Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

プライベート Vlan について

 

Vlan は指定されたユーザーにブロードキャストを制限します。プライベート Vlan (PVLANs) は、VLAN 内の通信を制限することによって、この概念をさらに一歩進めます。これを実現するために、PVLANs はメンバースイッチポート (プライベートポートと呼ばれる) を通過するトラフィックフローを制限し、指定されたアップリンクトランクポートまたは同一 VLAN 内で指定されたポートとのみ通信するようにします。アップリンクトランクポートまたはリンクアグリゲーショングループ (LAG) は通常、ルーター、ファイアウォール、サーバー、またはプロバイダネットワークに接続されています。各 PVLAN には通常、1つのアップリンクポートとのみ通信する多数のプライベートポートが含まれているため、ポート間の相互通信ができません。

PVLANs は、VLAN 内のポート間でレイヤー2の分離を提供し、プライマリ VLAN 内にセカンダリ Vlan (コミュニティー vlan と分離された vlan) を作成して、ブロードキャストドメインを複数の独立したブロードキャストサブドメインに分割します。同じコミュニティー VLAN 内のポートが相互に通信できます。独立した VLAN 内のポートは、1つのアップリンクポートとのみ通信できます。

通常の Vlan と同様に、PVLANs はレイヤー 2 で分離されており、次のオプションのいずれかを実行してレイヤー3トラフィックをセカンダリ vlan 間でルーティングする必要があります。

  • プロミスカスポート接続 (ルーター使用時)

  • RVI (ルーティングされた VLAN インターフェイス)

Note

PVLAN では、セカンダリ Vlan 間でレイヤー3トラフィックをルーティングするために、前述のオプションの1つだけを必要としています。RVI を使用する場合でも、プロミスカスポートをルーターに接続して実装することで、PVLAN を出入りするトラフィックのみを処理するように設定することができます。

PVLANs は、ブロードキャストおよび不明なユニキャストトラフィックのフローを制限し、既知のホスト間の通信を制限するのに役立ちます。サービスプロバイダは PVLANs を使用して、お客様の相互の分離を維持しています。PVLAN のもう1つの一般的な用途は、ホテルで部屋単位のインターネットアクセスを提供することです。

Note

PVLAN を構成して、PVLANs をサポートするスイッチにまたがることができます。

このトピックでは、EX シリーズスイッチの PVLANs に関する以下の概念について説明します。

PVLANs のメリット

単一の VLAN を分離する必要があるのは、以下の導入シナリオにおいて特に便利です。

  • サーバーファーム—一般的なインターネットサービスプロバイダは、サーバーファームを使用して、多数のお客様に Web ホスティングを提供しています。1台のサーバーファーム内のさまざまなサーバーを特定することで、管理が容易になります。レイヤー2ブロードキャストが VLAN 内のすべてのサーバーに配信されるため、すべてのサーバーが同じ VLAN 内にある場合、セキュリティの問題が発生します。

  • メトロポリタンイーサネット—ネットワークメトロサービスプロバイダは、さまざまなホーム、レンタルコミュニティ、およびビジネスへのレイヤー2イーサネットアクセスを提供しています。お客様に1つの VLAN を導入する従来のソリューションは、拡張性に優れていないため、管理が難しく、IP アドレスが無駄になる可能性があります。PVLANs は、安全性と効率性に優れたソリューションを提供します。

PVLANs の典型的な構造と主要アプリケーション

PVLAN は、単一のスイッチ上で設定することも、複数のスイッチにまたがるように構成することもできます。ドメインとポートのタイプは、以下のとおりです。

  • プライマリ VLAN—PVLAN のプライマリ vlan は、完全な PVLAN の 802.1 q タグ (VLAN ID) で定義されています。プライマリ PVLAN には、複数のセカンダリ Vlan (1 つの独立した VLAN と複数のコミュニティー Vlan) を含めることができます。

