Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

专用 VLAN

了解专用 VLAN

VLAN 将广播限制为指定用户。专用 VLAN (PVLAN) 通过限制 VLAN 内的通信,使这一概念更进一步。PVLAN 通过其成员交换机端口(称为 专用端口)限制流量来实现这一目标,以便这些端口仅与指定的上行链路中继端口或同一 VLAN 内的指定端口通信。上行链路中继端口或链路聚合组 (LAG) 通常连接到路由器、防火墙、服务器或提供商网络。每个 PVLAN 通常包含许多仅与单个上行链路端口通信的专用端口,从而阻止端口相互通信。

PVLAN 在 VLAN 内的端口之间提供第 2 层隔离,通过在主 VLAN 内创建辅助 VLAN(社区 VLAN 和 隔离 VLAN),将广播域划分为多个离散的广播子域。同一公共组 VLAN 内的端口可以相互通信。隔离 VLAN 中的端口 只能 与单个上行链路端口通信。

与常规 VLAN 一样,PVLAN 在第 2 层被隔离,需要以下选项之一才能在辅助 VLAN 中路由第 3 层流量:

  • 与路由器的混合端口连接

  • 路由的 VLAN 接口 (RVI)

注:

要在辅助 VLAN 之间路由第 3 层流量,PVLAN 仅需要上述选项之一。如果使用 RVI,您仍然可以实施与路由器的混合端口连接,并设置为仅处理进出 PVLAN 的流量。

PVLAN 可用于限制广播流和未知单播流量,以及限制已知主机之间的通信。服务提供商使用 PVLAN 使客户彼此彼此隔离。PVLAN 的另一个典型用途是在酒店提供每间客房的互联网接入。

注:

您可以配置一个 PVLAN 来跨越支持 PVLAN 的交换机。

本主题介绍有关 EX 系列交换机上 PVLAN 的以下概念:

PVLAN 的优势

在以下部署场景中,需要分离单个 VLAN 特别有用:

  • 服务器场 — 典型的互联网服务提供商使用服务器群为众多客户提供 Web 托管。在单个服务器群中查找各种服务器可提供易管理性。如果所有服务器都在同一个 VLAN 中,则会出现安全问题,因为第 2 层广播会传输到 VLAN 中的所有服务器。

  • 城域以太网网络 — 城域以太网服务提供商提供对各种房屋、租赁社区和企业的 2 层以太网接入。每个客户部署一个 VLAN 的传统解决方案无法扩展和管理,导致 IP 地址可能被浪费。PVLAN 提供更安全、更高效的解决方案。

PVLAN 的典型结构和主要应用

PVLAN 可在单个交换机上配置,也可配置为跨越多个交换机。域和端口的类型包括:

  • 主 VLAN — PVLAN 的主 VLAN 使用完整 PVLAN 的 802.1Q 标记 (VLAN ID) 进行定义。主 PVLAN 可包含多个辅助 VLAN(一个隔离 VLAN 和多个公共组 VLAN)。

  • 隔离 VLAN/隔离端口 — 主 VLAN 只能包含一个隔离 VLAN。隔离 VLAN 中的接口只能将数据包转发至混合端口或交换机间链路 (ISL) 端口。隔离接口无法将数据包转发至另一个隔离接口;隔离接口无法从另一个隔离接口接收数据包如果客户设备 需要访问网关路由器,则设备必须连接到隔离的中继端口。

  • 社区 VLAN/社区端口 — 您可以在单个 PVLAN 中配置多个社区 VLAN。特定公共组 VLAN 中的接口可与属于同一公共组 VLAN 的任何其他接口建立第 2 层通信。公共组 VLAN 中的接口也可与混合端口或 ISL 端口通信。 例如,如果有两个客户设备,您需要与其他客户设备隔离,但必须能够相互通信,请使用公共组端口。

  • 混合端口 — 无论某个接口属于孤立的 VLAN 还是社区 VLAN,混合端口都与 PVLAN 中的所有接口具有第 2 层通信。混合端口是主要 VLAN 的成员,但不包含在任何辅助子域中。第 3 层网关、DHCP 服务器和其他需要与端点设备通信的可信设备通常连接到混合端口。

  • 交换机间链路 (ISL)—ISL 是连接 PVLAN 中多个交换机的中继端口,包含两个或更多 VLAN。只有在 PVLAN 跨越多个交换机时才需要此项。

配置的 PVLAN 是 域(主 VLAN)。在 PVLAN 中,您可配置 辅助 VLAN,这些 VLAN 将成为嵌套在主域中的子域。PVLAN 可在单个交换机上配置,也可配置为跨越多个交换机。中显示的 图 1 PVLAN 包括两台交换机,带有一个主 PVLAN 域和各种子域。

图 1: PVLAN 中的子域PVLAN 中的子域

如 中 图 3所示,PVLAN 只有一个主域和多个辅助域。域类型包括:

  • 主要 VLAN — VLAN,用于将帧下游转发至隔离和社区 VLAN。PVLAN 的主 VLAN 使用完整 PVLAN 的 802.1Q 标记 (VLAN ID) 进行定义。主 PVLAN 可包含多个辅助 VLAN(一个隔离 VLAN 和多个公共组 VLAN)。

  • 辅助隔离 VLAN — 仅从主 VLAN 接收数据包的 VLAN,并将帧上游转发至主 VLAN。隔离的 VLAN 是嵌套在主 VLAN 中的辅助 VLAN。主 VLAN 只能包含一个隔离 VLAN。隔离 VLAN 内的接口(隔离接口)只能将数据包转发至混合端口或 PVLAN 中继端口。隔离接口无法将数据包转发至另一个隔离接口;隔离接口也无法从另一个隔离接口接收数据包。如果客户设备 需要访问路由器,则设备必须连接到隔离的中继端口。

  • 辅助交换机间交换隔离 VLAN — VLAN 用于通过 PVLAN 中继端口将隔离 VLAN 流量从一台交换机转发至另一台。802.1Q 标记是交换隔离 VLAN 的必备装置,因为 IEEE 802.1Q 使用内部标记机制,其中中继设备将 4 字节 VLAN 帧识别选项卡插入数据包标头中。交换机间隔离 VLAN 是嵌套在主 VLAN 中的辅助 VLAN。

  • 辅助社区 VLAN — VLAN,用于在社区成员(VLAN 中的用户子集)之间传输帧,并将帧上游转发至主 VLAN。公共组 VLAN 是嵌套在主 VLAN 中的辅助 VLAN。您可以在单个 PVLAN 中配置多个公共组 VLAN。特定公共组 VLAN 中的接口可与属于同一公共组 VLAN 的任何其他接口建立第 2 层通信。公共组 VLAN 中的接口也可与混合端口或 PVLAN 中继端口通信。

图 2 显示了跨越多个交换机的 PVLAN,其中主 VLAN (100) 包含两个公共组域 (300400)和一个交换机隔离域。

图 2: 跨越多个交换机的 PVLAN跨越多个交换机的 PVLAN
注:

主 VLAN 和辅助 VLAN 与 QFX 系列上支持的 4089 个 VLAN 的上限相符。例如,每个 VLAN 都 图 2 根据此限制计数。

MX 系列路由器上的 PVLAN 典型结构和主要应用

配置的 PVLAN 将成为主域,而辅助 VLAN 则成为嵌套在主域内的子域。可以在单个路由器上创建 PVLAN。中显示的 图 3 PVLAN 包括一个路由器,其中包含一个主 PVLAN 域和多个辅助子域。

图 3: 使用一个路由器的 PVLAN 中的子域使用一个路由器的 PVLAN 中的子域

域类型包括:

  • 主要 VLAN — VLAN,用于将帧下游转发至隔离和社区 VLAN。

  • 辅助隔离 VLAN — 仅从主 VLAN 接收数据包的 VLAN,并将帧上游转发至主 VLAN。

  • 辅助交换机间隔离 VLAN — VLAN 用于通过 PVLAN 中继端口将隔离 VLAN 流量从一个路由器转发至另一个。

  • 辅助社区 VLAN — VLAN,用于在公共组成员之间传输帧(这是 VLAN 中的用户子集),并将帧上游转发至主 VLAN。

注:

MX80 路由器上支持 PVLAN,MX240、MX480 和 MX960 路由器上支持增强型 LAN 模式中的 DPC,MX 系列路由器上支持 MPC1、MPC2 和自适应服务 PIC。

EX 系列交换机上的 PVLAN 典型结构和主要应用

注:

PVLAN 的主 VLAN 使用完整 PVLAN 的 802.1Q 标记 (VLAN ID) 进行定义。在 EX9200 交换机上,每个辅助 VLAN 都必须使用自己的单独 VLAN ID 进行定义。

图 4 显示了单个交换机上的 PVLAN,其中主 VLAN (VLAN 100) 包含两个公共组 VLAN(VLAN 300 和 VLAN 400)和一个隔离 VLAN (VLAN 50)。

图 4: 单个 EX 交换机上的专用 VLAN单个 EX 交换机上的专用 VLAN

图 5 显示了跨越多个交换机的 PVLAN,其中主 VLAN (VLAN 100) 包含两个公共组 VLAN(VLAN 300 和 VLAN 400)和一个隔离 VLAN (VLAN 200)。它还表明交换机 1 和 2 通过交换机间链路(PVLAN 中继链路)连接。

图 5: 跨越多个 EX 系列交换机的 PVLAN跨越多个 EX 系列交换机的 PVLAN

此外,中 图 4 所示的 PVLAN,并 图 5 使用连接到路由器的混合端口作为在公共组和隔离 VLAN 之间路由第 3 层流量的方法。您无需使用连接到路由器的混合端口,而是可以在 中所示交换机或中所示图 5交换机图 4之一(某些 EX 交换机上)上配置 RVI。

要在隔离和社区 VLAN 之间路由第 3 层流量,您必须将路由器连接到混合端口,如 和 中图 4图 5所示,或配置 RVI。

如果您选择 RVI 选项,则必须为 PVLAN 域中的主 VLAN 配置一个 RVI。无论该域包含一个还是多个交换机,此 RVI 都能服务于整个 PVLAN 域。配置 RVI 后,辅助 VLAN 接口接收的第 3 层数据包将由 RVI 映射和路由。

设置 RVI 时,还必须启用代理地址解析协议 (ARP),以便 RVI 可以处理辅助 VLAN 接口接收的 ARP 请求。

有关在单个交换机上和多台交换机上配置 PVLAN 的信息,请参阅 在单个 EX 系列交换机上创建专用 VLAN(CLI 过程)。 有关配置 RVI 的信息,请参阅 在 EX 系列交换机上的专用 VLAN 中配置路由 VLAN 接口

隔离和社区 VLAN 之间的路由

要在隔离和公共组 VLAN 之间路由第 3 层流量,必须将外部路由器或交换机连接到主 VLAN 的中继端口。主 VLAN 的中继端口是 混合 端口;因此,它可以与 PVLAN 中 的所有 端口进行通信

PVLAN 使用 802.1Q 标记识别数据包

当数据包标有客户特定的 802.1Q 标记时,该标记将标识网络中任何交换机或路由器的数据包所有权。有时,PVLAN 中需要 802.1Q 标记来跟踪来自不同子域的数据包。 表 1 指示主 VLAN 或辅助 VLAN 上需要 VLAN 802.1Q 标记时。

表 1: 当 PVLAN 中的 VLAN 需要 802.1Q 标记时

在单个交换机上 在多台交换机上

主要 VLAN

通过设置 VLAN ID 指定 802.1Q 标记。

通过设置 VLAN ID 指定 802.1Q 标记。

辅助 VLAN

VLAN 上无需标记。

VLAN 需要 802.1Q 标记:

  • 通过设置 VLAN ID 为每个社区 VLAN 指定 802.1Q 标记。

  • 设置隔离 ID,为隔离 VLAN ID 指定 802.1Q 标记。

PVLAN 高效使用 IP 地址

PVLAN 提供 IP 地址保护和有效分配 IP 地址。在典型网络中,VLAN 通常对应于单个 IP 子网。在 PVLAN 中,所有辅助 VLAN 中的主机都属于同一 IP 子网,因为子网分配给主 VLAN。辅助 VLAN 中的主机将根据与主 VLAN 关联的 IP 子网分配 IP 地址,其 IP 子网掩码信息将反映主 VLAN 子网的信息。但是,每个辅助 VLAN 都是一个单独的广播域。

PVLAN 端口类型和转发规则

PVLAN 最多可以使用六种不同的端口类型。中所图 2 述的网络使用混合端口将信息传输到路由器,使用社区端口将财务和人力资源社区连接到其各自的交换机,使用隔离端口连接服务器,以及用于连接两台交换机的 PVLAN 中继端口。PVLAN 端口有不同的限制:

  • 混合中继端口 — 无论接口属于隔离 VLAN 还是社区 VLAN,混合端口都与 PVLAN 中的所有接口具有第 2 层通信。混合端口是主要 VLAN 的成员,但不包含在其中一个辅助子域中。第 3 层网关、DHCP 服务器和其他需要与端点设备通信的可信设备通常连接到混合端口。

  • PVLAN 中继链路 — PVLAN 中继链路也称为交换机间链路,只有在配置为跨越多个交换机的 PVLAN 时才必需此链路。PVLAN 中继链路连接构成 PVLAN 的多个交换机。

  • PVLAN 中继端口 — 多交换机 PVLAN 配置中需要一个 PVLAN 中继端口来跨越交换机。PVLAN 中继端口是 PVLAN 中所有 VLAN(即主 VLAN、社区 VLAN 和交换机间隔离 VLAN)的成员,它承载着来自主 VLAN 和所有辅助 VLAN 的流量。它可以与隔离端口以外的所有端口进行通信。

    PVLAN 中继端口与隔离端口之间的通信通常是单向通信。PVLAN 中继端口在交换机间隔离 VLAN 中的成员资格仅是出口,这意味着隔离端口可以将数据包转发至 PVLAN 中继端口,但 PVLAN 中继端口不会将数据包转发至隔离端口(除非数据包入口在混合接入端口上,因此会转发至与混合端口相同的主 VLAN 中的所有辅助 VLAN)。

  • 辅助 VLAN 中继端口(未显示)—辅助中继端口承载辅助 VLAN 流量。对于给定专用 VLAN,辅助 VLAN 中继端口只能为一个辅助 VLAN 承载流量。但是,只要每个辅助 VLAN 都是不同主 VLAN 的成员,辅助 VLAN 中继端口就可以为多个辅助 VLAN 承载流量。例如,辅助 VLAN 中继端口可以为属于主 VLAN pvlan100 的公共组 VLAN 承载流量,还可以为作为主 VLAN pvlan400 一部分的隔离 VLAN 承载流量。

  • 公共组端口 — 社区端口之间相互通信,并与它们的混合端口进行通信。公共组端口仅服务于选定用户组。这些接口在第 2 层与其他社区中所有其他接口或其 PVLAN 内的隔离端口分隔。

  • 隔离接入端口 — 隔离端口仅具有与混合端口和 PVLAN 中继端口的第 2 层连接,即使这两个端口是相同隔离 VLAN(或交换机间隔离 VLAN)域的成员,也无法与另一个隔离端口通信。通常,服务器(例如邮件服务器或备份服务器)会在隔离端口上连接。在酒店中,每个房间通常都会在隔离的端口上连接,这意味着无法进行从房间到房间的通信,但每个房间都可以通过混合端口访问互联网。

  • 混合访问端口(未显示)—这些端口承载未标记的信息流。入口在混合接入端口上的流量会转发至设备上的所有辅助 VLAN 端口。如果流量在支持 VLAN 的端口上进入设备并在混合访问端口上出口,则该流量在出口上未标记。如果混合访问端口上有标记的流量入口,则信息流将被丢弃。

  • Interswitch 链路端口 — 交换机间链路 (ISL) 端口是一个中继端口,可在 PVLAN 跨越这些路由器时连接两个路由器。ISL 端口是 PVLAN 中所有 VLAN 的成员(即主 VLAN、社区 VLAN 和隔离 VLAN)。

    ISL 端口与隔离端口之间的通信是单向通信。ISL 端口在交换机间隔离 VLAN 中的成员资格仅属于出口,这意味着 ISL 端口上的传入流量永远不会被分配给隔离的 VLAN。隔离端口可将数据包转发至 PVLAN 中继端口,但 PVLAN 中继端口无法将数据包转发至隔离端口。 表 3 汇总了不同类型的端口之间是否存在第 2 层连接。

表 2 汇总了支持 ELS 的 EX 系列交换机上 PVLAN 内不同类型的端口之间的第 2 层连接。

表 2: 支持 ELS 的 EX 系列交换机上的 PVLAN 端口和第 2 层转发

从端口类型

去隔离端口?

