프라이빗 VLAN
프라이빗 VLAN 이해
VLAN은 브로드캐스트를 지정된 사용자로 제한합니다. 프라이빗 VLAN(PVLAN)은 VLAN 내의 통신을 제한함으로써 이 개념을 한 단계 더 발전시킬 수 있습니다. PVLAN은 멤버 스위치 포트(프라이빗 포트라고 함)를 통해 트래픽 흐름을 제한하여 이러한 포트가 지정된 업링크 트렁크 포트 또는 동일한 VLAN 내의 지정된 포트와만 통신할 수 있도록 함으로써 이를 달성합니다. 업링크 트렁크 포트 또는 LAG(link aggregation group)는 일반적으로 라우터, 방화벽, 서버 또는 프로바이더 네트워크에 연결됩니다. 각 PVLAN에는 일반적으로 단일 업링크 포트와만 통신하는 많은 프라이빗 포트가 포함되어 있어 포트가 서로 통신하지 않습니다.
PVLAN은 VLAN 내의 포트 간에 레이어 2 격리를 제공하며, 기본 VLAN 내부에 보조 VLAN(커뮤니티 VLAN 및 분리된 VLAN)을 생성하여 브로드캐스트 도메인을 여러 개의 개별 브로드캐스트 하위 도메인으로 분할합니다. 동일한 커뮤니티 VLAN 내의 포트는 서로 통신할 수 있습니다. 분리된 VLAN 내의 포트는 단일 업링크 포트와 만 통신할 수 있습니다.
일반 VLAN과 마찬가지로 PVLAN은 레이어 2에서 분리되며 보조 VLAN 간에 레이어 3 트래픽을 라우팅하기 위해 다음 옵션 중 하나가 필요합니다.
라우터와의 무차별 포트 연결
RVI(Routed VLAN Interface)
보조 VLAN 간에 레이어 3 트래픽을 라우팅하려면 PVLAN은 위에서 언급한 옵션 중 하나만 필요합니다. RVI를 사용하는 경우에도 PVLAN에 들어오고 나가는 트래픽만 처리하도록 무차별 포트가 설정된 라우터에 무차별 포트 연결을 구현할 수 있습니다.
PVLAN은 브로드캐스트 및 알 수 없는 유니캐스트 트래픽의 흐름을 제한하고 알려진 호스트 간의 통신을 제한하는 데 유용합니다. 서비스 프로바이더는 PVLAN을 사용하여 고객을 서로 격리합니다. PVLAN의 또 다른 일반적인 사용은 호텔에 객실당 인터넷 액세스를 제공하는 것입니다.
PVLAN을 지원하는 스위치를 스패닝하도록 PVLAN을 구성할 수 있습니다.
이 주제에서는 EX 시리즈 스위치의 PVLAN과 관련된 다음 개념을 설명합니다.
- PVLAN의 이점
- PVLAN의 일반적인 구조 및 기본 적용
- MX 시리즈 라우터에서 PVLAN의 일반적인 구조 및 기본 적용
- EX 시리즈 스위치에서 PVLAN의 일반적인 구조 및 기본 적용
- 분리된 VLAN과 커뮤니티 VLAN 간의 라우팅
- PVLAN은 802.1Q 태그를 사용하여 패킷 식별
- IP 주소를 효율적으로 사용하는 PVLAN
- PVLAN 포트 유형 및 포워딩 규칙
- PVLAN 생성
- 프라이빗 VLAN의 제한 사항
PVLAN의 이점
단일 VLAN을 분리해야 하는 필요성은 다음 구축 시나리오에서 특히 유용합니다.
서버 팜-일반적인 인터넷 서비스 프로바이더는 서버 팜을 사용하여 수많은 고객에게 웹 호스팅을 제공합니다. 단일 서버 팜 내에서 다양한 서버를 찾기 때문에 관리가 용이해집니다. 레이어 2 브로드캐스트가 VLAN의 모든 서버로 이동하기 때문에 모든 서버가 동일한 VLAN에 있는 경우 보안 문제가 발생합니다.