  • 分離された VLAN—/分離ポートプライマリ vlan には、1つの独立した vlan のみを含めることができます。分離された VLAN 内のインターフェイスは、パケットをプロミスカスポートまたは ISL (相互スイッチリンク) ポートにのみ転送できます。 分離インターフェイスは、パケットを別の分離インターフェイスに転送することはできません。さらに、分離インターフェイスでは、別の分離インターフェイスからのパケットを受信することはできません。お客様のデバイスがゲートウェイルーターだけにアクセスする必要がある場合、デバイスは、独立したトランクポートに接続する必要があります。

  • コミュニティー VLAN/コミュニティーポート—1 つの PVLAN 内で複数のコミュニティー vlan を構成できます。特定のコミュニティ VLAN 内のインターフェイスは、同じコミュニティ VLAN に属する他の任意のインターフェイスとのレイヤー2通信を確立できます。コミュニティ VLAN 内のインターフェイスは、プロミスカスポートまたは ISL ポートと通信することもできます。 たとえば、他の顧客デバイスから分離する必要があっても、互いに通信できるようにする必要がある2つの顧客デバイスがある場合は、コミュニティーポートを使用します。

  • —プロミスカスポートは、インターフェイスが分離された vlan に属しているか、コミュニティー vlan に所属しているかどうかにかかわらず、PVLAN 内のすべてのインターフェイスとのレイヤー2通信を実行します。プロミスカスポートはプライマリ VLAN のメンバーですが、セカンダリサブドメイン内には含まれていません。通常、エンドポイントデバイスと通信する必要があるレイヤー3ゲートウェイ、DHCP サーバー、その他の信頼できるデバイスは、プロミスカスポートに接続されています。

  • Isl (スイッチ間リンク)—は、PVLAN 内の複数のスイッチを接続し、2個以上の vlan を含むトランクポートです。PVLAN が複数のスイッチにまたがる場合にのみ必要となります。

PVLAN は、プライマリ・ドメイン (プライマリ VLAN) で構成されています。PVLAN では、セカンダリvlan を構成します。これは、プライマリドメイン内にサブドメインとしてネストされています。PVLAN は、単一のスイッチ上で設定することも、複数のスイッチにまたがるように構成することもできます。に図 1示されている PVLAN は、プライマリ PVLAN ドメインとさまざまなサブドメインを持つ2つのスイッチを備えています。

図 1: PVLAN のサブドメイン
PVLAN のサブドメイン

図 3示すように、PVLAN にはプライマリドメインと複数のセカンダリドメインが1つしかありません。ドメインのタイプは以下のとおりです。

  • プライマリ VLAN—vlan を使用して、フレームを下流の分離およびコミュニティー vlan に転送します。PVLAN のプライマリ VLAN は、完全な PVLAN 用の 802.1 Q タグ (VLAN ID) を使用して定義されています。プライマリ PVLAN には、複数のセカンダリ Vlan (1 つの独立した VLAN と複数のコミュニティー Vlan) を含めることができます。

  • プライマリ vlan から—のみパケットを受信し、プライマリ vlan への上位フレームを転送する、セカンダリ分離 vlan vlan。孤立した VLAN は、プライマリ VLAN 内にネストされたセカンダリ VLAN です。プライマリ VLAN には、1つの独立した VLAN のみを含めることができます。分離された VLAN (分離インターフェイス) 内のインターフェイスは、パケットをプロミスカスポートまたは PVLAN トランクポートにのみ転送できます。分離インターフェイスは、パケットを別の分離インターフェイスに転送することはできません。また、分離インターフェイスで別の分離インターフェイスからパケットを受信することもできません。お客様のデバイスがルーターだけにアクセスする必要がある場合、デバイスは、分離されたトランクポートに接続する必要があります。

  • PVLAN トランクポートを—介して、独立した vlan トラフィックをスイッチ間で転送するために使用されるセカンダリ INTERSWITCH 分離 vlan vlan です。802.1 q タグは、interswitch 分離された Vlan に必要です。 IEEE 802.1 Q は、トランクデバイスが4バイトの VLAN フレーム識別タブをパケットヘッダーに挿入する内部タグ機構を使用しているため、このようなことがあります。Interswitch 分離 VLAN は、プライマリ VLAN 内にネストされたセカンダリ VLAN です。