混合端口?

到公共组端口?

切换间链路端口?

孤立

拒绝

允许

拒绝

允许

混杂

允许

允许

允许

允许

社区 1

拒绝

允许

允许

允许

表 3: PVLAN 端口和 2 层连接

端口类型

混合中继

PVLAN 中继

辅助中继中继

社区

隔离访问

混合访问

混合中继

PVLAN 中继

是 — 仅同一社区

辅助中继中继

社区

是 — 仅同一社区

隔离访问

是 — 仅单向

混合访问

表 4 汇总了 PVLAN 中不同类型的端口之间是否存在第 2 层连接。

表 4: EX 系列交换机上的 PVLAN 端口和 2 层连接,不支持 ELS

端口类型

新版:→

发件人:↓

混杂

社区

孤立

PVLAN 中继

RVI

混杂

社区

是 — 仅同一社区

孤立

注:

这种通信是单向的。

PVLAN 中继

是 — 仅同一社区

注:

这种通信是单向的。

RVI

如 中 表 4所述,隔离端口与 PVLAN 中继端口之间的第 2 层通信是单向通信。也就是说,隔离端口只能将数据包发送至 PVLAN 中继端口,而 PVLAN 中继端口只能从隔离端口接收数据包。相反,PVLAN 中继端口无法将数据包发送至隔离端口,而隔离端口无法从 PVLAN 中继端口接收数据包。

注:

如果您在主 VLAN 上启用 no-mac-learning ,则 PVLAN 中所有隔离的 VLAN(或交换机间隔离 VLAN)都继承了该设置。但是,如果您想要禁用任何社区 VLAN 上的 MAC 地址学习,则必须在每个 VLAN 上配置 no-mac-learning

创建 PVLAN

图 6 显示的 flowchart 让您对创建 PVLAN 的过程有了一个概念。如果您按照所示的顺序完成配置步骤,则不会违反这些 PVLAN 规则。(在 PVLAN 规则中,配置 PVLAN 中继端口仅适用于跨越多个路由器的 PVLAN。)

  • 主要 VLAN 必须是标记的 VLAN。

  • 如果要配置社区 VLAN ID,必须先配置主要 VLAN。

  • 如果您要配置隔离 VLAN ID,必须先配置主 VLAN。

注:

不支持在 PVLAN 接口上配置 IP 语音 (VoIP) VLAN。

在单个路由器上配置 VLAN 相对简单,如 中 图 6所示。

图 6: 在单个交换机上配置 PVLAN在单个交换机上配置 PVLAN

配置主要 VLAN 由以下步骤组成:

  1. 配置主要 VLAN 名称和 802.1Q 标记。

  2. 设置 no-local-switching 在主 VLAN 上。

  3. 配置混合中继端口和接入端口。

  4. 使主 VLAN 的混合中继和接入端口成为成员。

在主 VLAN 中,您可以配置辅助社区 VLAN 或辅助隔离 VLAN 或两者兼而有之。配置辅助社区 VLAN 包括以下步骤:

  1. 使用通常流程配置 VLAN。

  2. 为 VLAN 配置接入接口。

  3. 将主 VLAN 分配给社区 VLAN,

隔离 VLAN 在内部创建时,隔离 VLAN 具有作为成员的访问接口,并且在主 VLAN 上启用了选项 no-local-switching

802.1Q 标记是交换隔离 VLAN 的必备装置,因为 IEEE 802.1Q 使用内部标记机制,其中中继设备将 4 字节 VLAN 帧识别选项卡插入数据包标头中。

中继端口仅适用于多路由器 PVLAN 配置 — 中继端口承载来自主 VLAN 和所有辅助 VLAN 的信息流。

专用 VLAN 的局限性

以下限制适用于专用 VLAN 配置:

  • 接入接口只能属于一个 PVLAN 域,也就是说,它不能参与两个不同的主 VLAN。

  • 中继接口可以是两个辅助 VLAN 的成员,只要辅助 VLAN 位于两 个不同的 主 VLAN 中。中继接口不能是 位于相同 主 VLAN 中的两个辅助 VLAN 的成员。

  • 必须在 PVLAN 中包含的所有 VLAN 上配置一个多生成树协议 (MSTP) 区域。

  • 不支持 VLAN 生成树协议 (VSTP)。

  • 专用 VLAN 不支持 IGMP 侦听。

  • 专用 VLAN 不支持路由的 VLAN 接口

  • 不支持在同一主 VLAN 中的辅助 VLAN 之间路由。

  • 辅助 VLAN 上无法指定某些配置语句。您只能[edit vlans vlan-name switch-options]层次结构级别上配置以下语句,仅在主 PVLAN 上。

  • 如果要将主要 VLAN 更改为辅助 VLAN,必须先将其更改为正常的 VLAN 并提交更改。例如,您将按照以下步骤操作:

    1. 将主 VLAN 更改为正常的 VLAN。

    2. 提交配置。

    3. 将正常的 VLAN 更改为辅助 VLAN。

    4. 提交配置。

    如果要将辅助 VLAN 更改为主要 VLAN,请遵循相同的提交顺序。也就是说,使辅助 VLAN 成为正常的 VLAN 并提交该更改,然后将正常的 VLAN 更改为主要 VLAN。

Junos 交换机上 PVLAN 不支持以下功能,支持 ELS 配置样式:

  • 出口 VLAN 防火墙过滤器

  • 以太网环路保护 (ERP)

  • 灵活 VLAN 标记

  • 全局 mac 统计数据

  • 集成路由和桥接 (IRB) 接口

  • 多机箱链路聚合组 (MC-LAG)

  • 端口镜像

  • Q-in-Q 隧道

  • VLAN 生成树协议 (VSTP)

  • IP 语音 (VoIP)

您只能在 [edit vlans vlan-name switch-options] 层次结构级别上配置以下语句,仅在主 PVLAN 上:

了解跨多个交换机的 PVLAN 流量

本主题说明了使用专用 VLAN (PVLAN) 配置的示例多交换网络上的三种不同流量流。PVLAN 限制通过其成员交换机端口(称为“专用端口”)的流量,以便它们仅与特定上行链路中继端口或同一 VLAN 内的指定端口通信。

本主题介绍:

发送未标记流量的社区 VLAN

在这种情况下,接口 ge-0/0/0 中的交换机 1 社区 1 中的 VLAN 会发送未标记的流量。中的箭头 图 7 表示此信息流。

图 7: 社区 VLAN 发送未标记的流量社区 VLAN 发送未标记的流量

在这种情况下,交换机 1 上将进行以下活动:

  • 接口上的 Community-1 VLAN ge-0/0/0:知识分享

  • 接口上的 pvlan100 ge-0/0/0:复制

  • 接口上的 Community-1 VLAN ge-0/0/12:接收流量

  • PVLAN 中继端口:流量从 ge-1/0/2 和 ae0 退出,标记为 10

  • Community-2: 接口未收到任何信息流

  • 隔离 VLAN:接口不会收到任何信息流

在这种情况下,此活动发生在交换机 3 上:

  • 接口 ge-0/0/23 上的 Community-1 VLAN(PVLAN 中继):知识分享

  • 接口 ge-0/0/23 上的 pvlan100:复制

  • 接口 ge-0/0/9 和 ge-0/0/16 上的 Community-1 VLAN:接收流量

  • 混合中继端口:带标记 100 的 ge-0/0/0 流量退出

  • 社区-2:接口未收到任何信息流

  • 隔离 VLAN:接口不会收到任何信息流

隔离 VLAN 发送未标记流量

在这种情况下,接口 ge-1/0/0 上的交换机 1 上的隔离 VLAN1 会发送未标记的流量。中的箭头 图 8 表示此信息流。

图 8: 隔离 VLAN 发送未标记的流量隔离 VLAN 发送未标记的流量

在这种情况下,交换机 1 上将进行以下活动:

  • 接口上的隔离 VLAN1 ge-1/0/0:知识分享

  • 接口上的 pvlan100 ge-1/0/0:复制

  • 流量从 pvlan 中继 ge-1/0/2 和 ae0 退出,标记为 50

  • 社区-1 和社区-2:接口不会收到任何信息流

  • 隔离 VLAN:接口不会收到任何信息流

在这种情况下,此活动发生在交换机 3 上:

  • 接口 ge-0/0/23 上的 VLAN(PVLAN 中继端口):知识分享

  • 接口 ge0/0/23 上的 pvlan100:复制

  • 混合中继端口:带标记 100 的 ge-0/0/0 流量退出

  • 社区-1 和社区-2:接口不会收到任何信息流

  • 隔离 VLAN:不接收任何信息流

在混合端口上发送的 PVLAN 标记流量

在这种情况下,PVLAN 标记的流量会在混合端口上发送。中的箭头 图 9 表示此信息流。

图 9: 在混合端口上发送的 PVLAN 标记流量在混合端口上发送的 PVLAN 标记流量

在这种情况下,交换机 1 上将进行以下活动:

  • 接口 ae0 上的 pvlan100 VLAN(PVLAN 中继):知识分享

  • 接口 ae0 上的 Community-1、Community-2 和所有隔离 VLAN:复制

  • 接口 ae0 上的 VLAN:复制

  • 流量从带标记 100 的 pvlan 中继 ge-1/0/2 中退出

  • 社区-1 和社区-2:接口接收流量

  • 隔离 VLAN:接收信息流

在这种情况下,此活动发生在交换机 3 上:

  • 接口上的 pvlan100 ge-0/0/0:知识分享

  • Community-1、Community-2 和接口上的所有隔离 VLAN ge-0/0/0:复制

  • 接口上的 VLAN ge-0/0/0:复制

  • 社区-1 和社区-2:接口接收流量

  • 隔离 VLAN:接收信息流

了解 PVLAN 上的辅助 VLAN 中继端口和混合接入端口

VLAN 将广播限制为指定用户。专用 VLAN (PVLAN) 将 VLAN 划分为多个广播子域,并将辅助 VLAN 本质上置于主 VLAN 内,进一步提升了此概念。PVLAN 限制通过其成员端口的流量,使这些端口仅与指定的上行链路中继端口或同一 VLAN 内的指定端口通信。上行链路中继端口通常连接到路由器、防火墙、服务器或提供商网络。PVLAN 通常包含许多仅与单个上行链路通信的专用端口,从而阻止端口相互通信。

辅助中继端口和混合接入端口扩展了 PVLAN 的功能,以便在复杂部署中使用,例如:

  • 企业 VMWare 基础架构环境

  • 采用虚拟机管理的多租户云服务

  • 面向多个客户的 Web 托管服务

例如,您可以使用辅助 VLAN 中继端口将 QFX 设备连接到使用专用 VLAN 配置的 VMware 服务器。您可以使用混合访问端口将 QFX 设备连接到不支持中继端口但需要参与专用 VLAN 的系统。

本主题介绍有关 QFX 系列上的 PVLAN 的以下概念:

PVLAN 端口类型

PVLAN 可以使用以下不同端口类型:

  • 混合中继端口 — 混合端口是连接到路由器、防火墙、服务器或提供商网络的上游中继端口。混合中继端口可与所有接口通信,包括 PVLAN 内的隔离端口和公共组端口。

  • PVLAN 中继端口 — 多交换机 PVLAN 配置中需要一个 PVLAN 中继端口来跨越交换机。PVLAN 中继端口是 PVLAN 中所有 VLAN(即主 VLAN、社区 VLAN 和交换机间隔离 VLAN)的成员,它承载着来自主 VLAN 和所有辅助 VLAN 的流量。它可以与所有端口通信。

    PVLAN 中继端口与隔离端口之间的通信通常是单向通信。PVLAN 中继端口在交换机间隔离 VLAN 中的成员资格仅是出口,这意味着隔离端口可以将数据包转发至 PVLAN 中继端口,但 PVLAN 中继端口不会将数据包转发至隔离端口(除非数据包入口在混合接入端口上,因此会转发至与混合端口相同的主 VLAN 中的所有辅助 VLAN)。

  • 辅助 VLAN 中继端口 — 辅助 VLAN 中继端口承载次要 VLAN 流量。对于给定专用(主)VLAN,辅助 VLAN 中继端口只能为一个辅助 VLAN 承载信息流。但是,只要每个辅助 VLAN 都是不同主 VLAN 的成员,辅助 VLAN 中继端口就可以为多个辅助 VLAN 承载流量。例如,辅助 VLAN 中继端口可以为属于主 VLAN pvlan100 的公共组 VLAN 承载流量,还可以为作为主 VLAN pvlan400 一部分的隔离 VLAN 承载流量。

    注:

    当流量从辅助 VLAN 中继端口出口时,通常会承载辅助端口是其成员的主 VLAN 标记。如果您希望从辅助 VLAN 中继端口出口的流量保留其辅助 VLAN 标记,请使用 该 extend-secondary-vlan-id 语句。

  • 公共组端口 — 社区端口之间相互通信,并与它们的混合端口进行通信。公共组端口仅服务于选定用户组。这些接口在第 2 层与其他社区中所有其他接口或其 PVLAN 内的隔离端口分隔。

  • 隔离接入端口 — 隔离端口仅具有与混合端口和 PVLAN 中继端口的 2 层连接。即使这两个端口是同一隔离 VLAN 的成员,隔离的接入端口也无法与另一个隔离端口通信。

  • 混合接入端口 — 这些端口承载未标记的流量,可成为仅有一个主要 VLAN 的成员。入口在混合接入端口上的流量会转发至作为主要 VLAN 成员的辅助 VLAN 的端口,而混合访问端口是该 VLAN 的成员之一。在这种情况下,如果辅助 VLAN 端口是中继端口,则流量在从辅助 VLAN 端口出口时带有适当的辅助 VLAN 标记。如果流量入口在辅助 VLAN 端口上,并在混合访问端口上出口,则该流量在出口上未标记。如果混合访问端口上有标记的流量入口,则信息流将被丢弃。

辅助 VLAN 中继端口详细信息

使用辅助 VLAN 中继端口时,请注意以下几点:

  • 您必须为辅助 VLAN 中继端口将参与的每个主要 VLAN 配置隔离 VLAN ID。即使辅助 VLAN 中继端口携带的辅助 VLAN 仅限于单个设备,情况也是如此。

  • 如果将端口配置为给定主 VLAN 的辅助 VLAN 中继端口,您也可将同一物理端口配置为以下任何一个:

    • 另一个主要 VLAN 的辅助 VLAN 中继端口

    • 另一个主要 VLAN 的 PVLAN 中继

    • 混合中继端口

    • 非专用 VLAN 的接入端口

  • 入口在辅助 VLAN 中继端口(带有辅助 VLAN 标记)和 PVLAN 中继端口上出口的流量会保留出口上的辅助 VLAN 标记。

  • 入口在辅助 VLAN 中继端口和混合中继端口上的出口的流量在出口上带有适当的主 VLAN 标记。

  • 入口在辅助 VLAN 中继端口和混合接入端口上的出口的流量在出口上未标记。

  • 在混合中继端口上带有主 VLAN 标记且出口在辅助 VLAN 中继端口上的流量在出口上带有适当的辅助 VLAN 标记。例如,假设您已在交换机上配置了以下内容:

    • 主要 VLAN 100

    • 作为主要 VLAN 的一部分的社区 VLAN 200

    • 混合中继端口

    • 承载社区 VLAN 200 的二级中继端口

    如果数据包入口在混合中继端口上,带有主 VLAN 标记 100,并在辅助 VLAN 中继端口上出口,则在出口上承载标记 200。

用例

在同一物理接口上,您可以配置多个辅助 VLAN 中继端口(在不同的主 VLAN 中)或将辅助 VLAN 中继端口与其他类型的 VLAN 端口相结合。以下用例提供执行此操作的示例,并显示每个案例中的流量流向:

两个主要 VLAN 中的辅助 VLAN 中继 VLAN 中继

对于此用例,假设您有两台具有以下配置的交换机:

  • 标记为 100 的主 VLAN pvlan100。

    • 隔离的 VLAN 隔离200,标记 200 是 pvlan100 的成员。

    • 标记为 300 的社区 VLAN comm300 是 pvlan100 的成员。

  • 标记为 400 的主 VLAN pvlan400。

    • 隔离的 VLAN 隔离500,标记 500 是 pvlan400 的成员。

    • 标记为 600 的社区 VLAN comm600 是 pvlan400 的成员。

  • 交换机 1 上的接口 xe-0/0/0 连接到此示例中所用专用 VLAN 配置的 VMware 服务器(未显示)。此接口配置为辅助 VLAN 中继端口,用于为辅助 VLAN comm600 和作为 pvlan100 成员的隔离 VLAN(标记 200)承载流量。

  • 交换机 2 上的接口 xe-0/0/0 显示为混合中继端口或混合接入端口。在后一种情况下,您可以假设它连接到不支持中继端口但配置了此示例中使用的专用 VLAN 的系统(未显示)。

  • 在交换机 1 上,xe-0/0/6 是 comm600 的成员,配置为中继端口。

  • 在交换机 2 上,xe-0/0/6 是 comm600 的成员,配置为接入端口。

图 10 显示了这种拓扑结构,以及隔离 200 和 comm600 在交换机 1 上进入 xe-0/0/0 之后的流量将如何流动。请注意,信息流只会在箭头指示的位置流动。例如,交换机 1 上的接口 xe-0/0/2、xe-0/0/3 和 xe-0/0/5 没有箭头,因为这些接口上不会有数据包出口。

图 10: 一个接口上的两个辅助 VLAN 中继端口一个接口上的两个辅助 VLAN 中继端口

以下是 VLAN 隔离 200 的流量:

  1. 在交换机 1 上的辅助 VLAN 中继端口上隔离 200 入口的流量之后,它会出口到 PVLAN 中继端口,因为 PVLAN 中继端口是所有 VLAN 的成员。数据包在出口时保留辅助 VLAN 标记 (200)。
  2. 在交换机 2 上的辅助 VLAN 中继端口上隔离 200 入口的流量之后,它会在 xe-0/0/0 上出口,该端口被配置为混合中继端口或混合访问端口。
    • 如果交换机 2 上的 xe-0/0/0 配置为混合中继端口,则数据包将使用主 VLAN 标记 (100) 出口到此端口。

    • 如果交换机 2 上的 xe-0/0/0 配置为混合访问端口,则此端口上的数据包出口未标记。

请注意,VLAN 隔离 200 的流量不会在交换机 1 或辅助 VLAN 中继端口 xe-0/0/2 上的隔离接入端口 xe-0/0/2 上出口,即使这两个端口是相同隔离 VLAN 的成员。

以下是 VLAN comm600 的信息流:

  1. 交换机 1 上的辅助 VLAN 中继端口上的 comm600 入口流量进入后,由于 PVLAN 中继端口是所有 VLAN 的成员,因此会出口到 PVLAN 中继端口。数据包在出口时保留辅助 VLAN 标记 (600)。

  2. comm600 的流量也出口到交换机 1 上的社区端口 xe-0/0/6 上。由于端口配置为中继,因此信息流已标记。

  3. 交换机 2 上的 PVLAN 中继端口上的 comm600 入口流量进入后,如果此接口配置为混合中继端口,则其出口在 xe-0/0/0 上。

    注:

    如果交换机 2 上的 xe-0/0/0 配置为混合接入端口,则该端口只能参与一个主 VLAN。在这种情况下,混合接入端口是 pvlan100 的一部分,因此 comm600 的流量不会从中出口。

  4. comm600 的流量也在交换机 2 上的社区端口 xe-0/0/6 上出口。在这种情况下,由于端口模式是访问模式,信息流未标记。

辅助 VLAN 中继和混合中继

对于此用例,假设您配置了两台与上一用例相同的端口和 VLAN 交换机,但一个例外:在这种情况下,交换机 1 上的 xe-0/0/0 配置为 VLAN pvlan100 的辅助 VLAN 中继端口,也配置为 pvlan400 的混合中继端口。

图 11 显示了此拓扑,以及隔离 200(pvlan100 成员)和 comm600(pvlan400 成员)的流量在进入交换机 1 后将如何流动。

图 11: 一个接口上的辅助 VLAN 中继和混合中继一个接口上的辅助 VLAN 中继和混合中继

VLAN 隔离 200 的流量与之前的用例相同,但 comm600 的流量却有所不同。以下是 VLAN comm600 的信息流:

  1. 在交换机 1 上的社区 VLAN 端口 xe-0/0/6 上 comm600 入口的流量之后,它会在交换机 1 上的混合中继端口 xe-0/0/0 上出口。在这种情况下,它带有主 VLAN 标记 (400)。
  2. comm600 的流量也出口到 PVLAN 中继端口,因为 PVLAN 中继端口是所有 VLAN 的成员。数据包在出口时保留辅助 VLAN 标记 (600)。
  3. 交换机 2 上的 PVLAN 中继端口上的 comm600 入口流量进入后,如果此接口配置为混合中继端口,则其出口在 xe-0/0/0 上。

    如果此接口配置为混合接入端口,则不会在 xe-0/0/0 上出口,因为端口只能参与 pvlan100。

  4. comm600 的流量也在交换机 2 上的社区端口 xe-0/0/6 上出口。

辅助 VLAN 中继和 PVLAN 中继

对于此用例,假设您配置了两台与之前用例相同的端口和 VLAN 的交换机,但交换机 1 上的 xe-0/0/0 配置为 VLAN pvlan100 的辅助 VLAN 中继端口,还配置为 pvlan400 的 PVLAN 中继端口。

图 12 显示了这种拓扑结构,以及 comm300(pvlan100 成员)和 comm600(pvlan400 成员)的流量在进入交换机 1 后将如何流动。

图 12: 一个接口上的辅助 VLAN 中继和 PVLAN 中继一个接口上的辅助 VLAN 中继和 PVLAN 中继

以下是 VLAN comm300 的信息流:

  1. 在交换机 1 上的公共组端口 xe-0/0/3 上,comm300 入口的流量进入后,由于 PVLAN 中继端口是所有 VLAN 的成员,因此其出口在 PVLAN 中继端口 xe-0/0/1 上。数据包在出口时保留辅助 VLAN 标记 (300)。
    注:

    comm300 的流量不会出口到 xe-0/0/0,因为此接口上的辅助 VLAN 中继端口携带隔离的 200,而不是 comm300。

  2. 交换机 2 上的 PVLAN 中继端口上的 comm300 入口流量进入后,它会在 xe-0/0/0 上出口,后者被配置为混合中继端口或混合接入端口。
    • 如果交换机 2 上的 xe-0/0/0 配置为混合中继端口,则数据包将使用主 VLAN 标记 (100) 出口到此端口。

    • 如果交换机 2 上的 xe-0/0/0 配置为混合访问端口,则此端口上的数据包出口未标记。

  3. comm300 的流量也在交换机 2 上的社区端口 xe-0/0/3 上出口。

以下是 VLAN comm600 的信息流:

  1. 在交换机 1 上的 PVLAN 端口 xe-0/0/0 上的 comm600 入口信息流之后,它会在交换机 1 上的公共组端口 xe-0/0/6 上出口。由于 xe-0/0/6 是中继端口,因此数据包在出口时保留辅助 VLAN 标记 (600)。

  2. comm600 的流量也出口到 PVLAN 中继端口 xe-0/0/1,因为 PVLAN 中继端口是所有 VLAN 的成员。数据包在出口时保留辅助 VLAN 标记 (600)。

  3. 交换机 2 上的 PVLAN 中继端口上的 comm600 入口流量进入后,如果此接口配置为混合中继端口,则其出口在 xe-0/0/0 上。

    如果此接口配置为混合接入端口,则不会在 xe-0/0/0 上出口,因为端口只能参与 pvlan100。

  4. comm600 的流量也在交换机 2 上的社区端口 xe-0/0/6 上出口。由于 xe-0/0/6 是一个接入端口,因此此流量在出口上未标记。

辅助 VLAN 中继和非专用 VLAN 接口

对于此用例,假设您配置了两台与之前的用例相同的端口和 VLAN 交换机,但以下差异除外:

  • 交换机 1 上的 xe-0/0/0 配置:

    • VLAN pvlan100 的二级 VLAN 中继端口

    • vlan700 的接入端口

  • 两台交换机上的端口 xe-0/0/6 都是 vlan700 的接入端口。

图 13 显示了此拓扑,以及隔离 200(pvlan100 成员)和 vlan700 的流量在进入交换机 1 后将如何流动。

图 13: 一个接口上的辅助 VLAN 中继和非专用 VLAN 端口一个接口上的辅助 VLAN 中继和非专用 VLAN 端口

以下是 VLAN 隔离 200 的流量:

  1. 交换机 1 上的辅助 VLAN 中继端口上隔离 200 入口的流量进入后,它会出口到 PVLAN 中继端口。数据包在出口时保留辅助 VLAN 标记 (200)。
  2. 在交换机 2 上的 PVLAN 中继端口上隔离 200 入口的流量之后,它会在 xe-0/0/0 上出口,该端口配置为混合中继端口或混合访问端口。
    • 如果交换机 2 上的 xe-0/0/0 配置为混合中继端口,则数据包将使用主 VLAN 标记 (100) 出口到此端口。

    • 如果交换机 2 上的 xe-0/0/0 配置为混合访问端口,则此端口上的数据包出口未标记。

请注意,VLAN 隔离 200 的流量不会在交换机 1 或辅助 VLAN 中继端口 xe-0/0/2 上的隔离接入端口 xe-0/0/2 上出口,即使这两个端口是相同隔离 VLAN 的成员。

在交换机 1 上的 xe-0/0/0 上配置的接入端口上的 vlan700 入口信息流之后,由于该端口是同一 VLAN 的成员,因此会在接入端口 xe-0/0/6 上出口。vlan700 的流量不会转发至交换机 2(即使交换机 2 上的 xe-0/0/6 是 vlan700 的成员),因为 xe-0/0/1 上的 PVLAN 中继不会携带此 VLAN。

混合接入端口上的流量入口

对于此用例,假设您配置了两台与上一用例相同的端口和 VLAN 的交换机,但是交换机 1 上的 xe-0/0/0 配置为混合接入端口,是 pvlan100 的成员。 图 14 显示了此拓扑结构,以及在通过交换机 1 上的此接口进入后未标记的信息流。

图 14: 混合接入端口上的流量入口混合接入端口上的流量入口

如图所示,在混合接入端口上入口的未标记流量会转发至与混合接入端口的成员相同的主 VLAN 成员的所有辅助 VLAN 端口。当流量从接入端口出口并从中继端口出口(交换机 2 上的 xe-0/0/2)上标记时,流量将未标记。

在同一接口上一起使用 802.1X 身份验证和专用 VLAN

在同一接口上一起了解使用 802.1X 身份验证和 PVLAN

现在,您可以在同一个接口上配置 802.1X 身份验证和专用 VLAN (PVLAN)。

IEEE 802.1X 身份验证提供网络边缘安全,通过阻止接口上请求方(客户端)上的所有流量,保护以太网 LAN 免遭未经授权的用户访问,直至请求方的凭据在 认证服务器 (RADIUS 服务器)上显示并匹配。

专用 VLAN (PVLAN) 在 VLAN 内的端口之间提供第 2 层隔离,通过创建辅助 VLAN,将广播域划分为多个离散的广播子域。PVLAN 可用于限制广播流和未知单播流量,以及限制已知主机之间的通信。

在同时配置了 802.1X 身份验证和 PVLAN 的交换机上,当新设备连接到 PVLAN 网络时,设备将进行身份验证,然后根据 PVLAN 配置或 RADIUS 配置分配给辅助 VLAN。然后,设备将获得 IP 地址,并获得对 PVLAN 网络的访问权限。

注:

本文档不提供有关 802.1X 身份验证或专用 VLAN 的详细信息。有关这些详细信息,请参阅特定于这些单独功能的功能文档。对于 802.1X,请参阅 用户访问和身份验证用户指南。有关 PVLAN,请参阅 以太网交换用户指南

结合 802.1X 身份验证与 PVLAN 的配置准则

在同一接口上配置这两项功能时,请注意以下准则和限制:

  • 您不能将支持 802.1X 的接口配置为混合接口(按配置是主 VLAN 成员的接口)或交换机间链路 (ISL) 接口。

  • 多个用户无法通过逻辑接口上属于相同 PVLAN 域的不同 VLAN 进行认证,例如,如果接口 ge-0/0/0 配置为 supplicant multiple 客户端 C1 和 C2 经过身份验证并分别添加到动态 VLAN V1 和 V2,则 V1 和 V2 必须属于不同的 PVLAN 域。

  • 如果 VoIP VLAN 和数据 VLAN 不同,则这两个 VLAN 必须位于不同的 PVLAN 域中。

  • 更改 PVLAN 成员资格(即在不同的 PVLAN 中重新配置接口)时,必须重新认证客户端。

示例:在一个配置中使用专用 VLAN 配置 802.1X 身份验证

要求

  • Junos OS 版本 18.2R1 或更高版本

  • EX2300、EX3400 或 EX4300 交换机

开始之前,请指定要用作认证服务器的 RADIUS 服务器或服务器。请参阅 指定交换机上的 RADIUS 服务器连接(CLI 过程)

概述

以下配置部分显示访问配置文件配置、802.1X 身份验证配置,最后显示 VLAN(包括 PVLAN)配置。

在一个配置中使用专用 VLAN 配置 802.1X 身份验证

程序
CLI 快速配置
逐步过程

要在一个配置中配置 802.1X 身份验证和 PVLAN:

  1. 配置访问配置文件:

    注:

    配置的 VoIP VLAN 不能是 PVLAN(主要、公共组或隔离)。

  2. 配置 802.1X 设置:

    注:

    配置的数据 VLAN 也可以是公共组 VLAN 或隔离 VLAN。

  3. 配置 VLAN(包括 PVLAN):

结果

在配置模式下,在交换机上输入以下 show 命令以确认您的配置。如果输出未显示预期的配置,请重复此示例中的说明以更正配置。

验证

验证是否在主 VLAN 上学习了客户端 MAC 地址
目的

显示已在主 VLAN 上学习客户端 MAC 地址。

行动
验证主 VLAN 是否为经过验证的 VLAN
目的

显示主 VLAN 显示为经过验证的 VLAN。

行动

将接入端口安全性置于专用 VLAN 上

了解 PVLAN 上的接入端口安全

您现在可以在专用 VLAN (PVLAN) 上启用接入端口安全功能,例如 DHCP 侦听。

出于安全原因,限制广播流和未知单播流量,甚至限制已知主机之间的通信通常很有用。PVLAN 功能允许您将广播域拆分为多个隔离的广播子域,基本上将 VLAN 置于 VLAN 内。