메트로폴리탄 이더넷 네트워크 — 메트로 서비스 프로바이더는 다양한 주택, 임대 커뮤니티 및 비즈니스에 레이어 2 이더넷 액세스를 제공합니다. 고객당 하나의 VLAN을 구축하는 기존 솔루션은 확장이 불가능하며 관리가 어려우며, IP 주소 낭비가 발생할 가능성이 있습니다. PVLAN은 보다 안전하고 효율적인 솔루션을 제공합니다.
PVLAN의 일반적인 구조 및 기본 적용
PVLAN은 단일 스위치에 구성하거나 여러 스위치를 확장하도록 구성할 수 있습니다. 도메인 및 포트 유형은 다음과 같습니다.
기본 VLAN - PVLAN의 기본 VLAN은 전체 PVLAN에 대해 802.1Q 태그(VLAN ID)로 정의됩니다. 기본 PVLAN은 여러 개의 보조 VLAN(하나의 분리된 VLAN 및 여러 커뮤니티 VLAN)을 포함할 수 있습니다.
분리된 VLAN/분리된 포트 - 기본 VLAN은 단 하나의 분리된 VLAN만 포함할 수 있습니다. 분리된 VLAN 내의 인터페이스는 패킷을 무차별 포트 또는 ISL(Inter-Switch Link) 포트로만 전달할 수 있습니다. 분리된 인터페이스는 패킷을 다른 분리된 인터페이스로 전달할 수 없습니다. 분리된 인터페이스는 다른 분리된 인터페이스에서 패킷을 수신할 수 없습니다. 고객 디바이스가 게이트웨이 라우터에 만 액세스해야 하는 경우, 디바이스는 분리된 트렁크 포트에 연결되어야 합니다.
커뮤니티 VLAN/커뮤니티 포트 - 단일 PVLAN 내에서 여러 커뮤니티 VLAN을 구성할 수 있습니다. 특정 커뮤니티 VLAN 내의 인터페이스는 동일한 커뮤니티 VLAN에 속하는 다른 모든 인터페이스와 레이어 2 통신을 설정할 수 있습니다. 커뮤니티 VLAN 내의 인터페이스는 무차별 포트 또는 ISL 포트와도 통신할 수 있습니다. 예를 들어 다른 고객 디바이스와 격리해야 하지만 서로 통신할 수 있어야 하는 두 개의 고객 디바이스가 있는 경우 커뮤니티 포트를 사용합니다.
무차별 포트 - 무차별 포트는 인터페이스가 분리된 VLAN 또는 커뮤니티 VLAN에 속하는지 여부에 관계없이 PVLAN의 모든 인터페이스와 레이어 2 통신을 갖습니다. 무차별 포트는 기본 VLAN의 멤버이지만 보조 하위 도메인에는 포함되지 않습니다. 레이어 3 게이트웨이, DHCP 서버 및 엔드포인트 디바이스와 통신해야 하는 기타 신뢰할 수 있는 디바이스는 일반적으로 무차별 포트에 연결됩니다.
ISL(Inter-Switch Link) - ISL은 PVLAN의 여러 스위치를 연결하고 두 개 이상의 VLAN을 포함하는 트렁크 포트입니다. PVLAN이 여러 스위치를 포괄할 때만 필요합니다.
구성된 PVLAN은 기본 도메인( 기본 VLAN)입니다. PVLAN 내에서 보조 VLAN 을 구성합니다. 이 VLAN은 기본 도메인 내에 중첩되는 하위 도메인이 됩니다. PVLAN은 단일 스위치에 구성하거나 여러 스위치를 확장하도록 구성할 수 있습니다. 에 그림 1 표시된 PVLAN에는 기본 PVLAN 도메인과 다양한 하위 도메인이 있는 두 개의 스위치가 포함됩니다.
에 그림 3표시된 바와 같이 PVLAN에는 하나의 기본 도메인과 여러 보조 도메인만 있습니다. 도메인 유형은 다음과 같습니다.
기본 VLAN -VLAN은 프레임을 다운스트림과 격리된 커뮤니티 VLAN으로 전달하는 데 사용됩니다. PVLAN의 기본 VLAN은 전체 PVLAN에 대해 802.1Q 태그(VLAN ID)로 정의됩니다. 기본 PVLAN은 여러 개의 보조 VLAN(하나의 분리된 VLAN 및 여러 커뮤니티 VLAN)을 포함할 수 있습니다.