  • セカンダリコミュニティー VLAN—vlan は、コミュニティのメンバー (VLAN 内のユーザーのサブセット) 間でフレームを転送し、フレームを上位 vlan に転送するために使用されます。コミュニティー VLAN は、プライマリ VLAN 内にネストされたセカンダリ VLAN です。1つの PVLAN 内で複数のコミュニティー Vlan を構成できます。特定のコミュニティ VLAN 内のインターフェイスは、同じコミュニティ VLAN に属する他の任意のインターフェイスとのレイヤー2通信を確立できます。コミュニティー内のインターフェイスは、プロミスカスポートまたは PVLAN トランクポートと通信することもできます。

図 2は、プライマリ VLAN (100) に2つのコミュニティードメイン(300400、1つの interswitch 分離ドメインを含む、複数のスイッチにまたがる PVLAN を示しています。

図 2: 複数のスイッチにまたがる PVLAN
複数のスイッチにまたがる PVLAN

プライマリおよびセカンダリ Vlan は、QFX シリーズでサポートされる 4089 Vlan 数の制限に対してカウントします。たとえば、各 VLAN はこの図 2制限をカウントします。

MX シリーズルーターの PVLANs の典型的な構造と主要アプリケーション

構成された PVLAN はプライマリドメインになり、セカンダリ Vlan はプライマリドメイン内にネストされたサブドメインになります。PVLAN は、単一のルーター上に作成できます。に図 3示されている PVLAN は、1つのルーターと、1つのプライマリ PVLAN ドメインと複数のセカンダリサブドメインを備えています。

図 3: 1つのルーターを備えた PVLAN のサブドメイン
1つのルーターを備えた PVLAN のサブドメイン

ドメインのタイプは以下のとおりです。

  • プライマリ VLAN—vlan を使用して、フレームを下流の分離およびコミュニティー vlan に転送します。

  • プライマリ vlan から—のみパケットを受信し、プライマリ vlan への上位フレームを転送する、セカンダリ分離 vlan vlan。

  • PVLAN トランクポートから—別のルーターに分離 vlan トラフィックを転送するために使用される、セカンダリ INTERSWITCH 分離 vlan vlan。

  • コミュニティのメンバー—間でフレームを転送するために使用されるセカンダリコミュニティー vlan VLAN。 vlan 内のユーザーのサブセットであり、フレームをアップストリームでプライマリ VLAN に転送します。

PVLANs は、MPC1、MPC2、および適応型サービスを提供する MX シリーズルーター上で、MX240、MX480、MX960 のルーター、さらには拡張 LAN モードの Dpc によってサポートさ MX80 れています。

EX シリーズスイッチにおける PVLANs の一般的な構造と主要アプリケーション

PVLAN のプライマリ VLAN は、完全な PVLAN 用の 802.1 Q タグ (VLAN ID) を使用して定義されています。EX9200 スイッチでは、各セカンダリ VLAN も個別の VLAN ID を使用して定義する必要があります。

図 4は、1つのスイッチ上の PVLAN を示しており、 100プライマリ vlan (vlan) には300 2 つ400のコミュニティー vlan (vlan および vlan 50) と1個の独立した vlan (vlan) が含まれています。

図 4: 単一の EX スイッチ上のプライベート VLAN
単一の EX スイッチ上のプライベート VLAN

図 5では、プライマリ VLAN (VLAN 100) に2個のコミュニティー vlan (VLAN 300および vlan 400) と1個の分離された vlan (vlan 200) が含まれる、複数のスイッチをスパニングする PVLAN を示しています。また、スイッチ1と2が interswitch リンク (PVLAN トランクリンク) を介して接続されていることも示しています。

図 5: 複数の EX シリーズスイッチをまたがる PVLAN
複数の EX シリーズスイッチをまたがる PVLAN

また、PVLANs に表示さ図 4図 5 、ルーターに接続するプロミスカスポートを使用して、コミュニティと孤立した vlan 間でレイヤー3トラフィックをルーティングすることもできます。ルーターに接続されたプロミスカスポートを使用する代わりに、 図 4図 5 (EX スイッチ上で) に示されているスイッチまたはスイッチのいずれかに、rvi を構成することができます。

