • 如果您打算配置一个社区 VLAN,则必须先配置主 VLAN 和 PVLAN 中继端口。您还必须使用pvlan语句将主 VLAN 配置为私有。

  • 如果您打算配置隔离的 VLAN,则必须先配置主 VLAN 和 PVLAN 中继端口。

如果您按照显示的顺序完成配置步骤,则不会违反这些 PVLAN 规则。要在单个交换机上配置专用 VLAN:

  1. 为主要 VLAN 设置名称和 VLAN ID (802.1 Q 标记):
  2. 将 VLAN 配置为私有:
  3. 为主要 VLAN 配置中继接口:
  4. 将中继接口添加到主 VLAN:
  5. 配置社区(第二) Vlan 的接入接口:
  6. 将接入接口添加到社区 Vlan:
  7. 对于每个社区 VLAN,设置主 VLAN:
  8. 配置隔离端口:

在单个 EX 系列交换机上创建专用 VLAN (CLI 过程)

出于安全考虑,限制广播流量和未知单播信息流,甚至限制已知主机之间的通信通常很有用。EX 系列交换机上的专用 VLAN (PVLAN)功能允许您将广播域(又称为主 VLAN)拆分为多个独立的广播子域,也称为辅助 Vlan。将主要 VLAN 拆分为辅助 Vlan 实质上会将 VLAN 嵌套在另一个 VLAN 内。本主题介绍如何在单个交换机上配置 PVLAN。

开始之前,请为将成为主 VLAN 一部分的所有辅助 Vlan 配置名称。(与辅助 VLAN 不同,无需预配置主 VLAN — 此过程提供主 VLAN 的完整配置。)虽然单个交换机上配置辅助 VLAN 时不需要标记,但将辅助 VLAN 配置为已标记不会影响其功能。有关配置辅助 Vlan 的说明,请参阅配置 EX 系列交换机的 vlan

在单个交换机上配置 PVLAN 时,请记住以下规则:

  • 主 VLAN 必须为标记的 VLAN。

  • 不支持在 PVLAN 接口上配置 VoIP VLAN。

要在单个交换机上配置专用 VLAN:

  1. 设置主 VLAN 的 VLAN ID:
  2. 设置接口和端口模式:
  3. 配置主 VLAN 中的接入端口,使其不会转发数据包彼此之间:
  4. 对于每个社区 VLAN,配置接入接口:
  5. 对于每个社区 VLAN,设置主 VLAN:

隔离 Vlan 不会作为此进程的一部分进行配置。如果主 VLAN 上已启用,且隔离的 VLAN 具有访问接口作为成员,则它们改为 no-local-switching 在内部创建。

要使用路由 VLAN 接口(RVI)代替混合端口连接到路由器,可选择在隔离和社区 Vlan 之间实现路由,请参阅在 EX 系列交换机上的专用 VLAN 中配置路由 VLAN 接口

注:

只有 EX8200 交换机或 EX8200 虚拟机箱才支持使用 RVI 在 PVLAN 域中的隔离和社区 Vlan 之间路由第3层信息流。

创建跨越多个 QFX 系列交换机的专用 VLAN

出于安全考虑,限制广播流量和未知单播信息流,甚至限制已知主机之间的通信通常很有用。专用 VLAN (PVLAN)功能允许您将广播域拆分为多个独立的广播子域,实质上是将辅助 VLAN 放在主 VLAN 中。本主题介绍如何配置 PVLAN 以跨越多台交换机。

开始之前,请为将成为主 VLAN 一部分的所有辅助 Vlan 配置名称。(无需预配置主 VLAN - 已配置为此过程的一部分。)无需为辅助 VLAN 创建 VLANID(标记)。如果标记辅助 VLAN,则不会影响其运行,但在单个交换机上配置辅助 Vlan 时不会使用标记。

以下规则适用于创建 Pvlan:

  • 主 VLAN 必须为标记的 VLAN。

  • 如果您打算配置一个社区 VLAN,则必须先配置主 VLAN 和 PVLAN 中继端口。您还必须使用pvlan语句将主 VLAN 配置为私有。

  • 如果您打算配置隔离的 VLAN,则必须先配置主 VLAN 和 PVLAN 中继端口。

如果您按照显示的顺序完成配置步骤,则不会违反这些 PVLAN 规则。要配置专用 VLAN 以跨越多台交换机:

  1. 为主要 VLAN 设置名称和 VLAN ID (802.1 Q 标记):
  2. 将 VLAN 配置为私有:
  3. 为主要 VLAN 配置中继接口:
  4. 将中继接口添加到主 VLAN:
  5. 配置社区(第二) Vlan 的接入接口:
  6. 将接入接口添加到社区 Vlan:
  7. 对于每个社区 VLAN,设置主 VLAN:
  8. 配置隔离的 VLAN ID,以创建跨越交换机的交换机间隔离域:
  9. 配置隔离端口:

使用 ELS 支持创建专用 VLAN 跨越多个 EX 系列交换机(CLI 过程)

注:

此任务将 EX 系列交换机的 Junos OS 与增强型第2层软件(ELS)配置样式结合使用如果您的交换机运行不支持 ELS 的软件,请参阅创建跨越多个 EX 系列交换机的专用 VLAN (CLI 过程)。有关 ELS 详细信息,请参阅使用增强型第2层软件 CLI

注:

运行 Junos OS 版本 15.1 X53 的 QFX5100 交换机和 QFX10002 交换机上不支持私有 Vlan。

出于安全考虑,限制广播流和未知单播信息流或限制已知主机之间的通信通常很有用。专用 Vlan (Pvlan)允许您将广播域(主 VLAN)拆分为多个独立的广播子域(辅助 Vlan),实质上是在 VLAN 内部放置一个 VLAN。此过程介绍如何配置 PVLAN 以跨越多台交换机。

有关配置 Pvlan 的准则列表,请参阅了解专用 vlan

要将 PVLAN 配置为跨越多个交换机,请在所有要参与 PVLAN 的交换机上执行以下步骤:

  1. 通过设置唯一 VLAN 名称并为 VLAN 指定 802.1 Q 标记来创建主 VLAN:
  2. 在将连接到路由器的交换机上,将混杂接口配置为中继端口,以便将 PVLAN 连接到路由器:
  3. 在所有交换机上,将中继接口配置为将用于相互连接交换机的交换机间链路(ISL):
  4. 在主 VLAN 中创建隔离 VLAN isolatedprivate-vlan,方法是选择的选项,然后为隔离的 vlan 设置 VLAN ID:
    注:

    您只能在专用 VLAN 中创建一个隔离 VLAN。隔离 VLAN 可包含多个交换机中构成 PVLAN 的成员接口。

    为隔离 VLAN 设置 VLAN 名称是可选的。需要配置 VLAN ID。

  5. 在主 VLAN 中创建一个社区 VLAN communityprivate-vlan,方法是选择的选项,并为此社区 vlan 设置 VLAN ID:
    注:

    要创建其他社区 Vlan,请重复此步骤,并为该社区 VLAN 指定不同的名称。为社区 VLAN 设置 VLAN 名称是可选的。需要配置 VLAN ID。

  6. 将隔离 VLAN 与主 VLAN 相关联:
  7. 将每个社区 VLAN 与主 VLAN 关联:
  8. 如果尚未执行此操作,请将至少一个访问接口配置为隔离 VLAN 的成员。
  9. 如果尚未执行此操作,请将至少一个接入接口配置为社区 VLAN 的成员。
    注:

    对您包含在 PVLAN 中的其他群组 Vlan 重复此步骤。

创建跨越多个 EX 系列交换机的私有 VLAN (CLI 过程)

出于安全考虑,限制广播流量和未知单播信息流,甚至限制已知主机之间的通信通常很有用。EX 系列交换机上的专用 VLAN (PVLAN)功能使管理员能够将广播域(又称为主 VLAN)拆分为多个独立的广播子域,也称为辅助 Vlan。将主要 VLAN 拆分为辅助 Vlan 实质上会将 VLAN 嵌套在另一个 VLAN 内。本主题介绍如何配置 PVLAN 以跨越多台交换机。

开始之前,请为将成为主 VLAN 一部分的所有辅助 Vlan 配置名称。(与辅助 VLAN 不同,无需预配置主 VLAN — 此过程提供主 VLAN 的完整配置。)有关配置辅助 VLA 的说明,请参阅 为 EX 系列交换机 配置 VLAN

以下规则适用于创建 Pvlan:

  • 主 VLAN 必须为标记的 VLAN。

  • 配置辅助 Vlan 之前,必须先配置主 VLAN 和 PVLAN 中继端口。

  • 不支持在 PVLAN 接口上配置 VoIP VLAN。

  • 如果在 PVLAN 中继端口上配置了多个 VLAN 注册协议(MVRP),则必须使用相同的提交操作提交辅助 Vlan 和 PVLAN 中继端口的配置。

要配置专用 VLAN 以跨越多台交换机:

  1. 为主要 VLAN 配置名称和 802.1 Q 标记:。
  2. 将主 VLAN 设置为不使用本地交换:
  3. 设置用于将主 VLAN 连接到邻接交换机的 PVLAN 中继接口:
  4. 为跨越交换机的社区 VLAN 配置 name 和 802.1 Q 标记:
  5. 向社区 VLAN 添加接入接口:
  6. 指定指定社区 VLAN 的主 VLAN:
  7. 将隔离接口添加到指定的主 VLAN:
    注:

    要配置隔离接口,请将其作为主要 VLAN 的一个成员包括在内,但不要将其配置为属于某个社区 Vlan。

  8. 设置交换机间隔离 VLAN 的 802.1 Q 标记:

    802.1 q 标记对于交换机间隔离 Vlan 是必需的,因为 IEEE 802.1 Q 使用一种内部标记机制,中继设备将4字节 VLAN 帧标识选项卡插入数据包标头。

要使用路由 VLAN 接口(RVI)代替混合端口连接到路由器,可选择在隔离和社区 Vlan 之间实现路由,请参阅在 EX 系列交换机上的专用 VLAN 中配置路由 VLAN 接口

注:

只有 EX8200 交换机或 EX8200 虚拟机箱才支持使用 RVI 在 PVLAN 域中的隔离和社区 Vlan 之间路由第3层信息流。

示例:使用 ELS 支持在单个交换机上配置专用 VLAN

注:

此示例使用 Junos OS 作为交换机,支持增强型第2层软件(ELS)配置样式。如果您的 EX 交换机运行的软件不支持 ELS,请参阅 示例:在单个 EX 系列交换机上配置专用 VLAN。有关 ELS 详细信息,请参阅使用增强型第2层软件 CLI

注:

运行 Junos OS 版本 15.1 X53 的 QFX5100 交换机和 QFX10002 交换机上不支持私有 Vlan。

出于安全考虑,限制广播流和未知单播信息流或限制已知主机之间的通信通常很有用。专用 Vlan (Pvlan)允许您将广播域(主 VLAN)拆分为多个独立的广播子域(辅助 Vlan),实质上是在 VLAN 内部放置一个 VLAN。

本示例介绍如何在单个交换机上创建 PVLAN:

要求

此示例使用以下硬件和软件组件:

  • 一个 Junos OS 交换机

  • Junos OS 版本 14.1 x53-d EX 系列交换机或更高版本

    Junos OS 版本 14.1 X53-D15 或更高版本,用于 QFX 系列交换机

概述和拓扑

您可以隔离用户组以提高安全性和效率。此配置示例使用简单的拓扑结构演示如何使用一个主 VLAN 和三个辅助 Vlan (一个隔离 VLAN 和两个群组 Vlan)创建 PVLAN。

表 6列出了示例中所用拓扑的接口。

表 6: 用于配置 PVLAN 的拓扑接口
接口 Description

ge-0/0/0

ge-1/0/0

混杂成员端口

ge-0/0/11ge-0/0/12

HR 社区 VLAN 成员端口

ge-0/0/13ge-0/0/14

财务社区 VLAN 成员端口

ge-0/0/15ge-0/0/16

独立成员端口

表 7列出了示例中使用的拓扑的 VLAN Id。

表 7: 拓扑中的 VLAN Id,用于配置 PVLAN
VLAN ID Description

100

主 VLAN

200

HR 社区 VLAN

300

金融社区 VLAN

400

隔离 VLAN

图 15显示了此示例的拓扑。

图 15: 单个 EX 系列交换机上的专用 VLAN 拓扑单个 EX 系列交换机上的专用 VLAN 拓扑

配置

您可以将现有 VLAN 用作专用 PVLAN 的基础,并在其中创建子域。此示例将创建一个主 VLAN(使用 VLAN 名称 vlan-pri )作为此过程的一部分。

要配置 PVLAN,请执行以下任务:

CLI 快速配置

要快速创建和配置 PVLAN,请复制以下命令并将其粘贴到交换机端子窗口中:

操作

分步过程

要配置 PVLAN:

  1. 创建专用 VLAN 的主 VLAN(此示例中的名称 vlan-pri 为 ):

  2. 创建隔离的 VLAN 并为其分配一个 VLAN ID:

  3. 创建 HR 社区 VLAN 并为其分配一个 VLAN ID:

  4. 创建财务社区 VLAN 并为其分配一个 VLAN ID:

  5. 将辅助 Vlan 与主 VLAN 相关联:

  6. 将接口设置为相应的接口模式:

  7. 配置主 VLAN 的混杂中继接口。此接口由主要 VLAN 用于与辅助 Vlan 通信。

  8. 配置主 VLAN 的另一个中继接口(也是一个混杂接口),并将 PVLAN 连接到路由器。

示例:在单个 QFX 系列交换机上配置专用 VLAN

出于安全考虑,限制广播流量和未知单播信息流,甚至限制已知主机之间的通信通常很有用。专用 VLAN (PVLAN)功能允许管理员将广播域拆分为多个独立的广播子域,实质上是在 VLAN 内部放置一个 VLAN。

本示例介绍如何在单个交换机上创建 PVLAN:

要求

此示例使用以下硬件和软件组件:

  • 一个 QFX3500 设备

  • QFX 系列 Junos OS 版本12.1 或更高版本

开始配置 PVLAN 之前,请确保您已创建并配置了必要的 Vlan。请参阅在交换机上配置 Vlan

概述和拓扑

在具有多个建筑物和 Vlan 的大型办事处中,您可能需要隔离某些工作组或其他端点,以了解安全原因或划分广播域。此配置示例显示了一个简单的拓扑,用于说明如何创建包含一个主 VLAN 和两个社区 VLAN(一个用于人力资源、一个财务)的 PVLAN,以及两个隔离端口(一个用于邮件服务器,另一个用于备份服务器)。

表 8列出了示例拓扑的设置。

表 8: 用于配置 PVLAN 的拓扑组件
接口 Description

ge-0/0/0.0

主 VLAN (pvlan100)中继接口

ge-0/0/11.0

用户1、人力资源社区(hr-comm

ge-0/0/12.0

用户2、人力资源社区(hr-comm

ge-0/0/13.0

用户3、金融社区(finance-comm

ge-0/0/14.0

用户4、金融社区(finance-comm

ge-0/0/15.0

邮件服务器,独立主机(isolated

ge-0/0/16.0

备份服务器,独立主机(isolated

ge-1/0/0.0

主 VLAN (pvlan100)中继接口

配置

CLI 快速配置

要快速创建和配置 PVLAN,请复制以下命令并将其粘贴到交换机端子窗口中:

操作

分步过程

要配置 PVLAN:

  1. 设置主 VLAN 的 VLAN ID:

  2. 设置接口和端口模式:

  3. 将主 VLAN 设置为不使用本地交换:

    注:

    主 VLAN 必须为标记的 VLAN。

  4. 将中继接口添加到主 VLAN:

  5. 对于每个辅助 VLAN,配置接入接口:

    注:

    建议辅助 Vlan 为未标记 Vlan。如果为辅助 VLAN 标记,则不会影响其运行。但是,如果在单个交换机上配置辅助 VLAN,则不会使用这些标记。

  6. 对于每个社区 VLAN,设置主 VLAN:

  7. 在主 VLAN 中配置隔离接口:

成果

检查配置结果:

针对

要确认配置是否正常运行,请执行以下任务:

验证专用 VLAN 和辅助 Vlan 是否已创建

用途

验证主 VLAN 和辅助 Vlan 是否在交换机上正确创建。

行动

使用show vlans命令:

含义

输出显示,主 VLAN 已创建并识别与之相关联的接口和辅助 Vlan。

示例:在单个 EX 系列交换机上配置专用 VLAN

出于安全考虑,限制广播流量和未知单播信息流,甚至限制已知主机之间的通信通常很有用。EX 系列交换机上的专用 VLAN (PVLAN)功能允许管理员将广播域拆分为多个独立的广播子域,实质上是在 VLAN 内部放置一个 VLAN。

本示例介绍如何在单个 EX 系列交换机上创建 PVLAN:

注:

不支持在 PVLAN 接口上配置 IP 语音(VoIP) VLAN。

要求

此示例使用以下硬件和软件组件:

  • 一个 EX 系列交换机

  • EX 系列交换机 Junos OS 发行9.3 或更高版本

开始配置 PVLAN 之前,请确保您已创建并配置了必要的 Vlan。请参阅配置 EX 系列交换机的 vlan

概述和拓扑

在具有多个建筑物和 Vlan 的大型办事处中,您可能需要隔离某些工作组或其他端点,以了解安全原因或划分广播域。此配置示例显示了一个简单的拓扑,用于说明如何创建包含一个主 VLAN 和两个社区 VLAN(一个用于人力资源、一个财务)的 PVLAN,以及两个隔离端口(一个用于邮件服务器,另一个用于备份服务器)。

表 9列出了示例拓扑的设置。

表 9: 用于配置 PVLAN 的拓扑组件
接口 Description

ge-0/0/0.0

主 VLAN (vlan1)中继接口

ge-0/0/11.0

用户1、人力资源社区(hr-comm

ge-0/0/12.0

用户2、人力资源社区(hr-comm

ge-0/0/13.0

用户3、金融社区(finance-comm

ge-0/0/14.0

用户4、金融社区(finance-comm

ge-0/0/15.0

邮件服务器,独立主机(isolated

ge-0/0/16.0

备份服务器,独立主机(isolated

ge-1/0/0.0

主 VLAN ( pvlan)中继接口

图 16显示了此示例的拓扑。

图 16: 单个 EX 系列交换机上的专用 VLAN 拓扑单个 EX 系列交换机上的专用 VLAN 拓扑

配置

要配置 PVLAN,请执行以下任务:

CLI 快速配置

要快速创建和配置 PVLAN,请复制以下命令并将其粘贴到交换机端子窗口中:

操作

分步过程

要配置 PVLAN:

  1. 设置主 VLAN 的 VLAN ID:

  2. 设置接口和端口模式:

  3. 将主 VLAN 设置为不使用本地交换:

    注:

    主 VLAN 必须为标记的 VLAN。

  4. 将中继接口添加到主 VLAN:

  5. 对于每个辅助 VLAN,配置 VLAN Id 和接入接口:

    注:

    建议辅助 Vlan 为未标记 Vlan。如果为辅助 VLAN 标记,则不会影响其运行。但是,如果在单个交换机上配置辅助 VLAN,则不会使用这些标记。

  6. 对于每个社区 VLAN,设置主 VLAN:

  7. 将每个独立接口添加到主要 VLAN:

成果

检查配置结果:

针对

要确认配置是否正常运行,请执行以下任务:

验证专用 VLAN 和辅助 Vlan 是否已创建

用途

验证主 VLAN 和辅助 Vlan 是否在交换机上正确创建。

行动

使用show vlans命令:

含义

输出显示,主 VLAN 已创建并识别与之相关联的接口和辅助 Vlan。

示例:配置跨越多个 QFX 交换机的专用 VLAN

出于安全考虑,限制广播流量和未知单播信息流,甚至限制已知主机之间的通信通常很有用。专用 VLAN (PVLAN)功能允许管理员将广播域拆分为多个独立的广播子域,实质上是在 VLAN 内部放置一个 VLAN。PVLAN 可跨多台交换机。

本示例介绍如何创建跨多个交换机的 PVLAN。该示例创建一个包含多个辅助 Vlan 的主 PVLAN:

要求

此示例使用以下硬件和软件组件:

  • 三个 QFX3500 设备

  • QFX 系列 Junos OS 版本12.1 或更高版本

开始配置 PVLAN 之前,请确保您已创建并配置了必要的 Vlan。请参阅在交换机上配置 Vlan

概述和拓扑

在具有多个建筑物和 Vlan 的大型办事处中,您可能需要隔离某些工作组或其他端点,以了解安全原因或划分广播域。此配置示例演示如何创建跨多个 QFX 设备的 PVLAN,其中一个主要 VLAN 包含两个社区 Vlan (HR 和一个用于财务),另一个是交换机间隔离 VLAN (适用于邮件服务器、备份服务器和 CVS 服务器)。PVLAN 包含三个交换机、两个接入交换机和一个分配交换机。PVLAN 通过在分配交换机上配置的混杂端口连接到路由器。

注:

即使在同一个域中包含交换机1和交换机2上的隔离端口,它们也没有第2层连接。请参阅了解专用 Vlan

图 17 显示了此示例的拓扑—两个接入交换机连接到具有与路由器的连接(通过一个协调端口)的分配交换机。

图 17: 跨多个交换机的 PVLAN 拓扑跨多个交换机的 PVLAN 拓扑

表 10表 11表 12列出了示例拓扑的设置。

表 10: 拓扑中交换机1的组件,用于配置 PVLAN 跨越多个设备
财产 设置

VLAN 名称和标记 Id

primary-vlan、标记100

isolation-vlan-id、标记50

finance-comm、标记300

hr-comm、标记400

PVLAN 中继接口

ge-0/0/0.0,将交换机1连接到交换机3

ge-0/0/5.0,将交换机1连接到交换机2

主 VLAN 中的隔离接口

ge-0/0/15.0、邮件服务器

ge-0/0/16.0、备份服务器

VLAN 接口finance-com

ge-0/0/11.0

ge-0/0/12.0

VLAN 接口hr-comm

ge-0/0/13.0

ge-0/0/14.0

表 11: 拓扑中交换机2的组件,用于配置 PVLAN 跨越多个设备
财产 设置

VLAN 名称和标记 Id

primary-vlan、标记100

isolation-vlan-id、标记50

finance-comm、标记300

hr-comm、标记400

PVLAN 中继接口

ge-0/0/0.0,将交换机2连接到交换机3

ge-0/0/5.0,将交换机2连接到交换机1

主 VLAN 中的隔离接口

ge-0/0/17.0、CVS 服务器

VLAN 接口finance-com

ge-0/0/11.0

ge-0/0/12.0

VLAN 接口hr-comm

ge-0/0/13.0

ge-0/0/14.0

表 12: 拓扑中交换机3的组件,用于配置 PVLAN 跨越多个设备
财产 设置

VLAN 名称和标记 Id

primary-vlan、标记100

isolation-vlan-id、标记50

finance-comm、标记300

hr-comm、标记400

PVLAN 中继接口

ge-0/0/0.0,将交换机3连接到交换机1

ge-0/0/1.0,将交换机3连接到交换机2

混杂端口

ge-0/0/2,将 PVLAN 连接到路由器

注:

您必须将 PVLAN 的中继端口配置为作为 PVLAN 的成员,将其连接到 PVLAN 之外的另一台交换机或路由器,并将其隐式配置为混杂端口。

拓扑

在交换机1上配置 PVLAN

在多台交换机上配置 PVLAN 时,这些规则适用:

  • 主 VLAN 必须为标记的 VLAN。建议先配置主 VLAN。

  • 如果要配置社区 VLAN ID,必须先配置主 VLAN 和 PVLAN 中继端口。您还必须使用pvlan语句将主 VLAN 配置为私有。

  • 如果您打算配置隔离 VLAN ID,则必须先配置主 VLAN 和 PVLAN 中继端口。

CLI 快速配置

要快速创建和配置跨越多个交换机的 PVLAN,请复制以下命令并将其粘贴到交换机1的端子窗口中:

操作

分步过程
  1. 设置主 VLAN 的 VLAN ID:

  2. 将 PVLAN 中继接口设置为跨邻接交换机连接此 VLAN:

  3. 将主 VLAN 设置为私有,并且没有本地交换:

  4. 为跨交换机 finance-comm 的社区 VLAN 设置 VLAN ID:

  5. 为 VLAN 配置 finance-comm 接入接口:

  6. 设置此辅助社区 VLAN 的主 VLAN, finance-comm

  7. 设置跨越交换机的 HR 社区 VLAN 的 VLAN ID。

  8. 为 VLAN 配置 hr-comm 接入接口:

  9. 设置此辅助社区 VLAN 的主 VLAN, hr-comm

  10. 设置交换机间隔离 ID,以创建跨越交换机的交换机间隔离域:

  11. 在主 VLAN 中配置隔离接口:

    注:

    配置隔离端口时,应将其作为主要 VLAN 的成员包括在内,但不要将其配置为任何社区 VLAN 的成员。

成果

检查配置结果:

在交换机2上配置 PVLAN

CLI 快速配置

要快速创建和配置跨越多个交换机的专用 VLAN,请复制以下命令并将其粘贴到交换机2的端子窗口:

注:

除交换机间隔离域中的接口外,交换机2的配置也相同。对于交换机 2,接口为 ge-0/0/17.0

操作

分步过程

要在交换机2上配置将跨越多个交换机的 PVLAN:

  1. 为跨交换机 finance-comm 的社区 VLAN 设置 VLAN ID:

  2. 为 VLAN 配置 finance-comm 接入接口:

  3. 设置此辅助社区 VLAN 的主 VLAN, finance-comm

  4. 设置跨越交换机的 HR 社区 VLAN 的 VLAN ID。

  5. 为 VLAN 配置 hr-comm 接入接口:

  6. 设置此辅助社区 VLAN 的主 VLAN, hr-comm

  7. 设置主 VLAN 的 VLAN ID:

  8. 设置将在邻接交换机之间连接此 VLAN 的 PVLAN 中继接口:

  9. 将主 VLAN 设置为私有,并且没有本地交换:

  10. 设置交换机间隔离 ID,以创建跨越交换机的交换机间隔离域:

    注:

    要配置隔离端口,请将其作为主要 VLAN 的一个成员包括在内,但不要将其配置为属于某个社区 Vlan。

  11. 在主 VLAN 中配置隔离接口:

成果

检查配置结果:

在交换机3上配置 PVLAN

CLI 快速配置

要将交换机3快速配置为充当此 PVLAN 的分配交换机,请复制以下命令并将其粘贴到交换机3的端子窗口中:

注:

接口 ge-0/0/2.0 是将 PVLAN 连接到路由器的中继端口。

操作

分步过程

要将交换机3配置为此 PVLAN 的分配交换机,请使用以下过程:

  1. 为跨交换机 finance-comm 的社区 VLAN 设置 VLAN ID:

  2. 设置此辅助社区 VLAN 的主 VLAN, finance-comm

  3. 设置跨越交换机的 HR 社区 VLAN 的 VLAN ID:

  4. 设置此辅助社区 VLAN 的主 VLAN, hr-comm

  5. 设置主 VLAN 的 VLAN ID:

  6. 设置将在邻接交换机之间连接此 VLAN 的 PVLAN 中继接口:

  7. 将主 VLAN 设置为私有,并且没有本地交换:

  8. 设置交换机间隔离 ID,以创建跨越交换机的交换机间隔离域:

    注:

    要配置隔离端口,请将其作为主要 VLAN 的一个成员包括在内,但不要将其配置为属于某个社区 Vlan。

成果

检查配置结果:

针对

要确认配置是否正常运行,请执行以下任务:

验证主 VLAN 和辅助 Vlan 是否已在交换机1上创建

用途

验证交换机1上是否在运行跨多台交换机的 PVLAN 配置:

行动

show vlans extensive使用命令:

含义

输出显示,PVLAN 在交换机1上创建,并显示了两个隔离 Vlan、两个社区 Vlan 和一个交换机间隔离 VLAN。Pvlan-干线和交换机间隔离字段的存在表示此 PVLAN 跨越多台交换机。

验证主 VLAN 和辅助 Vlan 是否已在交换机2上创建

用途

验证交换机2上是否有跨多个交换机的 PVLAN 配置正常工作:

行动

show vlans extensive使用命令:

含义

输出显示,PVLAN 是在交换机2上创建的,表示它包含一个隔离 VLAN、两个社区 Vlan 和一个交换机间隔离 VLAN。Pvlan-干线和交换机间隔离字段的存在表示此 PVLAN 跨越多台交换机。将此输出与交换机1的输出进行比较时,您可以看到两个交换机属于相同的 PVLAN (pvlan100)。

验证主 VLAN 和辅助 Vlan 是否已在交换机3上创建

用途

验证交换机3上是否有多个交换机的 PVLAN 配置正常工作:

行动

show vlans extensive使用命令:

含义

输出显示,PVLAN (pvlan100)在交换机3上配置,不包含隔离 vlan、两个社区 vlan 和一个交换机间隔离 vlan。但交换机3作为分布交换机运行,因此输出不包括 PVLAN 内的接入接口。它仅显示从相同 PVLAN 中从交换机 3 连接到其他交换机(交换机 1 和交换机 pvlan-trunkpvlan100 2)的接口。

示例:使用 IRB 接口配置跨越多台交换机的专用 VLAN

出于安全考虑,限制广播流量和未知单播信息流,甚至限制已知主机之间的通信通常很有用。专用 VLAN (PVLAN)功能允许管理员将广播域拆分为多个独立的广播子域,实质上是在 VLAN 内部放置一个 VLAN。PVLAN 可跨多台交换机。本示例介绍如何创建跨多个交换机的 PVLAN。该示例创建一个包含多个辅助 Vlan 的主 PVLAN。

与常规 VLAN 一样,PV VPN 在 2 层是隔离的,并且通常需要使用第 3 层设备来路由流量。从Junos OS 14.1X53-D30开始,您可以使用集成路由和桥接 (IRB) 接口在连接到 PVLAN 的设备之间路由第 3 层流量。按此方式使用 IRB 接口还允许 PVLAN 中的设备第 3 层与其他社区中的设备或隔离的 VLAN 或 PVLAN 之外的设备进行通信。此示例还演示如何在 PVLAN 配置中包含 IRB 接口。

要求

此示例使用以下硬件和软件组件:

  • 三个 QFX 系列或 EX4600 交换机

  • Junos OS 随 PVLAN 发布 QFX 系列或 EX4600

概述和拓扑

在具有多个建筑物和 Vlan 的大型办事处中,您可能需要隔离某些工作组或其他端点,以了解安全原因或划分广播域。此配置示例演示如何创建跨越多个交换机的 PVLAN,其中一个主要 VLAN 包含两个社区 Vlan (HR 和一个用于财务的一个),以及一个交换机间隔离 VLAN (适用于邮件服务器、备份服务器和 CVS 服务器)。PVLAN 包含三台交换机:两台接入交换机和一台分配交换机。PVLAN 中的设备通过分布交换机上配置的 IRB 接口连接到其他各层,以及 PVLAN 外部的设备。

注:

即使在同一个域中包含交换机1和交换机2上的隔离端口,它们也没有第2层连接。请参阅了解专用 Vlan

图 18显示了此示例的拓扑。

图 18: PVLAN 拓扑通过 IRB 接口跨越多台交换机PVLAN 拓扑通过 IRB 接口跨越多台交换机

表 13表 14表 15列出了示例拓扑的设置。

表 13: 拓扑中交换机1的组件,用于配置 PVLAN 跨越多个设备
财产 设置

VLAN 名称和标记 Id

primary-vlan、标记100

isolated-vlan-id、标记50

finance-comm、标记300

hr-comm、标记400

交换机间链路接口

xe-0/0/0.0,将交换机1连接到交换机3

xe-0/0/5.0,将交换机1连接到交换机2

主 VLAN 中的隔离接口

xe-0/0/15.0、邮件服务器

xe-0/0/16.0、备份服务器

VLAN 接口finance-com

xe-0/0/11.0

xe-0/0/12.0

VLAN 接口hr-comm

xe-0/0/13.0

xe-0/0/14.0

表 14: 拓扑中交换机2的组件,用于配置 PVLAN 跨越多个设备
财产 设置

VLAN 名称和标记 Id

primary-vlan、标记100

isolated-vlan-id、标记50

finance-comm、标记300

hr-comm、标记400

交换机间链路接口

xe-0/0/0.0,将交换机2连接到交换机3

xe-0/0/5.0,将交换机2连接到交换机1

主 VLAN 中的隔离接口

xe-0/0/17.0、CVS 服务器

VLAN 接口finance-com

xe-0/0/11.0

xe-0/0/12.0

VLAN 接口hr-comm

xe-0/0/13.0

xe-0/0/14.0

表 15: 拓扑中交换机3的组件,用于配置 PVLAN 跨越多个设备
财产 设置

VLAN 名称和标记 Id

primary-vlan、标记100

isolated-vlan-id、标记 50finance-comm 、标记 300

hr-comm、标记400

交换机间链路接口

xe-0/0/0.0,将交换机3连接到交换机1。

xe-0/0/1.0,将交换机3连接到交换机2。

混杂端口

xe-0/0/2,将 PVLAN 连接到另一个网络。

注:

您必须将 PVLAN 的中继端口配置为作为 PVLAN 的成员,将其连接到 PVLAN 之外的另一台交换机或路由器,并将其隐式配置为混杂端口。

IRB 接口

xe-0/0/0

xe-0/0/1

在 IRB 接口上配置不受限制的代理 ARP 以允许进行 ARP 解析,以便使用 IPv4 的设备可以在第3层通信。对于 IPv6 流量,您必须将 IRB 地址显式映射到目标地址以允许 ARP 解析。

拓扑

配置概述

在多台交换机上配置 PVLAN 时,请遵循以下规则:

  • 主 VLAN 必须为标记的 VLAN。

  • 主 VLAN 是唯一可作为交换机间链路接口成员的 VLAN。

在 PVLAN 中配置 IRB 接口时,以下规则适用:

  • 无论有多少台交换机参与 PVLAN,您都只能在 PVLAN 中创建一个 IRB 接口。

  • IRB 接口必须是 PVLAN 中主 VLAN 的成员。

  • 每个要在第3层连接的主机设备都必须将 IRB 的 IP 地址用作其默认网关地址。

在交换机1上配置 PVLAN

CLI 快速配置

要快速创建和配置跨越多个交换机的 PVLAN,请复制以下命令并将其粘贴到交换机1的端子窗口中:

操作

分步过程
  1. 配置接口 xe-0/0/0 要成为主干:

  2. 配置接口 xe-0/0/0 将成为传输所有 Vlan 的交换机间链路:

  3. 将 pvlan100 (主要 VLAN)配置为接口 xe-0/0/0 的成员:

  4. 配置接口 xe-0/0/5 成为主干:

  5. 配置接口 xe-0/0/5 是一种传输所有 Vlan 的交换机间链路:

  6. 将 pvlan100 配置为接口 xe-0/0/5 的成员:

  7. 为财务组织创建社区 VLAN:

  8. 为 HR 组织创建社区 VLAN:

  9. 为邮件和备份服务器创建隔离 VLAN:

  10. 创建主要 VLAN 并使社区和隔离 Vlan 成为其成员:

  11. 将 VLAN 300 (a 社区 VLAN)配置为接口 xe-0/0/11 的成员:

  12. 将 VLAN 300 (社区 VLAN)配置为接口 xe-0/0/12 的成员:

  13. 将 VLAN 400 (社区 VLAN)配置为接口 xe 的成员-0/0/13:

  14. 将 VLAN 400 (社区 VLAN)配置为接口 xe-0/0/14 的成员:

  15. 将 VLAN 50 (隔离 VLAN)配置为接口 xe-0/0/15 的成员:

  16. 将 VLAN 50 (隔离 VLAN)配置为接口 xe-0/0/16 的成员:

成果

检查配置结果:

在交换机2上配置 PVLAN

CLI 快速配置

要快速创建和配置跨越多个交换机的专用 VLAN,请复制以下命令并将其粘贴到交换机2的端子窗口:

注:

除隔离 VLAN 之外,交换机2的配置与交换机1的配置相同。对于交换机2,隔离 VLAN 接口为xe-0/0/17.0

操作

分步过程
  1. 配置接口 xe-0/0/0 要成为主干:

  2. 配置接口 xe-0/0/0 将成为传输所有 Vlan 的交换机间链路:

  3. 将 pvlan100 (主要 VLAN)配置为接口 xe-0/0/0 的成员:

  4. 配置接口 xe-0/0/5 成为主干:

  5. 配置接口 xe-0/0/5 是一种传输所有 Vlan 的交换机间链路:

  6. 将 pvlan100 配置为接口 xe-0/0/5 的成员:

  7. 为财务组织创建社区 VLAN:

  8. 为 HR 组织创建社区 VLAN:

  9. 为邮件和备份服务器创建隔离 VLAN:

  10. 创建主要 VLAN 并使社区和隔离 Vlan 成为其成员:

  11. 将 VLAN 300 (a 社区 VLAN)配置为接口 xe-0/0/11 的成员:

  12. 将 VLAN 300 (社区 VLAN)配置为接口 xe-0/0/12 的成员:

  13. 将 VLAN 400 (社区 VLAN)配置为接口 xe 的成员-0/0/13:

  14. 将 VLAN 400 (社区 VLAN)配置为接口 xe-0/0/14 的成员:

  15. 将 VLAN 50 (隔离 VLAN)配置为接口 xe-0/0/17 的成员:

成果

检查配置结果:

在交换机3上配置 PVLAN

CLI 快速配置

要将交换机3快速配置为充当此 PVLAN 的分配交换机,请复制以下命令并将其粘贴到交换机3的端子窗口中:

注:

接口 xe-0/0/2.0 是将 PVLAN 连接到另一个网络的中继端口。

操作

分步过程

要将交换机3配置为此 PVLAN 的分配交换机,请使用以下过程:

  1. 配置接口 xe-0/0/0 要成为主干:

  2. 配置接口 xe-0/0/0 将成为传输所有 Vlan 的交换机间链路:

  3. 将 pvlan100 (主要 VLAN)配置为接口 xe-0/0/0 的成员:

  4. 配置接口 xe-0/0/5 成为主干:

  5. 配置接口 xe-0/0/5 是一种传输所有 Vlan 的交换机间链路:

  6. 将 pvlan100 配置为接口 xe-0/0/5 的成员:

  7. 将接口 xe-0/0/2 (混杂接口)配置为主干:

  8. 将 pvlan100 配置为接口 xe-0/0/2 的成员:

  9. 创建主要 VLAN:

  10. 创建 IRB 接口irb并为其分配子网中连接到交换机1和2的设备所使用的地址:

    注:

    每个要在第3层连接的主机设备必须与 IRB 接口位于同一子网中,并使用 IRB 接口的 IP 地址作为其默认网关地址。

  11. 通过将接口绑定到主 VLAN pvlan100,完成 IRB 接口配置:

  12. 为 IRB 接口的每个单元配置无限制代理 ARP,以便 ARP 解析适用于 IPv4 信息流:

    注:

    由于社区和隔离 Vlan 中的设备在第2层中隔离,因此此步骤需要在 Vlan 之间进行 ARP 解析,以便使用 IPv4 的设备可以在第3层进行通信。(对于 IPv6 流量,您必须将 IRB 地址显式映射到目标地址以允许 ARP 解析。)

成果

检查配置结果:

针对

要确认配置是否正常运行,请执行以下任务:

验证主 VLAN 和辅助 Vlan 是否已在交换机1上创建

用途

验证交换机1上是否在运行跨多台交换机的 PVLAN 配置:

行动

show vlans extensive使用命令:

含义

输出显示,PVLAN 在交换机1上创建,并显示了两个隔离 Vlan、两个社区 Vlan 和一个交换机间隔离 VLAN。干线和交换机间隔离字段的存在表示此 PVLAN 正在跨越多台交换机。

验证主 VLAN 和辅助 Vlan 是否已在交换机2上创建

用途

验证交换机2上是否有跨多个交换机的 PVLAN 配置正常工作:

行动

show vlans extensive使用命令:

含义

输出显示,PVLAN 是在交换机2上创建的,表示它包含一个隔离 VLAN、两个社区 Vlan 和一个交换机间隔离 VLAN。干线和交换机间隔离字段的存在表示此 PVLAN 正在跨越多台交换机。将此输出与交换机1的输出进行比较时,您可以看到两个交换机属于相同的 PVLAN (pvlan100)。

验证主 VLAN 和辅助 Vlan 是否已在交换机3上创建

用途

验证交换机3上是否有多个交换机的 PVLAN 配置正常工作:

行动

show vlans extensive使用命令:

含义

输出显示,PVLAN (pvlan100)在交换机3上配置,不包含隔离 vlan、两个社区 vlan 和一个交换机间隔离 vlan。但交换机3作为分布交换机运行,因此输出不包括 PVLAN 内的接入接口。它仅显示从交换机3连接pvlan100到同一 PVLAN 中的其他交换机(交换机1和交换机2)的中继接口。

示例:配置跨越多个 EX 系列交换机的专用 VLAN

出于安全考虑,限制广播流量和未知单播信息流,甚至限制已知主机之间的通信通常很有用。EX 系列交换机上的专用 VLAN (PVLAN)功能允许管理员将广播域拆分为多个独立的广播子域,实质上是在 VLAN 内部放置一个 VLAN。PVLAN 可跨多台交换机。

本示例介绍如何创建跨多个 EX 系列交换机的 PVLAN。该示例创建一个包含多个辅助 Vlan 的主 PVLAN:

注:

不支持在 PVLAN 接口上配置 IP 语音(VoIP) VLAN。

要求

此示例使用以下硬件和软件组件:

  • 三个 EX 系列交换机

  • EX 系列交换机 Junos OS 发行10.4 或更高版本

开始配置 PVLAN 之前,请确保您已创建并配置了必要的 Vlan。请参阅配置 EX 系列交换机的 vlan

概述和拓扑

在具有多个建筑物和 Vlan 的大型办事处中,您可能需要隔离某些工作组或其他端点,以了解安全原因或划分广播域。此配置示例演示如何创建跨越多个 EX 系列交换机的 PVLAN,其中一个主要 VLAN 包含两个社区 Vlan (HR 和一个用于财务的一个),以及一个交换机间隔离 VLAN (适用于邮件服务器、备份服务器和 CVS服务器)。PVLAN 包含三个交换机、两个接入交换机和一个分配交换机。PVLAN 通过在分配交换机上配置的混杂端口连接到路由器。

注:

交换机1和交换机2上的隔离端口没有第2层连接,即使它们包含在相同的域中也是如此。请参阅了解专用 vlan

图 19 显示了此示例的拓扑—两个接入交换机连接到具有与路由器的连接(通过一个不协调的端口)的分配交换机。

图 19: 跨多个交换机的 PVLAN 拓扑跨多个交换机的 PVLAN 拓扑

表 16表 17表 18列出了示例拓扑的设置。

表 16: 拓扑中交换机1的组件,用于配置跨多个 EX 系列交换机的 PVLAN
财产 设置

VLAN 名称和标记 Id

primary-vlan、标记100

isolation-id、标记50

finance-comm、标记300

hr-comm、标记400

PVLAN 中继接口

ge-0/0/0.0,将交换机1连接到交换机3

ge-0/0/5.0,将交换机1连接到交换机2

VLAN 接口isolation

ge-0/0/15.0、邮件服务器

ge-0/0/16.0、备份服务器

VLAN 接口finance-com

ge-0/0/11.0

ge-0/0/12.0

VLAN 接口hr-comm

ge-0/0/13.0

ge-0/0/14.0

表 17: 拓扑中交换机2的组件,用于配置跨多个 EX 系列交换机的 PVLAN
财产 设置

VLAN 名称和标记 Id

primary-vlan、标记100

isolation-id、标记50

finance-comm、标记300

hr-comm、标记400

PVLAN 中继接口

ge-0/0/0.0,将交换机2连接到交换机3

ge-0/0/5.0,将交换机2连接到交换机1

VLAN 接口isolation

ge-0/0/17.0、CVS 服务器

VLAN 接口finance-com

ge-0/0/11.0

ge-0/0/12.0

VLAN 接口hr-comm

ge-0/0/13.0

ge-0/0/14.0

表 18: 拓扑结构中交换机3的组件,用于配置 PVLAN 跨越多个 EX 系列交换机
财产 设置

VLAN 名称和标记 Id

primary-vlan、标记100

isolation-id、标记50

finance-comm、标记300

hr-comm、标记400

PVLAN 中继接口

ge-0/0/0.0,将交换机3连接到交换机1

ge-0/0/1.0,将交换机3连接到交换机2

混杂端口

ge-0/0/2,将 PVLAN 连接到路由器

注:

您必须将 PVLAN 的中继端口配置为作为 PVLAN 的成员,将其连接到 PVLAN 之外的另一台交换机或路由器,并将其隐式配置为混杂端口。

拓扑

在交换机1上配置 PVLAN

CLI 快速配置

在多台交换机上配置 PVLAN 时,这些规则适用:

  • 主 VLAN 必须为标记的 VLAN。建议先配置主 VLAN。

  • 不支持在 PVLAN 接口上配置 IP 语音(VoIP) VLAN。

  • 如果要配置社区 VLAN ID,必须先配置主 VLAN 和 PVLAN 中继端口。

  • 如果您打算配置隔离 VLAN ID,则必须先配置主 VLAN 和 PVLAN 中继端口。

  • 如果在 PVLAN 中继端口上配置了 MVRP,则必须在单个 commit 上提交辅助 Vlan 和 PVLAN 中继端口。

要快速创建和配置跨越多个交换机的 PVLAN,请复制以下命令并将其粘贴到交换机1的端子窗口中:

操作

分步过程

按中所示的顺序完成以下配置步骤 — 此外,在一次提交中提交配置之前完成所有步骤。这是避免违反任何这三条规则触发的错误消息的最简单方法:

  • 如果要配置社区 VLAN ID,必须先配置主 VLAN 和 PVLAN 中继端口。

  • 如果您打算配置隔离 VLAN ID,则必须先配置主 VLAN 和 PVLAN 中继端口。

  • 辅助 vlan 和 PVLAN 干线必须在单个提交上提交。

要在交换机1上配置将跨越多个交换机的 PVLAN:

  1. 设置主 VLAN 的 VLAN ID:

  2. 设置将在邻接交换机之间连接此 VLAN 的 PVLAN 中继接口:

  3. 将主 VLAN 设置为不使用本地交换:

  4. 为跨交换机 finance-comm 的社区 VLAN 设置 VLAN ID:

  5. 为 VLAN 配置 finance-comm 接入接口:

  6. 设置此辅助社区 VLAN 的主 VLAN, finance-comm

  7. 设置跨越交换机的 HR 社区 VLAN 的 VLAN ID。

  8. 为 VLAN 配置 hr-comm 接入接口:

  9. 设置此辅助社区 VLAN 的主 VLAN, hr-comm

  10. 设置交换机间隔离 ID,以创建跨越交换机的交换机间隔离域:

    注:

    要配置隔离端口,请将其作为主要 VLAN 的一个成员包括在内,但不要将其配置为属于某个社区 Vlan。

成果

检查配置结果:

在交换机2上配置 PVLAN

CLI 快速配置

要快速创建和配置跨越多个交换机的专用 VLAN,请复制以下命令并将其粘贴到交换机2的端子窗口:

注:

交换机2的配置与交换机1的配置相同,但交换机间隔离域中的接口除外。对于交换机 2,接口为 ge-0/0/17.0

操作

分步过程

要在交换机2上配置将跨越多个交换机的 PVLAN:

  1. 为跨交换机 finance-comm 的社区 VLAN 设置 VLAN ID:

  2. 为 VLAN 配置 finance-comm 接入接口:

  3. 设置此辅助社区 VLAN 的主 VLAN, finance-comm

  4. 设置跨越交换机的 HR 社区 VLAN 的 VLAN ID。

  5. 为 VLAN 配置 hr-comm 接入接口:

  6. 设置此辅助社区 VLAN 的主 VLAN, hr-comm

  7. 设置主 VLAN 的 VLAN ID:

  8. 设置将在邻接交换机之间连接此 VLAN 的 PVLAN 中继接口:

  9. 将主 VLAN 设置为不使用本地交换:

  10. 设置交换机间隔离 ID,以创建跨越交换机的交换机间隔离域:

    注:

    要配置隔离端口,请将其作为主要 VLAN 的一个成员包括在内,但不要将其配置为属于某个社区 Vlan。

成果

检查配置结果:

在交换机3上配置 PVLAN

CLI 快速配置

要将交换机3快速配置为充当此 PVLAN 的分配交换机,请复制以下命令并将其粘贴到交换机3的端子窗口中:

注:

接口 ge-0/0/2.0 是将 PVLAN 连接到路由器的中继端口。

操作

分步过程

要将交换机3配置为此 PVLAN 的分配交换机,请使用以下过程:

  1. 为跨交换机 finance-comm 的社区 VLAN 设置 VLAN ID:

  2. 设置此辅助社区 VLAN 的主 VLAN, finance-comm

  3. 设置跨越交换机的 HR 社区 VLAN 的 VLAN ID:

  4. 设置此辅助社区 VLAN 的主 VLAN, hr-comm

  5. 设置主 VLAN 的 VLAN ID:

  6. 设置将在邻接交换机之间连接此 VLAN 的 PVLAN 中继接口:

  7. 将主 VLAN 设置为不使用本地交换:

  8. 设置交换机间隔离 ID,以创建跨越交换机的交换机间隔离域:

    注:

    要配置隔离端口,请将其作为主要 VLAN 的一个成员包括在内,但不要将其配置为属于某个社区 Vlan。

成果

检查配置结果:

针对

要确认配置是否正常运行,请执行以下任务:

验证主 VLAN 和辅助 Vlan 是否已在交换机1上创建

用途

验证交换机1上是否在运行跨多台交换机的 PVLAN 配置:

行动

show vlans extensive使用命令:

含义

输出显示,PVLAN 在交换机1上创建,并显示了两个隔离 Vlan、两个社区 Vlan 和一个交换机间隔离 VLAN。和 字段 pvlan-trunkInter-switch-isolated 的存在表示此 PVLAN 跨越多个交换机。

验证主 VLAN 和辅助 Vlan 是否已在交换机2上创建

用途

验证交换机2上是否有跨多个交换机的 PVLAN 配置正常工作:

行动

show vlans extensive使用命令:

含义

输出显示,PVLAN 在交换机1上创建,并显示了两个隔离 Vlan、两个社区 Vlan 和一个交换机间隔离 VLAN。和 字段 pvlan-trunkInter-switch-isolated 的存在表示这是跨越多个交换机的 PVLAN。将此输出与交换机1的输出进行比较时,您可以看到两个交换机属于相同的 PVLAN (pvlan100)。

验证主 VLAN 和辅助 Vlan 是否已在交换机3上创建

用途

验证交换机3上是否有多个交换机的 PVLAN 配置正常工作:

行动

show vlans extensive使用命令:

含义

输出显示 PVLAN ( ) 在交换机 3 上配置,包括两个隔离的 VLAN、两个社区 VLAN 和一个 pvlan100 交换器间隔离 VLAN。但交换机3作为分布交换机运行,因此输出不包括 PVLAN 内的接入接口。它仅显示从相同 PVLAN 中从交换机 3 连接到其他交换机(交换机 1 和交换机 pvlan-trunkpvlan100 2)的接口。