以太网 LAN 容易受到攻击,例如网络设备上的地址欺骗(伪造)和第 2 层拒绝服务 (DoS)。以下接入端口安全功能有助于保护设备免受此类攻击可能导致的信息丢失和生产力损失,您现在可以在 PVLAN 上配置这些安全功能:

  • DHCP 侦听 — 过滤并阻止不可信端口上的入口 DHCP 服务器消息。DHCP 侦听构建并维护 DHCP 租赁信息数据库,称为 DHCP 侦听数据库。

  • DHCPv6 侦听 — 面向 IPv6 的 DHCP 侦听。

  • DHCP option 82 — 又称为 DHCP 中继代理信息选项。帮助保护交换机免遭诸如欺骗 IP 地址和 MAC 地址以及 DHCP IP 地址不足等攻击。Option 82 提供有关 DHCP 客户端网络位置的信息。DHCP 服务器使用此信息为客户端实施 IP 地址或其他参数。

  • DHCPv6 选项:

    • 选项 37 — DHCPv6 的远程 ID 选项;将有关远程主机网络位置的信息插入 DHCPv6 数据包中。

    • 选项 18 — DHCPv6 的电路 ID 选项;将有关客户端端口的信息插入 DHCPv6 数据包中。

    • 选项 16 — DHCPv6 的供应商 ID 选项;将有关客户端硬件供应商的信息插入 DHCPv6 数据包中。

  • 动态 ARP 检测 (DAI)— 防止地址解析协议 (ARP) 欺骗攻击。将 ARP 请求和回复与 DHCP 侦听数据库中的条目进行比较,并根据这些比较的结果做出过滤决策。

  • IP 源保护 — 缓解 IP 地址欺骗攻击对以太网 LAN 的影响;通过 DHCP 侦听数据库验证从不可信访问接口发送的数据包中的源 IP 地址。如果数据包无法验证,则数据包将被丢弃。

  • IPv6 源保护 — IPv6 的 IP 源保护。

  • IPv6 邻居发现检测 — 防止 IPv6 地址欺骗攻击;比较邻接方发现请求和回复与 DHCPv6 侦听数据库中的条目,并根据这些比较的结果做出过滤决策。

注:

本文档不提供有关接入端口安全功能或 PVLAN 的详细信息。有关这些详细信息,请参阅特定于这些单独功能的功能文档。有关接入端口安全,请参阅 安全服务管理指南。有关 PVLAN,请参阅 以太网交换用户指南

在 PVLAN 上设置接入端口安全功能的配置准则

在 PVLAN 上配置接入端口安全功能时,请注意以下准则和限制:

  • 您必须在主 vlan 及其所有辅助 VLAN 上应用 相同的 接入端口安全功能。

  • PVLAN 只能有一个集成路由和桥接 (IRB) 接口,而 IRB 接口必须位于主 VLAN 上。

  • PVLAN 上访问端口安全配置的限制与不在 PVLAN 中的访问端口安全功能配置的限制相同。请参阅 安全服务管理指南中的接入端口安全文档。

示例:在 PVLAN 上配置接入端口安全

要求

  • Junos OS 版本 18.2R1 或更高版本

  • EX4300 交换机

概述

以下配置部分显示:

  • 使用主 VLAN () 及其三个辅助 VLAN(社区 VLAN(和vlan-finance)和隔离 VLAN(vlan-isovlan-privlan-hr)来配置专用 VLAN。

  • 用于在这些 VLAN 上的接口之间发送通信的接口配置。

  • 在构成 PVLAN 的主 VLAN 和辅助 VLAN 上配置接入安全功能。

表 5 列出了示例拓扑的设置。

表 5: 用于配置具有接入端口安全功能的 PVLAN 的拓扑组件
界面 说明

ge-0/0/0.0

主 VLAN (vlan1-pri) 中继接口

ge-0/0/11.0

用户 1、HR 社区 (vlan-hr)

ge-0/0/12.0

用户 2、HR 社区 (vlan-hr)

ge-0/0/13.0

用户 3,金融社区 (vlan-financial)

ge-0/0/14.0

用户 4,金融社区 (vlan-financial)

ge-0/0/15.0

邮件服务器,隔离 (vlan-iso)

ge-0/0/16.0

备用服务器,隔离 (vlan-iso)

ge-1/0/0.0

主 VLAN (vlan-pri) 中继接口

在 PVLAN 上配置接入端口安全

程序
CLI 快速配置
逐步过程

要配置专用 VLAN (PVLAN),然后在该 PVLAN 上配置接入端口安全功能:

  1. 配置 PVLAN — 创建主 VLAN 及其辅助 VLAN 并将 VLAN ID 分配给他们。将接口与 VLAN 关联。(有关配置 VLAN 的详细信息,请参阅 为支持 ELS 的 EX 系列交换机配置 VLAN(CLI 过程)。)

  2. 在主 VLAN 及其所有辅助 VLAN 上配置接入端口安全功能:

    注:

    配置 ARP 检测、IP 源保护、IPv6 源保护、邻接方发现检测、DHCP option 82 或 DHCPv6 选项时,将自动配置 DHCP 侦听和 DHCPv6 侦听。

结果

在配置模式下,在交换机上输入以下 show 命令以确认您的配置。如果输出未显示预期的配置,请重复此示例中的说明以更正配置。

验证

验证访问安全功能是否照预期工作
目的

验证您在 PVLAN 上配置的接入端口安全功能是否按预期工作。

行动

show dhcp-security使用 和 clear dhcp-security CLI 命令验证功能是否按照预期工作。请参阅 《安全服务管理指南》中有关这些命令的详细信息。

在支持 ELS 的单个交换机上创建专用 VLAN(CLI 过程)

注:

此任务对支持增强型第 2 层软件 (ELS) 配置样式的交换机使用 Junos OS。如果您的 EX 系列交换机运行不支持 ELS 的软件,请参阅 在 单个 EX 系列交换机上创建专用 VLAN(CLI 过程)。有关 ELS 详细信息,请参阅 使用增强型第 2 层软件 CLI

注:

运行 Junos OS 版本 15.1X53 的 QFX5100 交换机和 QFX10002 交换机不支持专用 VLAN。

出于安全考虑,限制广播和未知单播流量或限制已知主机之间的通信通常很有用。专用 VLAN (PVLAN) 允许您将广播域(主 VLAN)划分为多个隔离的广播子域(辅助 VLAN),基本上将 VLAN 置于 VLAN 内。此过程介绍如何在单个交换机上创建 PVLAN。

注:

即使在单个交换机上配置了 PVLAN,您也必须为每个辅助 VLAN 指定 VLAN ID。

您无需预配置主 VLAN。本主题显示将主要 VLAN 配置为此 PVLAN 配置过程的一部分。

有关配置 PVLAN 的准则列表,请参阅 了解专用 VLAN

要在单个交换机上配置专用 VLAN:

  1. 设置主要 VLAN 的 VLAN ID:
  2. 在主 VLAN 中配置至少一个接口,以便与 PVLAN 的所有子域通信。此接口可用作 混合 端口。它可以是中继端口,也可以是接入端口。
  3. 将主 VLAN 的另一个混合接口配置为中继端口,以将 PVLAN 连接到外部路由器或交换机:
  4. 为隔离 VLAN 选择 isolated VLAN 选项 private-vlan并设置 VLAN ID,从而创建隔离 VLAN:
    注:

    您只能在专用 VLAN 中创建一个隔离 VLAN。为隔离 VLAN 设置 VLAN 名称是可选的。需要配置 VLAN ID。

  5. 为此社区 VLAN 选择 community VLAN 选项 private-vlan并设置 VLAN ID,从而创建社区 VLAN:
    注:

    要创建其他社区 VLAN,请重复此步骤并为社区 VLAN 指定不同名称。设置公共组 VLAN 的 VLAN 名称是可选的。需要配置 VLAN ID。

  6. 将隔离 VLAN 与主 VLAN 相关联:
  7. 将每个社区 VLAN 与主要 VLAN 相关联:
  8. 如果尚未配置,则至少配置隔离 VLAN 的一个接口。
  9. 如果尚未配置,则至少配置一个公共组 VLAN 接口。
    注:

    在要包含在 PVLAN 的其他社区 VLAN 上重复相同的步骤。

在单个 QFX 交换机上创建专用 VLAN

出于安全原因,限制广播流和未知单播流量,甚至限制已知主机之间的通信通常很有用。专用 VLAN (PVLAN) 功能允许您将广播域拆分为多个隔离的广播子域,基本上将辅助 VLAN 置于主 VLAN 内。本主题介绍如何在单个交换机上配置 PVLAN。

开始之前,请为将成为主 VLAN 一部分的所有辅助 VLAN 配置名称。(您无需预先配置主 VLAN—将其配置为此过程的一部分。)您无需为辅助 VLAN 创建 VLAN ID(标记)。标记辅助 VLANS 时,不会影响功能,但是当在单个交换机上配置辅助 VLAN 时,不会使用标记。

配置 PVLAN 时,请记住这些规则:

  • 主要 VLAN 必须是标记的 VLAN。

  • 如果要配置社区 VLAN,必须先配置主 VLAN 和 PVLAN 中继端口。您还必须使用 pvlan 语句将主 VLAN 配置为专用 VLAN

  • 如果要配置隔离 VLAN,必须先配置主 VLAN 和 PVLAN 中继端口。

如果您按照所示的顺序完成配置步骤,则不会违反这些 PVLAN 规则。要在单个交换机上配置专用 VLAN:

  1. 设置主 VLAN 的名称和 VLAN ID(802.1Q 标记):
  2. 将 VLAN 配置为专用:
  3. 为主 VLAN 配置中继接口:
  4. 将中继接口添加至主 VLAN:
  5. 配置公共组(辅助)VLAN 的接入接口:
  6. 将接入接口添加至公共组 VLAN:
  7. 对于每个社区 VLAN,设置主要 VLAN:
  8. 配置隔离端口:

在单个 EX 系列交换机上创建专用 VLAN(CLI 过程)

出于安全原因,限制广播流和未知单播流量,甚至限制已知主机之间的通信通常很有用。EX 系列交换机上的专用 VLAN (PVLAN) 功能允许您将广播域(也称为主 VLAN)拆分为多个隔离广播子域,也称为辅助 VLAN。将主 VLAN 拆分为辅助 VLAN 基本上可以将 VLAN 嵌套在另一个 VLAN 内。本主题介绍如何在单个交换机上配置 PVLAN。

开始之前,请为将成为主 VLAN 一部分的所有辅助 VLAN 配置名称。(与辅助 VLAN 不同,您不需要预配置主 VLAN — 此过程提供了主 VLAN 的完整配置。)尽管在单个交换机上配置辅助 VLAN 时不需要标记,但将辅助 VLAN 配置为标记不会对其功能产生不利影响。有关配置辅助 VLAN 的说明,请参阅 为 EX 系列交换机配置 VLAN

在单个交换机上配置 PVLAN 时,请记住这些规则:

  • 主要 VLAN 必须是标记的 VLAN。

  • 不支持在 PVLAN 接口上配置 VoIP VLAN。

要在单个交换机上配置专用 VLAN:

  1. 设置主要 VLAN 的 VLAN ID:
  2. 设置接口和端口模式:
  3. 配置主 VLAN 中的接入端口,以不将数据包转发至其他端口:
  4. 对于每个社区 VLAN,配置接入接口:
  5. 对于每个社区 VLAN,设置主要 VLAN:

隔离 VLAN 未配置为此过程的一部分。如果在主 VLAN 上启用,并且隔离的 VLAN 具有作为成员的访问接口,则会在内部 no-local-switching 创建这些接口。

要使用路由 VLAN 接口 (RVI) 而不是连接到路由器的混合端口,可选择启用隔离和社区 VLAN 之间的路由,请参阅 在 EX 系列交换机上的专用 VLAN 中配置路由 VLAN 接口

注:

只有 EX8200 交换机或 EX8200 虚拟机箱支持使用 RVI 在 PVLAN 域中的隔离和公共组 VLAN 之间路由第 3 层流量。

创建跨越多个 QFX 系列交换机的专用 VLAN

出于安全原因,限制广播流和未知单播流量,甚至限制已知主机之间的通信通常很有用。专用 VLAN (PVLAN) 功能允许您将广播域拆分为多个隔离的广播子域,基本上将辅助 VLAN 置于主 VLAN 内。本主题介绍如何配置 PVLAN 以跨越多个交换机。

开始之前,请为将成为主 VLAN 一部分的所有辅助 VLAN 配置名称。(您无需预先配置主 VLAN—将其配置为此过程的一部分。)您无需为辅助 VLAN 创建 VLAN ID(标记)。标记辅助 VLANS 时,不会影响功能,但是当在单个交换机上配置辅助 VLAN 时,不会使用标记。

以下规则适用于创建 PVLAN:

  • 主要 VLAN 必须是标记的 VLAN。

  • 如果要配置社区 VLAN,必须先配置主 VLAN 和 PVLAN 中继端口。您还必须使用 pvlan 语句将主 VLAN 配置为专用 VLAN

  • 如果要配置隔离 VLAN,必须先配置主 VLAN 和 PVLAN 中继端口。

如果您按照所示的顺序完成配置步骤,则不会违反这些 PVLAN 规则。要配置专用 VLAN 以跨越多个交换机:

  1. 设置主 VLAN 的名称和 VLAN ID(802.1Q 标记):
  2. 将 VLAN 配置为专用:
  3. 为主 VLAN 配置中继接口:
  4. 将中继接口添加至主 VLAN:
  5. 配置公共组(辅助)VLAN 的接入接口:
  6. 将接入接口添加至公共组 VLAN:
  7. 对于每个社区 VLAN,设置主要 VLAN:
  8. 配置隔离 VLAN ID 以创建跨交换机的交换机隔离域:
  9. 配置隔离端口:

创建包含 ELS 支持的多台 EX 系列交换机的专用 VLAN(CLI 过程)

注:

此任务使用支持增强型第 2 层软件 (ELS) 配置样式 的 EX 系列交换机的 Junos OS 如果交换机运行的软件不支持 ELS,请参阅 创建多个 EX 系列交换机的专用 VLAN(CLI 过程)。有关 ELS 详细信息,请参阅 使用增强型第 2 层软件 CLI

注:

运行 Junos OS 版本 15.1X53 的 QFX5100 交换机和 QFX10002 交换机不支持专用 VLAN。

出于安全考虑,限制广播和未知单播流量或限制已知主机之间的通信通常很有用。专用 VLAN (PVLAN) 允许您将广播域(主 VLAN)划分为多个隔离的广播子域(辅助 VLAN),基本上将 VLAN 置于 VLAN 内。此过程介绍如何配置 PVLAN 以跨越多个交换机。

有关配置 PVLAN 的准则列表,请参阅 了解专用 VLAN

要将 PVLAN 配置为跨越多个交换机,请对参与 PVLAN 的所有交换机执行以下过程:

  1. 通过设置唯一 VLAN 名称并为 VLAN 指定 802.1Q 标记来创建主 VLAN:
  2. 在将连接到路由器的交换机上,将混合接口配置为中继端口,以将 PVLAN 连接到路由器:
  3. 在所有交换机上,将中继接口配置为用于相互连接交换机的交换机间链路 (ISL):
  4. 在主 VLAN 中创建隔离 VLAN,方法是private-vlan为隔离 VLAN 选择 isolated VLAN,并为其设置 VLAN ID:
    注:

    您只能在专用 VLAN 中创建一个隔离 VLAN。隔离的 VLAN 可以包含组成 PVLAN 的多个交换机的成员接口。 为隔离 VLAN 设置 VLAN 名称是可选的。需要配置 VLAN ID。

  5. 在主要 VLAN 中创建一个社区 VLAN,方法是为该社区 VLAN 选择 communityprivate-vlanVLAN,并为其设置 VLAN ID:
    注:

    要创建其他社区 VLAN,请重复此步骤并为社区 VLAN 指定不同名称。设置公共组 VLAN 的 VLAN 名称是可选的。需要配置 VLAN ID。

  6. 将隔离 VLAN 与主 VLAN 相关联:
  7. 将每个社区 VLAN 与主要 VLAN 相关联:
  8. 如果尚未执行此操作,请将至少一个接入接口配置为隔离 VLAN 的成员。
  9. 如果尚未执行此操作,请至少将一个接入接口配置为社区 VLAN 的成员。
    注:

    为在 PVLAN 中包含的其他社区 VLAN 重复此步骤。

创建跨越多个 EX 系列交换机的专用 VLAN(CLI 过程)

出于安全原因,限制广播流和未知单播流量,甚至限制已知主机之间的通信通常很有用。EX 系列交换机上的专用 VLAN (PVLAN) 功能允许管理员将广播域(也称为主 VLAN)拆分为多个隔离的广播子域,也称为辅助 VLAN。将主 VLAN 拆分为辅助 VLAN 基本上可以将 VLAN 嵌套在另一个 VLAN 内。本主题介绍如何配置 PVLAN 以跨越多个交换机。

开始之前,请为将成为主 VLAN 一部分的所有辅助 VLAN 配置名称。(与辅助 VLAN 不同,您不需要预配置主 VLAN — 此过程提供了主 VLAN 的完整配置。)有关配置辅助 VLAN 的说明,请参阅 为 EX 系列交换机配置 VLAN

以下规则适用于创建 PVLAN:

  • 主要 VLAN 必须是标记的 VLAN。

  • 配置辅助 VLAN 之前,您必须配置主 VLAN 和 PVLAN 中继端口。

  • 不支持在 PVLAN 接口上配置 VoIP VLAN。

  • 如果在 PVLAN 中继端口上配置了多个 VLAN 注册协议 (MVRP),则必须使用相同的提交操作提交辅助 VLAN 和 PVLAN 中继端口的配置。

要配置专用 VLAN 以跨越多个交换机:

  1. 为主 VLAN 配置名称和 802.1Q 标记:
  2. 将主 VLAN 设置为无本地交换:
  3. 设置将主 VLAN 连接到相邻交换机的 PVLAN 中继接口:
  4. 为跨交换机的社区 VLAN 配置名称和 802.1Q 标记:
  5. 向公共组 VLAN 添加接入接口:
  6. 指定指定的社区 VLAN 的主要 VLAN:
  7. 将隔离接口添加至指定的主 VLAN:
    注:

    要配置隔离接口,请将其作为主 VLAN 的成员之一,但不要将其配置为属于一个社区 VLAN。

  8. 设置交换机间隔离 VLAN 的 802.1Q 标记:

    802.1Q 标记是交换隔离 VLAN 的必备装置,因为 IEEE 802.1Q 使用内部标记机制,其中中继设备将 4 字节 VLAN 帧识别选项卡插入数据包标头中。

要使用路由 VLAN 接口 (RVI) 而不是连接到路由器的混合端口,可选择启用隔离和社区 VLAN 之间的路由,请参阅 在 EX 系列交换机上的专用 VLAN 中配置路由 VLAN 接口

注:

只有 EX8200 交换机或 EX8200 虚拟机箱支持使用 RVI 在 PVLAN 域中的隔离和公共组 VLAN 之间路由第 3 层流量。

示例:在支持 ELS 的单个交换机上配置专用 VLAN

注:

此示例使用支持增强型第 2 层软件 (ELS) 配置样式的交换机的 Junos OS。如果您的 EX 交换机运行的软件不支持 ELS,请参阅 示例:在单个 EX 系列交换机上配置专用 VLAN。有关 ELS 详细信息,请参阅 使用增强型第 2 层软件 CLI

注:

运行 Junos OS 版本 15.1X53 的 QFX5100 交换机和 QFX10002 交换机不支持专用 VLAN。

出于安全考虑,限制广播和未知单播流量或限制已知主机之间的通信通常很有用。专用 VLAN (PVLAN) 允许您将广播域(主 VLAN)划分为多个隔离的广播子域(辅助 VLAN),基本上将 VLAN 置于 VLAN 内。

此示例介绍如何在单个交换机上创建 PVLAN:

要求

此示例使用以下硬件和软件组件:

  • 一个 Junos OS 交换机

  • EX 系列交换机的 Junos OS 14.1X53-D10 或更高版本

    QFX 系列交换机的 Junos OS 14.1X53-D15 或更高版本

概述和拓扑

您可以隔离订户组以提高安全性和效率。此配置示例使用简单的拓扑来说明如何使用一个主 VLAN 和三个辅助 VLAN(一个隔离 VLAN 和两个社区 VLAN)创建 PVLAN。

表 6 列出了示例中使用的拓扑接口。

表 6: 用于配置 PVLAN 的拓扑接口
界面 说明

ge-0/0/0

ge-1/0/0

混合成员端口

ge-0/0/11,ge-0/0/12

HR 社区 VLAN 成员端口

ge-0/0/13,ge-0/0/14

金融社区 VLAN 成员端口

ge-0/0/15,ge-0/0/16

隔离的成员端口

表 7 列出了示例中使用的拓扑的 VLAN ID。

表 7: 拓扑中的 VLAN ID,用于配置 PVLAN
VLAN ID 说明

100

主要 VLAN

200

HR 社区 VLAN

300

金融社区 VLAN

400

隔离 VLAN

图 15 显示了此示例的拓扑结构。

图 15: 单个 EX 系列交换机上的专用 VLAN 拓扑单个 EX 系列交换机上的专用 VLAN 拓扑

配置

您可以使用现有 VLAN 作为专用 PVLAN 的基础并在其中创建子域。此示例将使用 VLAN 名称 vlan-pri创建主 VLAN 作为过程的一部分。

要配置 PVLAN,请执行以下任务:

CLI 快速配置

要快速创建和配置 PVLAN,请复制以下命令并将其粘贴到交换机终端窗口中:

程序

逐步过程

要配置 PVLAN:

  1. 创建专用 VLAN 的主 VLAN(在此示例中,名称为 vlan-pri) 的专用 VLAN:

  2. 创建隔离 VLAN 并分配 VLAN ID:

  3. 创建 HR 社区 VLAN 并分配 VLAN ID:

  4. 创建财务社区 VLAN 并分配 VLAN ID:

  5. 将辅助 VLAN 与主 VLAN 相关联:

  6. 将接口设置为适当的接口模式:

  7. 配置主 VLAN 的混合中继接口。主 VLAN 使用此接口与辅助 VLAN 通信。

  8. 配置主 VLAN 的另一个中继接口(也属于混合接口),将 PVLAN 连接到路由器。

示例:在单个 QFX 系列交换机上配置专用 VLAN

出于安全原因,限制广播流和未知单播流量,甚至限制已知主机之间的通信通常很有用。专用 VLAN (PVLAN) 功能允许管理员将广播域拆分为多个隔离的广播子域,基本上将 VLAN 置于 VLAN 内。

此示例介绍如何在单个交换机上创建 PVLAN:

要求

此示例使用以下硬件和软件组件:

  • 一台 QFX3500 设备

  • QFX 系列的 Junos OS 12.1 或更高版本

开始配置 PVLAN 之前,请确保您已创建和配置必要的 VLAN。请参阅 在交换机上配置 VLAN

概述和拓扑

在拥有多栋建筑物和 VLAN 的大型办公室中,出于安全原因或对广播域进行分区,可能需要隔离某些工作组或其他端点。此配置示例显示了一个简单的拓扑结构,说明如何使用一个主 VLAN 和两个社区 VLAN 创建一个 PVLAN,一个用于人力资源,一个用于财务,另一个用于财务端口,两个用于邮件服务器,另一个用于备份服务器。

表 8 列出了示例拓扑的设置。

表 8: 用于配置 PVLAN 的拓扑组件
界面 说明

ge-0/0/0.0

主 VLAN (pvlan100) 中继接口

ge-0/0/11.0

用户 1、人力资源社区 (hr-comm

ge-0/0/12.0

用户 2、人力资源社区 (hr-comm

ge-0/0/13.0

用户 3、金融社区 (finance-comm

ge-0/0/14.0

用户 4、金融社区 (finance-comm

ge-0/0/15.0

邮件服务器,隔离 (isolated

ge-0/0/16.0

备用服务器,隔离 (isolated

ge-1/0/0.0

主 VLAN (pvlan100) 中继接口

配置

CLI 快速配置

要快速创建和配置 PVLAN,请复制以下命令并将其粘贴到交换机终端窗口中:

程序

逐步过程

要配置 PVLAN:

  1. 设置主要 VLAN 的 VLAN ID:

  2. 设置接口和端口模式:

  3. 将主 VLAN 设置为无本地交换:

    注:

    主要 VLAN 必须是标记的 VLAN。

  4. 将中继接口添加至主 VLAN:

  5. 对于每个辅助 VLAN,配置接入接口:

    注:

    建议将辅助 VLAN 未标记为 VLAN。如果标记辅助 VLANS,不会影响功能。但是,当在单个交换机上配置辅助 VLAN 时,不会使用标记。

  6. 对于每个社区 VLAN,设置主要 VLAN:

  7. 在主 VLAN 中配置隔离接口:

结果

检查配置结果:

验证

要确认配置工作正常,请执行以下任务:

验证是否创建了专用 VLAN 和辅助 VLAN

目的

验证主 VLAN 和辅助 VLAN 是否在交换机上正确创建。

行动

使用 命令 show vlans

意义

输出显示,主 VLAN 已创建并标识与之关联的接口和辅助 VLAN。

示例:在单个 EX 系列交换机上配置专用 VLAN

出于安全原因,限制广播流和未知单播流量,甚至限制已知主机之间的通信通常很有用。EX 系列交换机上的专用 VLAN (PVLAN) 功能允许管理员将广播域拆分为多个隔离的广播子域,基本上将 VLAN 置于 VLAN 内。

此示例介绍如何在单个 EX 系列交换机上创建 PVLAN:

注:

不支持在 PVLAN 接口上配置 IP 语音 (VoIP) VLAN。

要求

此示例使用以下硬件和软件组件:

  • 一台 EX 系列交换机

  • EX 系列交换机的 Junos OS 9.3 或更高版本

开始配置 PVLAN 之前,请确保您已创建和配置必要的 VLAN。请参阅 为 EX 系列交换机配置 VLAN

概述和拓扑

在拥有多栋建筑物和 VLAN 的大型办公室中,出于安全原因或对广播域进行分区,可能需要隔离某些工作组或其他端点。此配置示例显示了一个简单的拓扑结构,说明如何使用一个主 VLAN 和两个社区 VLAN 创建一个 PVLAN,一个用于人力资源,一个用于财务,另一个用于财务端口,两个用于邮件服务器,另一个用于备份服务器。

表 9 列出了示例拓扑的设置。

表 9: 用于配置 PVLAN 的拓扑组件
界面 说明

ge-0/0/0.0

主 VLAN (vlan1) 中继接口

ge-0/0/11.0

用户 1、人力资源社区 (hr-comm

ge-0/0/12.0

用户 2、人力资源社区 (hr-comm

ge-0/0/13.0

用户 3、金融社区 (finance-comm

ge-0/0/14.0

用户 4、金融社区 (finance-comm

ge-0/0/15.0

邮件服务器,隔离 (isolated

ge-0/0/16.0

备用服务器,隔离 (isolated

ge-1/0/0.0

主 VLAN ( pvlan) 中继接口

图 16 显示了此示例的拓扑结构。

图 16: 单个 EX 系列交换机上的专用 VLAN 拓扑单个 EX 系列交换机上的专用 VLAN 拓扑

配置

要配置 PVLAN,请执行以下任务:

CLI 快速配置

要快速创建和配置 PVLAN,请复制以下命令并将其粘贴到交换机终端窗口中:

程序

逐步过程

要配置 PVLAN:

  1. 设置主要 VLAN 的 VLAN ID:

  2. 设置接口和端口模式:

  3. 将主 VLAN 设置为无本地交换:

    注:

    主要 VLAN 必须是标记的 VLAN。

  4. 将中继接口添加至主 VLAN:

  5. 对于每个辅助 VLAN,配置 VLAN ID 和接入接口:

    注:

    建议将辅助 VLAN 未标记为 VLAN。如果标记辅助 VLANS,不会影响功能。但是,当在单个交换机上配置辅助 VLAN 时,不会使用标记。

  6. 对于每个社区 VLAN,设置主要 VLAN:

  7. 将每个隔离接口添加到主 VLAN:

结果

检查配置结果:

验证

要确认配置工作正常,请执行以下任务:

验证是否创建了专用 VLAN 和辅助 VLAN

目的

验证主 VLAN 和辅助 VLAN 是否在交换机上正确创建。

行动

使用 命令 show vlans

意义

输出显示,主 VLAN 已创建并标识与之关联的接口和辅助 VLAN。

示例:配置跨多个 QFX 交换机的专用 VLAN

出于安全原因,限制广播流和未知单播流量,甚至限制已知主机之间的通信通常很有用。专用 VLAN (PVLAN) 功能允许管理员将广播域拆分为多个隔离的广播子域,基本上将 VLAN 置于 VLAN 内。PVLAN 可以跨越多个交换机。

此示例介绍如何创建跨越多个交换机的 PVLAN。该示例创建一个包含多个辅助 VLAN 的主 PVLAN:

要求

此示例使用以下硬件和软件组件:

  • 三台 QFX3500 设备

  • QFX 系列的 Junos OS 12.1 或更高版本

开始配置 PVLAN 之前,请确保您已创建和配置必要的 VLAN。请参阅 在交换机上配置 VLAN

概述和拓扑

在拥有多栋建筑物和 VLAN 的大型办公室中,出于安全原因或对广播域进行分区,可能需要隔离某些工作组或其他端点。此配置示例说明如何创建跨越多个 QFX 设备的 PVLAN,其中一个主 VLAN 包含两个公共 VLAN(一个用于 HR,一个用于财务),一个用于交换机隔离的 VLAN(用于邮件服务器、备份服务器和 CVS 服务器)。PVLAN 由三台交换机、两台接入交换机和一台分布式交换机组成。PVLAN 通过在分配交换机上配置的混合端口连接到路由器。

注:

交换机 1 和交换机上的隔离端口没有第 2 层连接,即使它们包含在同一域中也是如此。请参阅 了解专用 VLAN

图 17 显示了此示例的拓扑 — 连接到分配交换机的两台接入交换机(通过混合端口)连接到路由器。

图 17: 跨越多个交换机的 PVLAN 拓扑跨越多个交换机的 PVLAN 拓扑

表 10表 11表 12 列出示例拓扑的设置。

表 10: 拓扑中用于配置 PVLAN 生成多个设备的交换机 1 组件
财产 设置

VLAN 名称和标记 ID

primary-vlan标记 100

isolation-vlan-id标记 50finance-comm标记 300hr-comm标记 400

PVLAN 中继接口

ge-0/0/0.0,将交换机 1 连接到交换机 3

ge-0/0/5.0,将交换机 1 连接到交换机 2

主 VLAN 中的隔离接口

ge-0/0/15.0,邮件服务器

ge-0/0/16.0,备份服务器

VLAN 中的接口 finance-com

ge-0/0/11.0

ge-0/0/12.0

VLAN 中的接口 hr-comm

ge-0/0/13.0

ge-0/0/14.0

表 11: 拓扑中用于配置 PVLAN 生成多个设备的交换机 2 的组件
财产 设置

VLAN 名称和标记 ID

primary-vlan标记 100

isolation-vlan-id标记 50finance-comm标记 300hr-comm标记 400

PVLAN 中继接口

ge-0/0/0.0,将交换机 2 连接到交换机 3

ge-0/0/5.0,将交换机 2 连接到交换机 1

主 VLAN 中的隔离接口

ge-0/0/17.0,CVS 服务器

VLAN 中的接口 finance-com

ge-0/0/11.0

ge-0/0/12.0

VLAN 中的接口 hr-comm

ge-0/0/13.0

ge-0/0/14.0

表 12: 拓扑结构中用于配置 PVLAN 生成多个设备的交换机 3 组件
财产 设置

VLAN 名称和标记 ID

primary-vlan标记 100

isolation-vlan-id标记 50finance-comm标记 300hr-comm标记 400

PVLAN 中继接口

ge-0/0/0.0,将交换机 3 连接到交换机 1

ge-0/0/1.0,将交换机 3 连接到交换机 2

混合端口

ge-0/0/2,将 PVLAN 连接到路由器

注:

您必须将将 PVLAN 连接到 PVLAN 之外的另一个交换机或路由器的中继端口配置为 PVLAN 的成员,后者隐含地将其配置为混合端口。

拓扑

在交换机 1 上配置 PVLAN

在多台交换机上配置 PVLAN 时,这些规则适用:

  • 主要 VLAN 必须是标记的 VLAN。建议先配置主 VLAN。

  • 如果要配置社区 VLAN ID,必须先配置主 VLAN 和 PVLAN 中继端口。您还必须使用 pvlan 语句将主 VLAN 配置为专用 VLAN

  • 如果要配置隔离 VLAN ID,必须先配置主 VLAN 和 PVLAN 中继端口。

CLI 快速配置

要快速创建和配置跨越多个交换机的 PVLAN,请复制以下命令并将其粘贴到交换机 1 的终端窗口中:

程序

逐步过程
  1. 设置主要 VLAN 的 VLAN ID:

  2. 设置 PVLAN 中继接口以跨相邻交换机连接此 VLAN:

  3. 将主 VLAN 设置为私有 VLAN 且没有本地交换:

  4. 设置跨交换机的 finance-comm 公共组 VLAN 的 VLAN ID:

  5. 为 VLAN 配置接入接口 finance-comm

  6. 设置此辅助社区 VLAN 的主要 VLAN, finance-comm

  7. 设置跨交换机的 HR 社区 VLAN 的 VLAN ID。

  8. 为 VLAN 配置接入接口 hr-comm

  9. 设置此辅助社区 VLAN 的主要 VLAN, hr-comm

  10. 设置交换机间隔离 ID 以创建跨交换机的交换机隔离域:

  11. 在主 VLAN 中配置隔离接口:

    注:

    配置隔离端口时,将其作为主 VLAN 的成员,但不要将其配置为任何公共组 VLAN 的成员。

结果

检查配置结果:

在交换机 2 上配置 PVLAN

CLI 快速配置

要快速创建和配置跨越多个交换机的专用 VLAN,请复制以下命令并将其粘贴到交换机 2 的终端窗口中:

注:

交换机 2 的配置与交换机 1 的配置相同,交换机隔离域中的接口除外。对于交换机 2,接口为 ge-0/0/17.0

程序

逐步过程

要在交换机 2 上配置将跨越多个交换机的 PVLAN:

  1. 设置跨交换机的 finance-comm 公共组 VLAN 的 VLAN ID:

  2. 为 VLAN 配置接入接口 finance-comm

  3. 设置此辅助社区 VLAN 的主要 VLAN, finance-comm

  4. 设置跨交换机的 HR 社区 VLAN 的 VLAN ID。

  5. 为 VLAN 配置接入接口 hr-comm

  6. 设置此辅助社区 VLAN 的主要 VLAN, hr-comm

  7. 设置主要 VLAN 的 VLAN ID:

  8. 设置可跨相邻交换机连接此 VLAN 的 PVLAN 中继接口:

  9. 将主 VLAN 设置为私有 VLAN 且没有本地交换:

  10. 设置交换机间隔离 ID 以创建跨交换机的交换机隔离域:

    注:

    要配置隔离端口,请将其作为主要 VLAN 的成员之一,但不要将其配置为属于一个社区 VLAN。

  11. 在主 VLAN 中配置隔离接口:

结果

检查配置结果:

在交换机 3 上配置 PVLAN

CLI 快速配置

要快速配置交换机 3 以用作此 PVLAN 的分布式交换机,请复制以下命令并将其粘贴到交换机 3 的终端窗口中:

注:

接口 ge-0/0/2.0 是将 PVLAN 连接到路由器的中继端口。

程序

逐步过程

要将交换机 3 配置为此 PVLAN 的分配交换机,请使用以下过程:

  1. 设置跨交换机的 finance-comm 公共组 VLAN 的 VLAN ID:

  2. 设置此辅助社区 VLAN 的主要 VLAN, finance-comm

  3. 设置跨交换机的 HR 社区 VLAN 的 VLAN ID:

  4. 设置此辅助社区 VLAN 的主要 VLAN, hr-comm

  5. 设置主要 VLAN 的 VLAN ID:

  6. 设置可跨相邻交换机连接此 VLAN 的 PVLAN 中继接口:

  7. 将主 VLAN 设置为私有 VLAN 且没有本地交换:

  8. 设置交换机间隔离 ID 以创建跨交换机的交换机隔离域:

    注:

    要配置隔离端口,请将其作为主要 VLAN 的成员之一,但不要将其配置为属于一个社区 VLAN。

结果

检查配置结果:

验证

要确认配置工作正常,请执行以下任务:

验证主 VLAN 和辅助 VLAN 是否在交换机 1 上创建

目的

验证跨越多个交换机的 PVLAN 配置是否在交换机 1 上正常工作:

行动

使用 命令 show vlans extensive

意义

输出显示,PVLAN 是在交换机 1 上创建的,显示它包括两个隔离 VLAN、两个公共组 VLAN 和一个交换机间隔离 VLAN。pvlan 中继和交换机间隔离字段的存在表明此 PVLAN 跨越多个交换机。

验证主 VLAN 和辅助 VLAN 是否在交换机 2 上创建

目的

验证跨越多个交换机的 PVLAN 配置是否在交换机 2 上正常工作:

行动

使用 命令 show vlans extensive

意义

输出显示,PVLAN 是在交换机 2 上创建的,显示它包括一个隔离 VLAN、两个公共组 VLAN 和一个交换机间隔离 VLAN。pvlan 中继和交换机间隔离字段的存在表明此 PVLAN 跨越多个交换机。将此输出与交换机 1 的输出进行比较时,您可以看到这两台交换机都属于同一个 PVLAN (pvlan100)。

验证主 VLAN 和辅助 VLAN 是否在交换机 3 上创建

目的

验证跨越多个交换机的 PVLAN 配置是否在交换机 3 上正常工作:

行动

使用 命令 show vlans extensive

意义

输出显示,PVLAN (pvlan100) 在交换机 3 上配置,它不包含隔离 VLAN、两个公共组 VLAN 和一个交换机间隔离 VLAN。但是交换机 3 用作分布式交换机,因此输出中不包括 PVLAN 中的接入接口。其中仅 pvlan-trunk 显示在同一 PVLAN 中从交换机 3 连接到 pvlan100 其他交换机(交换机 1 和交换机 2)的接口。

示例:使用 IRB 接口配置专用 VLAN 生成多个交换机

出于安全原因,限制广播流和未知单播流量,甚至限制已知主机之间的通信通常很有用。专用 VLAN (PVLAN) 功能允许管理员将广播域拆分为多个隔离的广播子域,基本上将 VLAN 置于 VLAN 内。PVLAN 可以跨越多个交换机。此示例介绍如何创建跨越多个交换机的 PVLAN。该示例创建一个主 PVLAN,其中包含多个辅助 VLAN。

就像常规 VLAN 一样,PVLAN 在第 2 层是隔离的,如果要路由流量,通常需要使用第 3 层设备。从 Junos OS 14.1X53-D30 开始,您可以使用集成路由和桥接 (IRB) 接口在连接到 PVLAN 的设备之间路由第 3 层流量。通过这种方式使用 IRB 接口,还可允许 PVLAN 中的设备在第 3 层与其他公共组中的设备或隔离 VLAN 或 PVLAN 之外的设备通信。此示例还演示了如何在 PVLAN 配置中包含 IRB 接口。

要求

此示例使用以下硬件和软件组件:

  • 三台 QFX 系列或 EX4600 交换机

  • 带 PVLAN 的 Junos OS 版本,适用于 QFX 系列或 EX4600

概述和拓扑

在拥有多栋建筑物和 VLAN 的大型办公室中,出于安全原因或对广播域进行分区,可能需要隔离某些工作组或其他端点。此配置示例说明如何创建跨越多个交换机的 PVLAN,其中一个主 VLAN 包含两个公共组 VLAN(一个用于 HR,一个用于财务),一个用于交换机隔离的 VLAN(用于邮件服务器、备份服务器和 CVS 服务器)。PVLAN 由三个交换机组成:两个接入交换机和一个分布式交换机。PVLAN 中的设备在第 3 层相互连接,并通过分布式交换机上配置的 IRB 接口连接到 PVLAN 外部的设备。

注:

交换机 1 和交换机上的隔离端口没有第 2 层连接,即使它们包含在同一域中也是如此。请参阅 了解专用 VLAN

图 18 显示了此示例的拓扑结构。

图 18: 使用 IRB 接口跨越多个交换机的 PVLAN 拓扑使用 IRB 接口跨越多个交换机的 PVLAN 拓扑

表 13表 14表 15 列出示例拓扑的设置。

表 13: 拓扑中用于配置 PVLAN 生成多个设备的交换机 1 组件
财产 设置

VLAN 名称和标记 ID

primary-vlan标记 100

isolated-vlan-id标记 50finance-comm标记 300hr-comm标记 400

交换机间链路接口

xe-0/0/0.0,将交换机 1 连接到交换机 3

xe-0/0/5.0,将交换机 1 连接到交换机 2

主 VLAN 中的隔离接口

xe-0/0/15.0,邮件服务器

xe-0/0/16.0,备份服务器

VLAN 中的接口 finance-com

xe-0/0/11.0

xe-0/0/12.0

VLAN 中的接口 hr-comm

xe-0/0/13.0

xe-0/0/14.0

表 14: 拓扑中用于配置 PVLAN 生成多个设备的交换机 2 的组件
财产 设置

VLAN 名称和标记 ID

primary-vlan标记 100

isolated-vlan-id标记 50finance-comm标记 300hr-comm标记 400

交换机间链路接口

xe-0/0/0.0,将交换机 2 连接到交换机 3

xe-0/0/5.0,将交换机 2 连接到交换机 1

主 VLAN 中的隔离接口

xe-0/0/17.0,CVS 服务器

VLAN 中的接口 finance-com

xe-0/0/11.0

xe-0/0/12.0

VLAN 中的接口 hr-comm

xe-0/0/13.0

xe-0/0/14.0

表 15: 拓扑结构中用于配置 PVLAN 生成多个设备的交换机 3 组件
财产 设置

VLAN 名称和标记 ID

primary-vlan标记 100

isolated-vlan-id、标记 50finance-comm、标记 300hr-comm标记 400

交换机间链路接口

xe-0/0/0.0,将交换机 3 连接到交换机 1。

xe-0/0/1.0,将交换机 3 连接到交换机 2。

混合端口

xe-0/0/2,将 PVLAN 连接到另一个网络。

注:

您必须将将 PVLAN 连接到 PVLAN 之外的另一个交换机或路由器的中继端口配置为 PVLAN 的成员,后者隐含地将其配置为混合端口。

IRB 接口

xe-0/0/0

xe-0/0/1

在 IRB 接口上配置不受限制的代理 ARP,以便进行 ARP 解析,以便使用 IPv4 的设备可在第 3 层进行通信。对于 IPv6 流量,您必须显式地将 IRB 地址映射到目标地址,以便通过 ARP 解析。

拓扑

配置概述

在多个交换机上配置 PVLAN 时,适用以下规则:

  • 主要 VLAN 必须是标记的 VLAN。

  • 主 VLAN 是唯一可以成为交换机间链路接口成员的 VLAN。

在 PVLAN 中配置 IRB 接口时,这些规则适用:

  • 无论有多少交换机参与 PVLAN,您都只能在 PVLAN 中创建一个 IRB 接口。

  • IRB 接口必须是 PVLAN 中主 VLAN 的成员。

  • 您希望在第 3 层连接的每个主机设备都必须使用 IRB 的 IP 地址作为其默认网关地址。

在交换机 1 上配置 PVLAN

CLI 快速配置

要快速创建和配置跨越多个交换机的 PVLAN,请复制以下命令并将其粘贴到交换机 1 的终端窗口中:

程序

逐步过程
  1. 将接口 xe-0/0/0 配置为中继器:

  2. 将接口 xe-0/0/0 配置为可承载所有 VLAN 的交换机间链路:

  3. 将 pvlan100(主 VLAN)配置为接口 xe-0/0/0 的成员:

  4. 将接口 xe-0/0/5 配置为中继器:

  5. 将接口 xe-0/0/5 配置为可承载所有 VLAN 的交换机间链路:

  6. 将 pvlan100 配置为接口 xe-0/0/5 的成员:

  7. 为财务组织创建社区 VLAN:

  8. 为人力资源组织创建社区 VLAN:

  9. 为邮件和备份服务器创建隔离 VLAN:

  10. 创建主要 VLAN 并使社区和隔离的 VLAN 成为其成员:

  11. 将 VLAN 300(公共组 VLAN)配置为接口 xe-0/0/11 的成员:

  12. 将 VLAN 300(社区 VLAN)配置为接口 xe-0/0/12 的成员:

  13. 将 VLAN 400(社区 VLAN)配置为接口 xe-0/0/13 的成员:

  14. 将 VLAN 400(社区 VLAN)配置为接口 xe-0/0/14 的成员:

  15. 将 VLAN 50(隔离 VLAN)配置为接口 xe-0/0/15 的成员:

  16. 将 VLAN 50(隔离 VLAN)配置为接口 xe-0/0/16 的成员:

结果

检查配置结果:

在交换机 2 上配置 PVLAN

CLI 快速配置

要快速创建和配置跨越多个交换机的专用 VLAN,请复制以下命令并将其粘贴到交换机 2 的终端窗口中:

注:

交换机 2 的配置与交换机 1 的配置相同,隔离 VLAN 除外。对于交换机 2,隔离 VLAN 接口为 xe-0/0/17.0

程序

逐步过程
  1. 将接口 xe-0/0/0 配置为中继器:

  2. 将接口 xe-0/0/0 配置为可承载所有 VLAN 的交换机间链路:

  3. 将 pvlan100(主 VLAN)配置为接口 xe-0/0/0 的成员:

  4. 将接口 xe-0/0/5 配置为中继器:

  5. 将接口 xe-0/0/5 配置为可承载所有 VLAN 的交换机间链路:

  6. 将 pvlan100 配置为接口 xe-0/0/5 的成员:

  7. 为财务组织创建社区 VLAN:

  8. 为人力资源组织创建社区 VLAN:

  9. 为邮件和备份服务器创建隔离 VLAN:

  10. 创建主要 VLAN 并使社区和隔离的 VLAN 成为其成员:

  11. 将 VLAN 300(公共组 VLAN)配置为接口 xe-0/0/11 的成员:

  12. 将 VLAN 300(社区 VLAN)配置为接口 xe-0/0/12 的成员:

  13. 将 VLAN 400(社区 VLAN)配置为接口 xe-0/0/13 的成员:

  14. 将 VLAN 400(社区 VLAN)配置为接口 xe-0/0/14 的成员:

  15. 将 VLAN 50(隔离 VLAN)配置为接口 xe-0/0/17 的成员:

结果

检查配置结果:

在交换机 3 上配置 PVLAN

CLI 快速配置

要快速配置交换机 3 以用作此 PVLAN 的分布式交换机,请复制以下命令并将其粘贴到交换机 3 的终端窗口中:

注:

接口 xe-0/0/2.0 是将 PVLAN 连接到另一个网络的中继端口。

程序

逐步过程

要将交换机 3 配置为此 PVLAN 的分配交换机,请使用以下过程:

  1. 将接口 xe-0/0/0 配置为中继器:

  2. 将接口 xe-0/0/0 配置为可承载所有 VLAN 的交换机间链路:

  3. 将 pvlan100(主 VLAN)配置为接口 xe-0/0/0 的成员:

  4. 将接口 xe-0/0/5 配置为中继器:

  5. 将接口 xe-0/0/5 配置为可承载所有 VLAN 的交换机间链路:

  6. 将 pvlan100 配置为接口 xe-0/0/5 的成员:

  7. 将接口 xe-0/0/2(混合接口)配置为中继接口:

  8. 将 pvlan100 配置为接口 xe-0/0/2 的成员:

  9. 创建主 VLAN:

  10. 创建 IRB 接口 irb 并在连接到交换机 1 和 2 的设备使用的子网中分配地址:

    注:

    您要在第 3 层连接的每个主机设备都必须与 IRB 接口处于同一子网中,并使用 IRB 接口的 IP 地址作为其默认网关地址。

  11. 通过将接口绑定到主 VLAN pvlan100来完成 IRB 接口配置:

  12. 为 IRB 接口的每个单元配置不受限制的代理 ARP,以便 ARP 解析适用于 IPv4 流量:

    注:

    由于社区中的设备和隔离的 VLAN 在第 2 层是隔离的,因此需要采取此步骤,以便在 VLAN 之间进行 ARP 解析,以便使用 IPv4 的设备可在第 3 层进行通信。(对于 IPv6 流量,您必须显式地将 IRB 地址映射到目标地址,以允许 ARP 解析。)

结果

检查配置结果:

验证

要确认配置工作正常,请执行以下任务:

验证主 VLAN 和辅助 VLAN 是否在交换机 1 上创建

目的

验证跨越多个交换机的 PVLAN 配置是否在交换机 1 上正常工作:

行动

使用 命令 show vlans extensive

意义

输出显示,PVLAN 是在交换机 1 上创建的,显示它包括两个隔离 VLAN、两个公共组 VLAN 和一个交换机间隔离 VLAN。中继和交换机间隔离字段的存在表明此 PVLAN 跨越多个交换机。

验证主 VLAN 和辅助 VLAN 是否在交换机 2 上创建

目的

验证跨越多个交换机的 PVLAN 配置是否在交换机 2 上正常工作:

行动

使用 命令 show vlans extensive

意义

输出显示,PVLAN 是在交换机 2 上创建的,显示它包括一个隔离 VLAN、两个公共组 VLAN 和一个交换机间隔离 VLAN。中继和交换机间隔离字段的存在表明此 PVLAN 跨越多个交换机。将此输出与交换机 1 的输出进行比较时,您可以看到这两台交换机都属于同一个 PVLAN (pvlan100)。

验证主 VLAN 和辅助 VLAN 是否在交换机 3 上创建

目的

验证跨越多个交换机的 PVLAN 配置是否在交换机 3 上正常工作:

行动

使用 命令 show vlans extensive

意义

输出显示,PVLAN (pvlan100) 在交换机 3 上配置,它不包含隔离 VLAN、两个公共组 VLAN 和一个交换机间隔离 VLAN。但是交换机 3 用作分布式交换机,因此输出中不包括 PVLAN 中的接入接口。其中仅显示在同一 PVLAN 中从交换机 3 连接到 pvlan100 其他交换机(交换机 1 和交换机 2)的中继接口。

示例:配置跨多个 EX 系列交换机的专用 VLAN

出于安全原因,限制广播流和未知单播流量,甚至限制已知主机之间的通信通常很有用。EX 系列交换机上的专用 VLAN (PVLAN) 功能允许管理员将广播域拆分为多个隔离的广播子域,基本上将 VLAN 置于 VLAN 内。PVLAN 可以跨越多个交换机。

此示例介绍如何创建跨越多个 EX 系列交换机的 PVLAN。该示例创建一个主 PVLAN,其中包含多个辅助 VLAN:

注:

不支持在 PVLAN 接口上配置 IP 语音 (VoIP) VLAN。

要求

此示例使用以下硬件和软件组件:

  • 三台 EX 系列交换机

  • EX 系列交换机的 Junos OS 10.4 或更高版本

开始配置 PVLAN 之前,请确保您已创建和配置必要的 VLAN。请参阅 为 EX 系列交换机配置 VLAN

概述和拓扑

在拥有多栋建筑物和 VLAN 的大型办公室中,出于安全原因或对广播域进行分区,可能需要隔离某些工作组或其他端点。此配置示例说明如何创建跨越多个 EX 系列交换机的 PVLAN,其中一个主 VLAN 包含两个公共组 VLAN(一个用于 HR,一个用于财务),以及一个 Interswitch 隔离 VLAN(用于邮件服务器、备份服务器和 CVS 服务器)。PVLAN 由三台交换机、两台接入交换机和一台分布式交换机组成。PVLAN 通过在分配交换机上配置的混合端口连接到路由器。

注:

交换机 1 和交换机上的隔离端口没有第 2 层连接,即使它们包含在同一域中也是如此。请参阅 了解专用 VLAN

图 19 显示了此示例的拓扑 — 连接到分配交换机的两台接入交换机(通过混合端口)连接到路由器。

图 19: 跨越多个交换机的 PVLAN 拓扑跨越多个交换机的 PVLAN 拓扑

表 16表 17表 18 列出示例拓扑的设置。

表 16: 拓扑中的交换机 1 组件,用于配置 PVLAN 生成多个 EX 系列交换机
财产 设置

VLAN 名称和标记 ID

primary-vlan标记 100

isolation-id标记 50finance-comm标记 300hr-comm标记 400

PVLAN 中继接口

ge-0/0/0.0,将交换机 1 连接到交换机 3

ge-0/0/5.0,将交换机 1 连接到交换机 2

VLAN 中的接口 isolation

ge-0/0/15.0,邮件服务器

ge-0/0/16.0,备份服务器

VLAN 中的接口 finance-com

ge-0/0/11.0

ge-0/0/12.0

VLAN 中的接口 hr-comm

ge-0/0/13.0

ge-0/0/14.0

表 17: 拓扑中的交换机 2 组件,用于配置跨越多个 EX 系列交换机的 PVLAN
财产 设置

VLAN 名称和标记 ID

primary-vlan标记 100

isolation-id标记 50finance-comm标记 300hr-comm标记 400

PVLAN 中继接口

ge-0/0/0.0,将交换机 2 连接到交换机 3

ge-0/0/5.0,将交换机 2 连接到交换机 1

VLAN 中的接口 isolation

ge-0/0/17.0,CVS 服务器

VLAN 中的接口 finance-com

ge-0/0/11.0

ge-0/0/12.0

VLAN 中的接口 hr-comm

ge-0/0/13.0

ge-0/0/14.0

表 18: 拓扑中的交换机 3 组件,用于配置 PVLAN 生成多个 EX 系列交换机
财产 设置

VLAN 名称和标记 ID

primary-vlan标记 100

isolation-id标记 50finance-comm标记 300hr-comm标记 400

PVLAN 中继接口

ge-0/0/0.0,将交换机 3 连接到交换机 1

ge-0/0/1.0,将交换机 3 连接到交换机 2

混合端口

ge-0/0/2,将 PVLAN 连接到路由器

注:

您必须将将 PVLAN 连接到 PVLAN 之外的另一个交换机或路由器的中继端口配置为 PVLAN 的成员,后者隐含地将其配置为混合端口。

拓扑

在交换机 1 上配置 PVLAN

CLI 快速配置

在多台交换机上配置 PVLAN 时,这些规则适用:

  • 主要 VLAN 必须是标记的 VLAN。建议先配置主 VLAN。

  • 不支持在 PVLAN 接口上配置 IP 语音 (VoIP) VLAN。

  • 如果要配置社区 VLAN ID,必须先配置主 VLAN 和 PVLAN 中继端口。

  • 如果要配置隔离 VLAN ID,必须先配置主 VLAN 和 PVLAN 中继端口。

  • 如果在 PVLAN 中继端口上配置了 MVRP,则必须在单个提交中提交次要 VLAN 和 PVLAN 中继端口。

要快速创建和配置跨越多个交换机的 PVLAN,请复制以下命令并将其粘贴到交换机 1 的终端窗口中:

程序

逐步过程

按照所示的顺序完成以下配置步骤 — 也要完成所有步骤,然后再在单个提交中提交配置。这是避免因违反这三条规则中的任何一项而触发的错误消息的最简单方法:

  • 如果要配置社区 VLAN ID,必须先配置主 VLAN 和 PVLAN 中继端口。

  • 如果要配置隔离 VLAN ID,必须先配置主 VLAN 和 PVLAN 中继端口。

  • 必须在单个提交时提交辅助 vlan 和 PVLAN 中继。

要在交换机 1 上配置将跨越多个交换机的 PVLAN:

  1. 设置主要 VLAN 的 VLAN ID:

  2. 设置可跨相邻交换机连接此 VLAN 的 PVLAN 中继接口:

  3. 将主 VLAN 设置为无本地交换:

  4. 设置跨交换机的 finance-comm 公共组 VLAN 的 VLAN ID:

  5. 为 VLAN 配置接入接口 finance-comm

  6. 设置此辅助社区 VLAN 的主要 VLAN, finance-comm

  7. 设置跨交换机的 HR 社区 VLAN 的 VLAN ID。

  8. 为 VLAN 配置接入接口 hr-comm

  9. 设置此辅助社区 VLAN 的主要 VLAN, hr-comm

  10. 设置交换机间隔离 ID 以创建跨交换机的交换机间隔离域:

    注:

    要配置隔离端口,请将其作为主要 VLAN 的成员之一,但不会将其配置为属于某个社区 VLAN。

结果

检查配置结果:

在交换机 2 上配置 PVLAN

CLI 快速配置

要快速创建和配置跨越多个交换机的专用 VLAN,请复制以下命令并将其粘贴到交换机 2 的终端窗口中:

注:

交换机 2 的配置与交换机 1 的配置相同,交换机间隔离域中的接口除外。对于交换机 2,接口为 ge-0/0/17.0

程序

逐步过程

要在交换机 2 上配置将跨越多个交换机的 PVLAN:

  1. 设置跨交换机的 finance-comm 公共组 VLAN 的 VLAN ID:

  2. 为 VLAN 配置接入接口 finance-comm

  3. 设置此辅助社区 VLAN 的主要 VLAN, finance-comm

  4. 设置跨交换机的 HR 社区 VLAN 的 VLAN ID。

  5. 为 VLAN 配置接入接口 hr-comm

  6. 设置此辅助社区 VLAN 的主要 VLAN, hr-comm

  7. 设置主要 VLAN 的 VLAN ID:

  8. 设置可跨相邻交换机连接此 VLAN 的 PVLAN 中继接口:

  9. 将主 VLAN 设置为无本地交换:

  10. 设置交换机间隔离 ID 以创建跨交换机的交换机间隔离域:

    注:

    要配置隔离端口,请将其作为主要 VLAN 的成员之一,但不会将其配置为属于某个社区 VLAN。

结果

检查配置结果:

在交换机 3 上配置 PVLAN

CLI 快速配置

要快速配置交换机 3 以用作此 PVLAN 的分布式交换机,请复制以下命令并将其粘贴到交换机 3 的终端窗口中:

注:

接口 ge-0/0/2.0 是将 PVLAN 连接到路由器的中继端口。

程序

逐步过程

要将交换机 3 配置为此 PVLAN 的分配交换机,请使用以下过程:

  1. 设置跨交换机的 finance-comm 公共组 VLAN 的 VLAN ID:

  2. 设置此辅助社区 VLAN 的主要 VLAN, finance-comm

  3. 设置跨交换机的 HR 社区 VLAN 的 VLAN ID:

  4. 设置此辅助社区 VLAN 的主要 VLAN, hr-comm

  5. 设置主要 VLAN 的 VLAN ID:

  6. 设置可跨相邻交换机连接此 VLAN 的 PVLAN 中继接口:

  7. 将主 VLAN 设置为无本地交换:

  8. 设置交换机间隔离 ID 以创建跨交换机的交换机间隔离域:

    注:

    要配置隔离端口,请将其作为主要 VLAN 的成员之一,但不会将其配置为属于某个社区 VLAN。

结果

检查配置结果:

验证

要确认配置工作正常,请执行以下任务:

验证主 VLAN 和辅助 VLAN 是否在交换机 1 上创建

目的

验证跨越多个交换机的 PVLAN 配置是否在交换机 1 上正常工作:

行动

使用 命令 show vlans extensive

意义

输出显示,PVLAN 是在交换机 1 上创建的,显示它包括两个隔离 VLAN、两个公共组 VLAN 和一个交换机间隔离 VLAN。和字段的存在pvlan-trunkInter-switch-isolated表示此 PVLAN 跨越多个交换机。

验证主 VLAN 和辅助 VLAN 是否在交换机 2 上创建

目的

验证跨越多个交换机的 PVLAN 配置是否在交换机 2 上正常工作:

行动

使用 命令 show vlans extensive

意义

输出显示,PVLAN 是在交换机 1 上创建的,显示它包括两个隔离 VLAN、两个公共组 VLAN 和一个交换机间隔离 VLAN。和字段的存在pvlan-trunkInter-switch-isolated表示这是跨越多个交换机的 PVLAN。将此输出与交换机 1 的输出进行比较时,您可以看到这两台交换机都属于同一个 PVLAN (pvlan100)。

验证主 VLAN 和辅助 VLAN 是否在交换机 3 上创建

目的

验证跨越多个交换机的 PVLAN 配置是否在交换机 3 上正常工作:

行动

使用 命令 show vlans extensive

意义

输出显示,PVLAN (pvlan100) 配置在交换机 3 上,它包括两个隔离 VLAN、两个公共组 VLAN 和一个交换机间隔离 VLAN。但是交换机 3 用作分布式交换机,因此输出中不包括 PVLAN 中的接入接口。其中仅 pvlan-trunk 显示在同一 PVLAN 中从交换机 3 连接到 pvlan100 其他交换机(交换机 1 和交换机 2)的接口。

示例:在 QFX 系列交换机上使用辅助 VLAN 中继端口和混合访问端口配置 PVLAN

此示例说明如何将辅助 VLAN 中继端口和混合接入端口配置为专用 VLAN 配置的一部分。辅助 VLAN 中继端口承载辅助 VLAN 流量。

注:

此示例将 Junos OS 用于不支持增强型第 2 层软件 (ELS) 配置样式的交换机。有关 ELS 的更多信息,请参阅 使用增强型第 2 层软件 CLI

对于给定专用 VLAN,辅助 VLAN 中继端口只能为一个辅助 VLAN 承载流量。但是,只要每个辅助 VLAN 都是不同专用(主 VLAN)VLAN 的成员,辅助 VLAN 中继端口就可以承载多个辅助 VLAN 的流量。例如,辅助 VLAN 中继端口可以为属于主 VLAN pvlan100 的公共组 VLAN 承载流量,还可以为作为主 VLAN pvlan400 一部分的隔离 VLAN 承载流量。

要配置中继端口以承载辅助 VLAN 流量,请使用 隔离 语句和 interface 语句,如步骤 1213 交换机 1 的示例配置所示。

注:

当流量从辅助 VLAN 中继端口出口时,通常会承载辅助端口是其成员的主 VLAN 标记。如果您希望从辅助 VLAN 中继端口出口的流量保留其辅助 VLAN 标记,请使用 扩展辅助 VLAN ID 语句。