分離およびコミュニティ Vlan 間でレイヤー3トラフィックをルーティングするには、ルーターをプロミスカスポートに接続するか、 図 4また図 5はに示すように、または、rvi を構成する必要があります。

RVI オプションを選択した場合、PVLAN ドメインのプライマリ VLAN 用に RVI を設定する必要があります。この RVI は、ドメインに1つ以上のスイッチが含まれているかどうかに関係なく、PVLAN ドメイン全体を提供します。RVI を設定した後、 セカンダリ VLAN インターフェイスによって受信されたレイヤー3パケットは、rvi によってマッピングおよびルーティングを実行します。

RVI を設定する場合は、プロキシアドレス解決プロトコル (ARP) も有効にして、RVI がセカンダリ VLAN インターフェイスによって受信した ARP 要求を処理できるようにする必要があります。

単一スイッチと複数のスイッチでの PVLANs の設定の詳細については、Creating a Private VLAN on a Single EX Series Switch (CLI Procedure)を参照してください。RVI の設定の詳細については、 Configuring a Routed VLAN Interface in a Private VLAN on an EX Series Switchを参照してください。

孤立したコミュニティ Vlan 間のルーティング

分離およびコミュニティ Vlan 間でレイヤー3トラフィックをルーティングするには、外部ルーターまたはスイッチをプライマリ VLAN のトランクポートに接続する必要があります。プライマリ VLAN のトランクポートは、プロミスカスポートです。そのため、PVLAN のすべてのポートと通信できます。

PVLANs は、802.1 の Q タグを使用してパケットを識別します。

パケットが顧客固有の 802.1 Q タグでマークされている場合、そのタグは、ネットワーク内のスイッチまたはルーターのパケットの所有権を特定します。場合によっては、異なるサブドメインからのパケットを追跡するために、802.1 の Q タグが PVLANs 内で必要になることがあります。表 1 Vlan 802.1 q タグがプライマリ vlan またはセカンダリ vlan 上で必要な場合を示します。

表 1: PVLAN の Vlan に 802.1 Q タグが必要な場合

1台のスイッチ上で 複数のスイッチで

プライマリ VLAN

802.1 Q タグを指定するには、VLAN ID を設定します。

802.1 Q タグを指定するには、VLAN ID を設定します。

セカンダリ VLAN

Vlan でタグは必要ありません。

Vlan には802.1 の Q タグが必要です。

  • VLAN ID を設定して、コミュニティ VLAN ごとに 802.1 Q タグを指定します。

  • 分離 ID を設定して、分離 VLAN ID の 802.1 Q タグを指定します。

IP アドレスを効率的に使用する PVLANs

PVLANs は ip アドレスの保護と IP アドレスの効率的な割り当てを提供します。一般的なネットワークでは、Vlan は通常、単一の IP サブネットに対応しています。PVLANs では、サブネットがプライマリ VLAN に割り当てられているため、すべてのセカンダリ Vlan 内のホストは同じ IP サブネットに属しています。セカンダリ VLAN 内のホストには、プライマリ VLAN に関連付けられた IP サブネットに基づいて IP アドレスが割り当てられ、その IP サブネットマスク情報はプライマリ VLAN サブネットの内容を反映しています。ただし、各セカンダリ VLAN は個別のブロードキャストドメインです。

PVLAN のポートタイプと転送ルール

PVLANs は最大6種類のポートタイプを使用できます。「」で図 2示されたネットワークは、プロミスカスポートを使用してルーターに情報を転送します。金融および人事コミュニティーと各スイッチへの接続用コミュニティーポート、サーバーとの接続用の孤立したポート、PVLAN トランクポートによる2つの接続スイッチ. PVLAN のポートにはさまざまな制約があります。

  • プロミスカスポート—は、インターフェイスが分離された vlan に属しているか、コミュニティー vlan に所属しているかに関係なく、プロミスカスポートが、PVLAN 内のすべてのインターフェイスとのレイヤー2通信を実行します。プロミスカスポートはプライマリ VLAN のメンバーですが、セカンダリサブドメイン内には含まれていません。通常、エンドポイントデバイスと通信する必要があるレイヤー3ゲートウェイ、DHCP サーバー、その他の信頼できるデバイスは、プロミスカスポートに接続されています。