示例:使用 QFX 系列交换机上的辅助 VLAN 中继端口和混杂接入端口配置 Pvlan

此示例说明如何将辅助 VLAN 中继端口和混杂接入端口配置为专用 VLAN 配置的一部分。辅助 VLAN 中继端口带有辅助 VLAN 流量。

注:

此示例对Junos OS增强型第 2 层软件 (ELS) 配置样式的交换机使用配置参数。有关 ELS 的详细信息,请参阅使用增强型第2层软件 CLI

对于给定的专用 VLAN,辅助 VLAN 中继端口只能传输一个辅助 VLAN 的流量。但是,只要每个辅助 vlan 是不同专用(主) VLAN 的成员,辅助 VLAN 中继端口就可以传输多个辅助 Vlan 的流量。例如,辅助 VLAN 中继端口可以传输作为主 VLAN pvlan100 一部分的社区 VLAN 的流量,并且还会传输作为主 VLAN pvlan400 一部分的隔离 VLAN 的信息流。

要将中继端口配置为携带辅助 VLAN 流量,请使用隔离interface语句,如交换机1的12步骤13和示例配置中所示。

注:

当从辅助 VLAN 中继端口 egresses 流量时,它通常会携带辅助端口所属的主 VLAN 的标签。如果您希望从辅助 VLAN 中继端口 egresses 的流量保留其辅助 VLAN 标记,请使用扩展二级 vlan id语句。

混杂接入端口携带未标记流量,并且只能是一个主 VLAN 的成员。在混杂接入端口上 ingresses 的流量将转发到作为混杂接入端口所属主要 VLAN 成员的辅助 Vlan 的端口。如果辅助 vlan 端口为中继端口,则此信息流会在从辅助 VLAN 端口 egresses 时携带相应的辅助 VLAN 标记。

要将接入端口配置为混杂,请使用混杂式语句,如交换机2的12示例配置步骤中所示。

如果在一个混杂接入端口上的辅助 VLAN 端口和 egresses 上的流量 ingresses,则流未标记在出口上。如果在混杂接入端口上标记的信息流 ingresses,信息流将被丢弃。

要求

此示例使用以下硬件和软件组件:

  • 两个 QFX 设备

  • QFX 系列 Junos OS 版本12.2 或更高版本

概述和拓扑

图 20显示了此示例中使用的拓扑。交换机1包含多个主要和次要的专用 Vlan,还包括两个辅助 VLAN 中继端口,它们配置为承载作为主要 Vlan pvlan100 和 pvlan400 成员的辅助 Vlan。

交换机2包含相同的专用 Vlan。该图显示了使用混杂接入端口或混杂中继端口配置的交换机2上的 xe 0/0/0。此处包含的示例配置将此端口配置为混杂访问端口。

该图还显示了 ingressing 在交换机1上的辅助 VLAN 中继端口之后的流量流量。

图 20: 具有辅助 VLAN 中继端口和混杂接入端口的 PVLAN 拓扑具有辅助 VLAN 中继端口和混杂接入端口的 PVLAN 拓扑

表 19表 20列出了两台交换机上的示例拓扑设置。

表 19: 用于在交换机1上配置辅助 VLAN 干线的拓扑组件
组件 说明

pvlan100,ID 100

主 VLAN

pvlan400,ID 400

主 VLAN

comm300,ID 300

Pvlan100 成员的社区 VLAN

comm600,ID 600

Pvlan400 成员的社区 VLAN

隔离 vlan id 200

独立 VLAN 的 VLAN ID,pvlan100 的成员

隔离-vlan-id 500

独立 VLAN 的 VLAN ID,pvlan400 的成员

xe-0/0/0.0

用于主 Vlan pvlan100 和 pvlan400 的辅助 VLAN 中继端口

xe-0/0/1.0

用于主要 Vlan pvlan100 和 pvlan400 的 PVLAN 中继端口

xe-0/0/2.0

用于 pvlan100 的独立接入端口

xe-0/0/3.0

用于 comm300 的社区接入端口

xe-0/0/5.0

用于 pvlan400 的独立接入端口

xe-0/0/6.0

用于 comm600 的社区中继端口

表 20: 用于在交换机2上配置辅助 VLAN 干线的拓扑组件
组件 说明

pvlan100,ID 100

主 VLAN

pvlan400,ID 400

主 VLAN

comm300,ID 300

Pvlan100 成员的社区 VLAN

comm600,ID 600

Pvlan400 成员的社区 VLAN

隔离 vlan id 200

独立 VLAN 的 VLAN ID,pvlan100 的成员

隔离-vlan-id 500

独立 VLAN 的 VLAN ID,pvlan400 的成员

xe-0/0/0.0

用于主 Vlan 的混杂接入端口 pvlan100

xe-0/0/1.0

用于主要 Vlan pvlan100 和 pvlan400 的 PVLAN 中继端口

xe-0/0/2.0

独立 VLAN 的辅助中继端口,pvlan100 的成员

xe-0/0/3.0

用于 comm300 的社区接入端口

xe-0/0/5.0

用于 pvlan400 的独立接入端口

xe-0/0/6.0

用于 comm600 的社区接入端口

在交换机1上配置 Pvlan

CLI 快速配置

要在交换机1上快速创建和配置 Pvlan,请复制以下命令并将其粘贴到交换机端子窗口中:

操作

分步过程

要配置专用 Vlan 和辅助 VLAN 中继端口:

  1. 配置接口和端口模式:

  2. 创建主要 Vlan:

    注:

    主 Vlan 必须始终标记为 Vlan,即使它们仅存在于一个设备上也是如此。

  3. 将主要 Vlan 配置为私有:

  4. 配置 PVLAN 中继端口以在交换机之间传输专用 VLAN 信息流:

  5. 使用 VLAN ID 300 创建辅助 VLAN comm300:

  6. 为 comm300 配置主 VLAN:

  7. 为 comm300 配置接口:

  8. 使用 VLAN ID 600 创建辅助 VLAN comm600:

  9. 为 comm600 配置主 VLAN:

  10. 为 comm600 配置接口:

  11. 配置交换机间隔离 Vlan:

    注:

    将辅助 VLAN 中继端口配置为带隔离的 VLAN 时,您还必须配置隔离 vlan id。即使隔离 VLAN 仅存在于一个交换机上也是如此。

  12. 启用中继端口 xe-0/0/0 要为主要 Vlan 执行辅助 Vlan:

  13. 配置中继端口 xe-0/0/0 以携带 comm600 (pvlan400 的成员):

    注:

    无需显式配置 xe-0/0/0 来承载隔离的 VLAN 流量(标记 200 和 500),因为 pvlan100 和 pvlan400 中所有隔离端口(包括 xe-0/0/0.0-)会自动包含在在您配置 和 时创建的隔离 VLAN 中。 isolation-vlan-id 200isolation-vlan-id 500

  14. 配置 xe-0/0/2 和 xe-0/0/6 将被隔离:

成果

检查交换机1上的配置结果:

在交换机2上配置 Pvlan

交换机2的配置与交换机1的配置几乎相同。最重要的差别是交换机2上的 xe 0/0/0 配置为混杂中继端口或混杂接入端口,如图 1图所示。在以下配置中,xe-0/0/0 配置为用于主 VLAN pvlan100 的混杂接入端口。

如果在支持 VLAN 的端口和 egresses 上的流量 ingresses 在混杂接入端口上,VLAN 标记将会丢弃在出口上,此时该点上的信息流未加标记。例如,在交换机1上的 xe-0/0/0.0 上配置的辅助 VLAN 中继端口上的 comm600 ingresses 的流量,并在通过辅助 VLAN 转发时传输标记600。当 egresses 从 xe-0/0/0.0 在交换机2上,如果将 xe-0/0/0.0 配置为一个混杂访问端口(如本示例中所示),则会未标记。如果您改为将 xe 0/0/0.0 配置为混杂中继端口(端口模式干线),则 comm600 的信息流将在 egresses 时携带其主 VLAN 标记(400)。

CLI 快速配置

要在交换机2上快速创建和配置 Pvlan,请复制以下命令并将其粘贴到交换机端子窗口中:

操作

分步过程

要配置专用 Vlan 和辅助 VLAN 中继端口:

  1. 配置接口和端口模式:

  2. 创建主要 Vlan:

  3. 将主要 Vlan 配置为私有:

  4. 配置 PVLAN 中继端口以在交换机之间传输专用 VLAN 信息流:

  5. 使用 VLAN ID 300 创建辅助 VLAN comm300:

  6. 为 comm300 配置主 VLAN:

  7. 为 comm300 配置接口:

  8. 使用 VLAN ID 600 创建辅助 VLAN comm600:

  9. 为 comm600 配置主 VLAN:

  10. 为 comm600 配置接口:

  11. 配置交换机间隔离 Vlan:

  12. 将访问端口 xe 0/0/0 配置为 pvlan100 的混杂:

    注:

    一个混杂接入端口只能是一个主 VLAN 的成员。

  13. 配置 xe-0/0/2 和 xe-0/0/6 将被隔离:

成果

检查交换机2上的配置结果:

针对

要确认配置是否正常运行,请执行以下任务:

验证专用 VLAN 和辅助 Vlan 是否已创建

用途

验证主 VLAN 和辅助 Vlan 是否在交换机1上正确创建。

行动

使用show vlans命令:

含义

输出显示,专用 Vlan 已创建并识别与其相关联的接口和辅助 Vlan。

验证以太网交换表条目

用途

验证是否为主 VLAN pvlan100 创建了以太网交换表条目。

行动

显示 pvlan100 的以太网交换表条目。

验证专用 VLAN 是否在交换机上工作

用途

创建和配置专用 Vlan (Pvlan)之后,请确认它们已正确设置。

行动

  1. 要确定您是否成功创建了主 VLAN 配置和辅助

    • 对于单个交换机上的 PVLAN,使用以下show configuration vlans命令:

    • 对于跨越多个交换机的 PVLAN,请使用 show vlans extensive 以下命令:

  2. show vlans extensive使用命令查看单个交换机或跨多个交换机的 PVLAN 上的 PVLAN 的 VLAN 信息和链路状态。

    • 对于单个交换机上的 PVLAN:

    • 对于跨多个交换机的 PVLAN:

  3. 使用show ethernet-switching table命令查看 vlan 上的 MAC 学习日志:

注:

如果您配置了跨多台交换机的 PVLAN,则可以在所有交换机上使用相同的命令检查这些交换机上的 MAC 学习日志。

含义

在单个交换机上的 PVLAN 的输出显示中,您可看到主 VLAN 包含两个社区域 ( 和 )、两个隔离端口和 community1community2 两个中继端口。单个交换机上的 PVLAN 仅有一个标记 ( 1000 ),用于主 VLAN。

跨越多个交换机的 PVLAN 包含多个标记:

  • 公共组 COM1 域通过标记标识 100

  • 公共组 community2 域通过标记标识 20

  • 交换机间隔离域使用标记标识 50

  • 主 VLAN primary 使用标记标识 10

此外,对于跨越多个交换机的 PVLAN,中继接口标识为 pvlan-trunk

QFX 交换机上的专用 Vlan 故障排除

使用以下信息对专用 VLAN 配置进行故障排除。

专用 Vlan 的限制

以下约束适用于专用 VLAN 配置:

  • 专用 Vlan 不支持 IGMP 侦听。

  • 专用 Vlan 不支持路由 VLAN 接口

  • 不支持同一主 VLAN 中的次 Vlan 之间的路由。

  • 如果要将主 VLAN 更改为辅助 VLAN,则必须先将其更改为正常 VLAN,然后提交更改。例如,您可以按照以下过程操作:

    1. 将主 VLAN 更改为正常 VLAN。

    2. 提交配置。

    3. 将正常 VLAN 更改为辅助 VLAN。

    4. 提交配置。

    如果要将辅助 VLAN 更改为主 VLAN,请遵循相同的提交顺序。也就是说,使辅助 VLAN 成为正常 VLAN 并提交更改,然后将正常 VLAN 更改为主 VLAN。

使用专用 Vlan 转发

说明
  • 在 PVLAN 中继端口上收到隔离的 VLAN 或社区 VLAN 标记信息流时,将从主 VLAN 获知 MAC 地址。这意味着显示以太网交换表命令的输出显示 MAC 地址从主要 vlan 获知并复制到辅助 vlan。此行为对转发决策没有影响。

  • 如果在混杂端口上收到带有辅助 VLAN 标记的数据包,将接受并转发。

  • 如果在 PVLAN 中继端口上收到数据包并同时满足下面列出的两个条件,则将其丢弃。

    • 该数据包具有社区 VLAN 标记。

    • 数据包发往在隔离的 VLAN 上了解的单播 MAC 地址或多播组 MAC 地址。

  • 如果在 PVLAN 中继端口上收到数据包并同时满足下面列出的两个条件,则将其丢弃。

    • 该数据包具有隔离的 VLAN 标记。

    • 数据包发往在社区 VLAN 中了解的单播 MAC 地址或多播组 MAC 地址。

  • 如果带有主 VLAN 标记的数据包由辅助(独立或社区) VLAN 端口接收,则辅助端口转发数据包。

  • 如果您在一个设备上配置一个社区 VLAN 并在另一个设备上配置另一个社区 VLAN,并且两个社区 Vlan 使用相同的 VLAN ID,则其中一个 Vlan 的流量可转发至其他 VLAN。例如,假设以下配置:

    • 交换机1上的社区 VLAN comm1 具有 VLAN ID 50,是主 VLAN pvlan100 的成员。

    • 交换机2上的社区 VLAN comm2 还具有 VLAN ID 50,是主 VLAN pvlan200 的成员。

    • 两台交换机上都存在主 VLAN pvlan100。

    如果 comm1 的信息流从交换机1发送到交换机2,则会发送至参与 comm2 的端口。(根据您的期望,流量也将转发到 comm1 中的端口。)

解决方案

这些是预期的行为。

带有专用 Vlan 的出口防火墙过滤器

说明

如果您将输出方向上的防火墙过滤器应用于主 VLAN,则该过滤器也适用于作为主 VLAN 成员的辅助 Vlan (当流量 egresses 具有主 vlan 标记或隔离 VLAN 标记时),如下所列:

  • 从辅助 VLAN 中继端口转发到混杂端口(中继或接入)的流量

  • 从辅助 VLAN 中继端口转发的流量,将隔离 VLAN 传送到 PVLAN 中继端口。

  • 从混杂端口(中继或访问)转发到辅助 VLAN 中继端口的流量

  • 从 PVLAN 中继端口转发的流量。至辅助 VLAN 中继端口

  • 从社区端口转发到混杂端口(中继或接入)的流量

如果将输出方向上的防火墙过滤器应用于主 VLAN,则过滤器不会应用于egresses 与社区 vlan 标记进行通信的流量,如下所列:

  • 从社区中继端口转发至 PVLAN 中继端口的流量

  • 从将一个社区 VLAN 传送到 PVLAN 中继端口的辅助 VLAN 中继端口转发的流量

  • 从混杂端口(中继或接入)转发到社区中继端口的流量

  • 从 PVLAN 中继端口转发的流量。到社区中继端口

如果您将输出方向上的防火墙过滤器应用于社区 VLAN,则以下行为适用:

  • 过滤器适用于从混杂端口(干线或接入)转发至社区中继端口的流量(因为 egresses 与社区 VLAN 标记通信)。

  • 过滤器适用于从社区端口转发至 PVLAN 中继端口的流量(因为与社区 VLAN 标记的信息流 egresses)。

  • 该过滤器会应用于从社区端口转发到混杂端口的流量(因为流量 egresses 带有主 VLAN 标记或未标记)。

解决方案

这些是预期的行为。仅当您将防火墙过滤器应用于输出方向上的专用 VLAN,并且在输入方向将防火墙过滤器应用于专用 VLAN 时,才会发生这些情况。

使用专用 Vlan 的出口端口镜像

说明

如果创建在出口上镜像专用 VLAN (PVLAN)流量的端口镜像配置,镜像流量(发送到分析器系统的流量)具有入口 VLAN 的 VLAN 标记,而非出口 VLAN。例如,假设以下 PVLAN 配置:

  • 用于传送主 Vlan pvlan100 和 pvlan400 的混杂中继端口。

  • 用于传输辅助 VLAN isolated200 的独立接入端口。此 VLAN 是主 VLAN pvlan100 的成员。

  • 承载辅助 VLAN comm300 的社区端口。此 VLAN 也是主 VLAN pvlan100 的成员。

  • 连接到分析器系统的输出接口(监控接口)。此接口会将镜像流量转发至分析器。

如果用于 pvlan100 的数据包在混杂中继端口上输入并在孤立接入端口上退出,则原始数据包在出口上未加标签,因为它正在接入端口上退出。但是,镜像副本会在发送至 analyzer 时保留 pvlan100 的标记。

下面是另一个示例:如果在混杂中继端口上的社区端口和 egresses 上的 comm300 ingresses 数据包,则原始数据包会按预期进入出口上的 pvlan100 标记。但是,镜像副本在发送至 analyzer 时将保留 comm300 的标记。

解决方案

这是预期的行为。