混合访问端口承载未标记的流量,可成为仅有一个主要 VLAN 的成员。入口在混合接入端口上的流量会转发至作为主要 VLAN 成员的辅助 VLAN 的端口,而混合访问端口是该 VLAN 的成员之一。如果辅助 VLAN 端口是中继端口,则该流量从辅助 VLAN 端口出口时带有适当的辅助 VLAN 标记。

要将接入端口配置为混合,请使用 混合 语句,如交换机 2 示例配置的步骤 12 所示。

如果流量入口在辅助 VLAN 端口上,并在混合访问端口上出口,则该流量在出口上未标记。如果混合访问端口上有标记的流量入口,则信息流将被丢弃。

要求

此示例使用以下硬件和软件组件:

  • 两台 QFX 设备

  • QFX 系列的 Junos OS 12.2 或更高版本

概述和拓扑

图 20 显示了此示例中使用的拓扑。交换机 1 包括多个主 VLAN 和辅助专用 VLAN,还包括两个次要 VLAN 中继端口,这些端口配置为承载主 VLAN pvlan pvlan100 和 pvlan400 成员的辅助 VLAN。

交换机 2 包含相同的专用 VLAN。图中显示了在交换机 2 上配置了混合接入端口或混合中继端口的 xe-0/0/0。此处包含的示例配置将此端口配置为混合访问端口。

该图还显示了信息流在进入交换机 1 上的辅助 VLAN 中继端口之后的流动方式。

图 20: 具有辅助 VLAN 中继端口和混合接入端口的 PVLAN 拓扑具有辅助 VLAN 中继端口和混合接入端口的 PVLAN 拓扑

表 19表 20 列出两个交换机上的示例拓扑的设置。

表 19: 用于在交换机上配置辅助 VLAN 中继的拓扑组件 1
组件 说明

pvlan100,ID 100

主要 VLAN

pvlan400,ID 400

主要 VLAN

comm300,ID 300

社区 VLAN,pvlan100 的成员

comm600,ID 600

社区 VLAN,pvlan400 的成员

隔离-vlan ID 200

隔离 VLAN 的 VLAN ID,pvlan100 的成员

隔离 – vlan ID 500

隔离 VLAN 的 VLAN ID,pvlan400 的成员

xe-0/0/0.0

用于主 VLAN pvlan100 和 pvlan400 的辅助 VLAN 中继端口

xe-0/0/1.0

用于主 VLAN pvlan100 和 pvlan400 的 PVLAN 中继端口

xe-0/0/2.0

pvlan100 的隔离接入端口

xe-0/0/3.0

comm300 的社区接入端口

xe-0/0/5.0

pvlan400 的隔离接入端口

xe-0/0/6.0

comm600 的社区中继端口

表 20: 用于在交换机上配置辅助 VLAN 中继的拓扑组件 2
组件 说明

pvlan100,ID 100

主要 VLAN

pvlan400,ID 400

主要 VLAN

comm300,ID 300

社区 VLAN,pvlan100 的成员

comm600,ID 600

社区 VLAN,pvlan400 的成员

隔离-vlan ID 200

隔离 VLAN 的 VLAN ID,pvlan100 的成员

隔离 – vlan ID 500

隔离 VLAN 的 VLAN ID,pvlan400 的成员

xe-0/0/0.0

主要 VLAN 的混合接入端口 pvlan100

xe-0/0/1.0

用于主 VLAN pvlan100 和 pvlan400 的 PVLAN 中继端口

xe-0/0/2.0

用于隔离 VLAN 的辅助中继端口,pvlan100 的成员

xe-0/0/3.0

comm300 的社区接入端口

xe-0/0/5.0

pvlan400 的隔离接入端口

xe-0/0/6.0

comm600 的社区接入端口

在交换机上配置 PVLAN 1

CLI 快速配置

要在交换机 1 上快速创建和配置 PVLAN,请复制以下命令并将其粘贴到交换机终端窗口中:

程序

逐步过程

要配置专用 VLAN 和辅助 VLAN 中继端口:

  1. 配置接口和端口模式:

  2. 创建主要 VLAN:

    注:

    主 VLAN 必须始终标记为 VLAN,即使它们仅存在于一个设备上。

  3. 将主要 VLAN 配置为专用:

  4. 配置 PVLAN 中继端口以在交换机之间传输专用 VLAN 信息流:

  5. 使用 VLAN ID 300 创建辅助 VLAN comm300:

  6. 配置 comm300 的主要 VLAN:

  7. 配置 comm300 的接口:

  8. 使用 VLAN ID 600 创建辅助 VLAN comm600:

  9. 配置 comm600 的主要 VLAN:

  10. 配置 comm600 的接口:

  11. 配置交换机间隔离 VLAN:

    注:

    将辅助 VLAN 中继端口配置为承载隔离 VLAN 时,还必须配置 隔离 VLAN ID。即使隔离的 VLAN 仅存在于一个交换机上,这一点也是如此。

  12. 启用中继端口 xe-0/0/0 以承载主要 VLAN 的辅助 VLAN:

  13. 配置中继端口 xe-0/0/0 以承载 comm600(pvlan400 的成员):

    注:

    您无需显式配置 xe-0/0/0 以承载隔离 VLAN 流量(标记 200 和 500),因为在配置和isolation-vlan-id 500时创建isolation-vlan-id 200的隔离 VLAN 中,pvlan100 和 pvlan400 中的所有隔离端口(包括 xe-0/0/0.0)都自动包含在隔离 VLAN 中。

  14. 将 xe-0/0/2 和 xe-0/0/6 配置为隔离:

结果

检查交换机 1 上的配置结果:

在交换机上配置 PVLAN 2

交换机 2 的配置与交换机 1 的配置几乎相同。最重要的区别是交换机 2 上的 xe-0/0/0 配置为混合中继端口或混合接入端口,如 图 20 所示。在以下配置中,xe-0/0/0 配置为主要 VLAN pvlan100 的混合接入端口。

如果流量入口在支持 VLAN 的端口上,并在混合访问端口上出口,则在出口上丢弃 VLAN 标记,并且该点上的流量未标记。例如,在 Xe-0/0/0.0 交换机上配置的辅助 VLAN 中继端口上的 comm600 入口流量,在通过辅助 VLAN 转发时承载标记 600。当它从交换机 2 上的 xe-0/0/0.0 出口时,如果将 xe-0/0/0.0 配置为混合访问端口(如此示例中所示),则该端口将无法标记。如果将 xe-0/0/0.0 配置为混合中继端口(端口模式中继端口),则 comm600 的流量在出口时带有其主 VLAN 标记 (400)。

CLI 快速配置

要在交换机 2 上快速创建和配置 PVLAN,请复制以下命令并将其粘贴到交换机终端窗口中:

程序

逐步过程

要配置专用 VLAN 和辅助 VLAN 中继端口:

  1. 配置接口和端口模式:

  2. 创建主要 VLAN:

  3. 将主要 VLAN 配置为专用:

  4. 配置 PVLAN 中继端口以在交换机之间传输专用 VLAN 信息流:

  5. 使用 VLAN ID 300 创建辅助 VLAN comm300:

  6. 配置 comm300 的主要 VLAN:

  7. 配置 comm300 的接口:

  8. 使用 VLAN ID 600 创建辅助 VLAN comm600:

  9. 配置 comm600 的主要 VLAN:

  10. 配置 comm600 的接口:

  11. 配置交换机间隔离 VLAN:

  12. 将接入端口 xe-0/0/0 配置为 pvlan100 的混合端口:

    注:

    混合接入端口只能是一个主要 VLAN 的成员。

  13. 将 xe-0/0/2 和 xe-0/0/6 配置为隔离:

结果

检查交换机 2 上的配置结果:

验证

要确认配置工作正常,请执行以下任务:

验证是否创建了专用 VLAN 和辅助 VLAN

目的

验证主 VLAN 和辅助 VLAN 是否在交换机 1 上正确创建。

行动

使用 命令 show vlans

意义

输出显示,专用 VLAN 已创建并标识与之关联的接口和辅助 VLAN。

验证以太网交换表条目

目的

验证是否为主 VLAN pvlan100 创建了以太网交换表条目。

行动

显示 pvlan100 的以太网交换表条目。

验证专用 VLAN 是否在交换机上工作

目的

创建和配置专用 VLAN (PVLAN) 后,验证它们是否正确设置。

行动

  1. 要确定您是否成功创建了主 VLAN 和辅助 VLAN 配置:

    • 对于单个交换机上的 PVLAN,请使用 show configuration vlans 命令:

    • 对于跨越多个交换机的 PVLAN,请使用 show vlans extensive 命令:

  2. 使用 命令 show vlans extensive 查看单个交换机上的 PVLAN 或跨越多个交换机的 PVLAN 的 VLAN 信息和链路状态。

    • 对于单个交换机上的 PVLAN:

    • 对于跨越多个交换机的 PVLAN:

  3. show ethernet-switching table使用 命令查看 VLAN 上的 MAC 学习日志:

注:

如果配置了跨越多个交换机的 PVLAN,则可以在所有交换机上使用相同的命令来检查这些交换机上的 MAC 学习日志。

意义

在单个交换机上的 PVLAN 的输出显示中,您可以看到主 VLAN 包含两个公共组域 (community1community2)、两个隔离端口和两个中继端口。单个交换机上的 PVLAN 只有一个标记 (1000),这是用于主 VLAN。

跨越多个交换机的 PVLAN 包含多个标记:

  • 公共组域 COM1 使用标记 100标识。

  • 公共组域 community2 使用标记 20标识。

  • 交换机间隔离域使用标记 50标识。

  • 主 VLAN primary 使用标记 10标识。

此外,对于跨越多个交换机的 PVLAN,中继接口将标识为 pvlan-trunk

QFX 交换机上的专用 VLAN 故障排除

使用以下信息对专用 VLAN 配置进行故障排除。

专用 VLAN 的局限性

以下限制适用于专用 VLAN 配置:

  • 专用 VLAN 不支持 IGMP 侦听。

  • 专用 VLAN 不支持路由的 VLAN 接口

  • 不支持在同一主 VLAN 中的辅助 VLAN 之间路由。

  • 如果要将主要 VLAN 更改为辅助 VLAN,必须先将其更改为正常的 VLAN 并提交更改。例如,您将按照以下步骤操作:

    1. 将主 VLAN 更改为正常的 VLAN。

    2. 提交配置。

    3. 将正常的 VLAN 更改为辅助 VLAN。

    4. 提交配置。

    如果要将辅助 VLAN 更改为主要 VLAN,请遵循相同的提交顺序。也就是说,使辅助 VLAN 成为正常的 VLAN 并提交该更改,然后将正常的 VLAN 更改为主要 VLAN。

使用专用 VLAN 进行转发

问题

说明
  • 在 PVLAN 中继端口上接收隔离 VLAN 或社区 VLAN 标记流量时,将从主 VLAN 学习 MAC 地址。这意味着,show ethernet-switching table 命令的输出显示,MAC 地址从主 VLAN 学习,并复制到辅助 VLAN。此行为对转发决策没有影响。

  • 如果在混合端口上接收带有辅助 VLAN 标记的数据包,则会接受并转发该数据包。

  • 如果在 PVLAN 中继端口上接收数据包并满足下面列出的两种条件,则数据包将被丢弃。

    • 数据包带有一个公共组 VLAN 标记。

    • 该数据包将发往单播 MAC 地址或在隔离 VLAN 上学习的组播组 MAC 地址。

  • 如果在 PVLAN 中继端口上接收数据包并满足下面列出的两种条件,则数据包将被丢弃。

    • 该数据包带有一个隔离的 VLAN 标记。

    • 该数据包将传输至在社区 VLAN 上学习的单播 MAC 地址或组播组 MAC 地址。

  • 如果带有主 VLAN 标记的数据包由辅助端口(隔离或公共组)VLAN 端口接收,则辅助端口将转发数据包。

  • 如果在一台设备上配置了一个社区 VLAN 并在第二个设备上配置了另一个社区 VLAN,并且两个公共组 VLAN 都使用相同的 VLAN ID,则可以将其中一个 VLAN 的流量转发至另一个 VLAN。例如,假设以下配置:

    • 交换机 1 上的社区 VLAN comm1 具有 VLAN ID 50,是主要 VLAN pvlan100 的成员。

    • 交换机 2 上的社区 VLAN comm2 也有 VLAN ID 50,是主要 VLAN pvlan200 的成员。

    • 两个交换机上都存在主 VLAN pvlan100。

    如果 comm1 的流量从交换机 1 发送到交换机 2,则会发送至参与 comm2 的端口。(如您所料,流量还将转发至 comm1 中的端口。)

解决方案

这些是预期的行为。

带有专用 VLAN 的出口防火墙过滤器

问题

说明

如果在输出方向上将防火墙过滤器应用于主 VLAN,则过滤器也适用于当流量与主 VLAN 标记或隔离 VLAN 标记一起出向时属于主 VLAN 成员的辅助 VLAN,如下所列:

  • 从辅助 VLAN 中继端口转发至混合端口(中继或访问)的信息流

  • 从辅助 VLAN 中继端口将隔离 VLAN 传输到 PVLAN 中继端口的信息流转发。

  • 从混合端口(中继或接入)转发至辅助 VLAN 中继端口的信息流

  • 从 PVLAN 中继端口转发的信息流。到辅助 VLAN 中继端口

  • 从公共组端口转发至混合端口的信息流(中继或访问)

如果将防火墙过滤器在输出方向上应用于主 VLAN,则过滤器 适用于带有公共组 VLAN 标记的出口流量,如下所示:

  • 从公共组中继端口转发至 PVLAN 中继端口的信息流

  • 从辅助 VLAN 中继端口将公共 VLAN 传输到 PVLAN 中继端口的信息流

  • 从混合端口(中继或接入)转发至公共组中继端口的信息流

  • 从 PVLAN 中继端口转发的信息流。到公共组中继端口

如果在输出方向上将防火墙过滤器应用于公共组 VLAN,则以下行为适用:

  • 过滤器应用于从混合端口(中继或访问)转发至公共组中继端口的信息流(因为信息流带有公共组 VLAN 标记)。

  • 过滤器应用于从公共组端口转发至 PVLAN 中继端口的信息流(因为流量与公共组 VLAN 标记一起出口)。

  • 过滤器 应用于从公共组端口转发至混合端口的信息流(因为流量出口带有主 VLAN 标记或未标记)。

解决方案

这些是预期的行为。只有在将防火墙过滤器应用到输出方向上的专用 VLAN 时才会发生,如果将防火墙过滤器应用于输入方向上的专用 VLAN,则不会发生此情况。

使用专用 VLAN 的出口端口镜像

问题

说明

如果您创建的端口镜像配置可镜像出口上的专用 VLAN (PVLAN) 流量,则镜像流量(发送至分析器系统的流量)具有入口 VLAN 的 VLAN 标记,而不是出口 VLAN。例如,假设以下 PVLAN 配置:

  • 混合中继端口,用于承载主 VLAN pvlan100 和 pvlan400。

  • 隔离的接入端口,可承载辅助 VLAN 隔离 200。此 VLAN 是主要 VLAN pvlan100 的成员。

  • 承载辅助 VLAN comm300 的社区端口。此 VLAN 也是主要 VLAN pvlan100 的成员。

  • 连接到分析器系统的输出接口(监控接口)。此接口将镜像的信息流转发至分析器。

如果 pvlan100 的数据包进入混合中继端口并在隔离接入端口上出口,则原始数据包在出口上未标记,因为它在接入端口上退出。但是,镜像文案在发送至分析器时会保留 pvlan100 的标记。

下面是另一个示例:如果 comm300 入口的数据包在公共组端口上,并在混合中继端口上出口,则原始数据包将按预期在出口上为 pvlan100 携带标记。但是,镜像副本在发送至分析器时会保留 comm300 的标记。

解决方案

这是预期的行为。