  • PVLAN トランクリンク—PVLAN トランクリンク (interswitch link とも呼ばれる) は、PVLAN が複数のスイッチにまたがるように設定されている場合にのみ必要です。PVLAN トランクリンクは、PVLAN を構成する複数のスイッチを接続します。

  • PVLAN トランクポート—スイッチをスパンするには、マルチスイッチの PVLAN 構成で PVLAN トランクポートが必要になります。PVLAN トランクポートは、PVLAN (プライマリ VLAN、コミュニティー Vlan、interswitch 分離 VLAN) 内のすべての Vlan のメンバーであり、プライマリ VLAN とすべてのセカンダリ vlan からのトラフィックを伝送します。分離されたポート以外のすべてのポートと通信できます。

    PVLAN トランクポートと分離ポートの間の通信は通常、片方向です。Interswitch 分離され’た VLAN の PVLAN トランクポートのメンバーシップは送信専用であり、分離ポートが PVLAN トランクポートにパケットを転送できますが、PVLAN トランクポートはパケットを分離されたポートに転送することはありません (パケット ingressed aプロミスカスアクセスポートを備えているため、同じプライマリ VLAN 内のすべてのセカンダリ Vlan に、プロミスカスポートとして転送されます。

  • セカンダリ VLAN トランクポート (非表示)—セカンダリトランクポートはセカンダリ vlan トラフィックを伝送します。特定のプライベート VLAN に対して、セカンダリ VLAN トランクポートは1つのセカンダリ VLAN にのみトラフィックを伝送できます。ただし、セカンダリ vlan トランクポートでは、各セカンダリ VLAN が異なるプライマリ VLAN のメンバーである限り、複数のセカンダリ vlan にトラフィックを伝送できます。たとえば、セカンダリ VLAN トランクポートは、プライマリ VLAN pvlan100 の一部であるコミュニティー VLAN へのトラフィックを伝送し、プライマリ VLAN pvlan400 の一部である分離された VLAN へのトラフィックを伝送することもできます。

  • コミュニティーポート—コミュニティーポートは、自社のプロミスカスポートと通信します。コミュニティーポートは、特定のユーザーグループのみを対象としています。これらのインターフェイスは、レイヤー2で、他のコミュニティ内の他のすべてのインターフェイスまたは PVLAN 内の独立したポートから分離されています。

  • 分離され—たアクセスポート分離ポートは、プロミスカスポートと PVLAN トランクポート—でのみレイヤー2接続を実現します。これら2つのポートが同じ分離 VLAN のメンバーである場合でも、分離ポートは別の分離ポートと通信できません (またはinterswitch 分離 VLAN) ドメインです。通常、メールサーバーやバックアップサーバーなどのサーバーは、独立したポートに接続されています。ホテルでは、各部屋は通常、独立したポートに接続されているため、ルーム間の通信は不可能ですが、各ルームはプロミスカスポート上でインターネットにアクセスできます。

  • プロミスカスアクセスポート (表示さ—れません) これらのポートはタグなしトラフィックを伝送します。プロミスカスアクセスポートで ingresses したトラフィックは、デバイス上のすべてのセカンダリ VLAN ポートに転送されます。VLAN 対応のポートおよび egresses のプロミスカスアクセスポート上でデバイスに ingresses トラフィックが送信された場合、トラフィックは送信時にタグなしの状態になります。Ingresses のトラフィックがプロミスカスアクセスポート上にある場合、トラフィックは破棄されます。

  • Interswitch リンクポート—Interswitch リンク (ISL) ポートは、PVLAN がそのルーターをスパンする場合に2つのルーターを接続するトランクポートです。ISL ポートは、PVLAN 内のすべての Vlan のメンバー (プライマリ VLAN、コミュニティー Vlan、分離された VLAN) です。

    ISL ポートと分離されたポートの間の通信は単一方向です。Interswitch の分離’された VLAN の isl ポートのメンバーシップは送信専用であり、isl ポート上の着信トラフィックが分離された vlan に割り当てられることはありません。分離ポートはパケットを PVLAN トランクポートに転送できますが、PVLAN トランクポートから分離ポートにパケットを転送することはできません。表 3さまざまなタイプのポート間にレイヤー2接続があるかどうかをまとめます。

表 2ELS をサポートする EX シリーズスイッチにおける PVLAN 内のさまざまなタイプのポート間のレイヤー2接続をまとめています。

表 2: ELS をサポートする EX シリーズスイッチでの PVLAN ポートとレイヤー2転送

From ポートタイプ

独立したポートですか?

ポートを無差別にするには

コミュニティーポートへ

スイッチ間リンクポートをお考えですか?

分離

拒否

許可

拒否

許可

検出

許可

許可

許可

許可

コミュニティー1

拒否

許可

許可

許可

表 3: PVLAN ポートとレイヤー2接続

ポートタイプ

プロミスカストランク

PVLAN トランク

セカンダリトランク

コミュニティー

分離アクセス

プロミスカスアクセス

プロミスカストランク

あり

あり

PVLAN トランク

あり

あり

はい—同じコミュニティーのみ

あり

あり

セカンダリトランク

あり

あり

なし

あり

なし

あり

コミュニティー

あり

あり

はい—同じコミュニティーのみ

なし

あり

分離アクセス

あり

1—方向性のみ

なし

なし

なし

あり

プロミスカスアクセス

あり

あり

なし

表 4PVLAN 内のさまざまなタイプのポート間にレイヤー2接続があるかどうかをまとめます。

表 4: ELS サポートなし EX シリーズスイッチでの PVLAN ポートとレイヤー2接続

ポートタイプ

宛先: →

差出人:↓

検出

コミュニティー

分離

PVLAN トランク

RVI

検出

あり

あり

コミュニティー

あり

はい—同じコミュニティーのみ

なし

あり

あり

分離

あり

なし

なし

あり

注: この通信は単一方向です。

あり

PVLAN トランク

あり

はい—同じコミュニティーのみ

あり

注: この通信は単一方向です。

あり

あり

RVI

あり

あり

「」で表 4説明し たように、分離されたポートと PVLAN トランクポートの間のレイヤー2通信は単一方向です。つまり、分離されたポートは PVLAN トランクポートにパケットを送信するだけで、PVLAN トランクポートは、分離されたポートからのみパケットを受信できます。逆に、PVLAN トランクポートから分離ポートにパケットを送信することはできず、孤立したポートは PVLAN トランクポートからパケットを受信することはできません。

プライマリ VLAN 上no-mac-learningで有効にした場合、PVLAN 内のすべての分離された vlan (または INTERSWITCH 分離 vlan) は、その設定を継承します。ただし、任意のコミュニティ Vlan で MAC アドレス学習を無効にする場合は、それらno-mac-learningの各 vlan 上で構成する必要があります。

PVLAN の作成

「」で図 6示されているフローチャートは、pvlans 作成プロセスの一般的な考え方を示しています。ここに記載されている順序で構成手順を完了した場合、これらの PVLAN ルールに違反することはありません。(PVLAN ルールでは、PVLAN トランクポートの設定は複数のルーターにまたがる PVLAN にのみ適用されます)。

  • プライマリ VLAN はタグ付き VLAN でなければなりません。

  • コミュニティーの VLAN ID を構成する場合は、まずプライマリ VLAN を構成する必要があります。

  • 分離 VLAN ID を構成する場合は、まずプライマリ VLAN を構成する必要があります。

PVLAN インターフェイスでの voice over IP (VoIP) VLAN の設定はサポートされていません。

1台のルーター上での VLAN の設定は、に図 6示すように、比較的簡単に行うことができます。

図 6: 単一のスイッチ上での PVLAN の構成
単一のスイッチ上での PVLAN の構成

プライマリ VLAN の設定は、以下のステップで構成されています。

  1. プライマリ VLAN 名と 802.1 Q タグを構成します。
  2. ローカルスイッチングなし、プライマリ VLAN で行います。
  3. プロミスカストランクポートとアクセスポートを構成します。
  4. プライマリ VLAN のプロミスカストランクとアクセスポートのメンバーになります。

プライマリ VLAN 内では、セカンダリコミュニティ Vlan またはセカンダリ分離 Vlan、あるいはその両方を構成できます。セカンダリコミュニティー VLAN の設定は、以下のステップで構成されています。

  1. 通常のプロセスを使用して VLAN を構成します。
  2. VLAN のアクセスインターフェイスを構成します。
  3. コミュニティー VLAN へのプライマリ VLAN の割り当て

孤立した vlan は、分離された VLAN がメンバーとしてアクセスインターフェイスを持つ場合に内部的に作成されます。 ローカルスイッチングなしは、プライマリ VLAN で有効になっています。

802.1 q タグは、interswitch 分離された Vlan に必要です。 IEEE 802.1 Q は、トランクデバイスが4バイトの VLAN フレーム識別タブをパケットヘッダーに挿入する内部タグ機構を使用しているため、このようなことがあります。

トランクポートはマルチルーターの PVLAN 構成—にのみ必要です。トランクポートは、プライマリ vlan とすべてのセカンダリ vlan からのトラフィックを伝送します。

プライベート Vlan の限界

プライベート VLAN 構成には、以下の制約が適用されます。

  • アクセスインターフェイスは、1つの PVLAN ドメインにのみ所属することができます。つまり、2つの異なるプライマリ Vlan に参加することはできません。

  • トランクインターフェイスは、セカンダリ Vlan が2つの異なるプライマリ vlan にある限り、2つのセカンダリ vlan のメンバーになることができます。トランクインターフェイスは、同じプライマリ vlan 内にある2つのセカンダリ vlan のメンバーになることはできません。

  • PVLAN に含まれているすべての Vlan 上で、複数のスパニングツリープロトコル (MSTP) の単一の領域を構成する必要があります。

  • VLAN スパニングツリープロトコル (VSTP) はサポートされていません。

  • IGMP スヌーピングはプライベート Vlan ではサポートされていません。

  • プライベート Vlan ではルーティング VLAN インターフェイスはサポートされていません

  • 同じプライマリ VLAN でのセカンダリ Vlan 間のルーティングはサポートされていません。

  • 構成ステートメントの中には、セカンダリ VLAN では指定できないものがあります。以下のステートメントは、プライマリ PVLAN の [edit vlans vlan-name switch-options]階層レベルでのみ設定できます。

  • プライマリ VLAN をセカンダリ VLAN に変更する場合は、まず、それを通常の vlan に変更し、変更をコミットする必要があります。たとえば、以下の手順に従います。

    1. プライマリ VLAN を通常の VLAN に変更します。
    2. 構成をコミットします。
    3. 通常の VLAN をセカンダリ VLAN に変更します。
    4. 構成をコミットします。

    セカンダリ VLAN がプライマリ VLAN に変更されるようにする場合は、同一のコミットシーケンスに従ってください。つまり、セカンダリ VLAN を通常の vlan として設定し、その変更をコミットしてから、通常の VLAN をプライマリ VLAN に変更します。

以下の機能は、ELS 構成スタイルをサポートする Junos スイッチの PVLANs ではサポートされていません

  • DHCP セキュリティ機能 (DHCP スヌーピング、動的 ARP インスペクション、IP ソースガード)

  • 送信 VLAN ファイアウォールフィルター

  • イーサネットリング保護 (ERP)

  • 柔軟な VLAN タグ付け

  • global-mac-statistics

  • 統合型ルーティングおよびブリッジング (IRB) インターフェイス

  • マルチキャストスヌーピングまたは IGMP スヌーピング

  • マルチシャーシのリンクアグリゲーショングループ (MC ラグ)

  • ポート ミラーリング

  • Q イン Q トンネリング

  • VLAN スパニングツリープロトコル (VSTP)

  • ボイスオーバー IP (VoIP)

以下のステートメントは、プライマリ PVLAN の[edit vlans vlan-name switch-options]階層レベルでのみ設定できます。