보조 분리된 VLAN - 기본 VLAN에서만 패킷을 수신하고 프레임을 기본 VLAN으로 업스트림으로 전달하는 VLAN입니다. 분리된 VLAN은 기본 VLAN 내에 중첩된 보조 VLAN입니다. 기본 VLAN은 단 하나의 분리된 VLAN만 포함할 수 있습니다. 분리된 VLAN(분리된 인터페이스) 내의 인터페이스는 패킷을 무차별 포트 또는 PVLAN 트렁크 포트로만 전달할 수 있습니다. 분리된 인터페이스는 패킷을 다른 분리된 인터페이스로 전달할 수 없습니다. 분리된 인터페이스가 다른 분리된 인터페이스로부터 패킷을 수신할 수 없습니다. 고객 디바이스가 라우터에 만 액세스해야 하는 경우, 디바이스는 분리된 트렁크 포트에 연결되어야 합니다.
보조 스위치 간 분리된 VLAN - VLAN은 한 스위치에서 다른 스위치로 분리된 VLAN 트래픽을 PVLAN 트렁크 포트를 통해 전달하는 데 사용되었습니다. IEEE 802.1Q는 트렁킹 디바이스가 패킷 헤더에 4바이트 VLAN 프레임 식별 탭을 삽입하는 내부 태깅 메커니즘을 사용하기 때문에 스위치 간 분리된 VLAN에는 802.1Q 태그가 필요합니다. 스위치 간 분리된 VLAN은 기본 VLAN 내에 중첩된 보조 VLAN입니다.
보조 커뮤니티 VLAN —VLAN은 커뮤니티 구성원(VLAN 내 사용자의 하위 집합) 간에 프레임을 전송하고 프레임을 기본 VLAN으로 전달하는 데 사용됩니다. 커뮤니티 VLAN은 기본 VLAN 내에 중첩된 보조 VLAN입니다. 단일 PVLAN 내에서 여러 커뮤니티 VLAN을 구성할 수 있습니다. 특정 커뮤니티 VLAN 내의 인터페이스는 동일한 커뮤니티 VLAN에 속하는 다른 모든 인터페이스와 레이어 2 통신을 설정할 수 있습니다. 커뮤니티 VLAN 내의 인터페이스는 무차별 포트 또는 PVLAN 트렁크 포트와도 통신할 수 있습니다.
그림 2 은(는) 여러 스위치에 걸친 PVLAN을 보여주며, 여기서 기본 VLAN(100)에는 두 개의 커뮤니티 도메인 (300 및 )과 400한 개의 스위치 간 분리 도메인이 포함됩니다.
기본 및 보조 VLAN은 QFX 시리즈 지원되는 4089개의 VLAN 제한에 대해 계산됩니다. 예를 들어, 의 각 VLAN은 이 제한에 그림 2 대해 카운트합니다.
MX 시리즈 라우터에서 PVLAN의 일반적인 구조 및 기본 적용
구성된 PVLAN은 기본 도메인이 되고, 보조 VLAN은 기본 도메인 내에 중첩되는 하위 도메인이 됩니다. PVLAN은 단일 라우터에 생성될 수 있습니다. 에 그림 3 표시된 PVLAN에는 하나의 기본 PVLAN 도메인과 여러 개의 보조 하위 도메인이 있는 하나의 라우터가 포함됩니다.
도메인 유형은 다음과 같습니다.
기본 VLAN -VLAN은 프레임을 다운스트림과 격리된 커뮤니티 VLAN으로 전달하는 데 사용됩니다.
보조 분리된 VLAN - 기본 VLAN에서만 패킷을 수신하고 프레임을 기본 VLAN으로 업스트림으로 전달하는 VLAN입니다.
보조 스위치 간 분리된 VLAN - VLAN은 한 라우터에서 다른 라우터로 분리된 VLAN 트래픽을 PVLAN 트렁크 포트를 통해 포워칭하는 데 사용되었습니다.
보조 커뮤니티 VLAN-VLAN은 VLAN 내 사용자의 하위 집합인 커뮤니티 구성원 간에 프레임을 전송하고 프레임을 기본 VLAN으로 업스트림으로 전달하는 데 사용됩니다.
PVLAN은 강화된 LAN 모드의 DPC가 있는 MX240, MX480 및 MX960 라우터, MPC1, MPC2 및 적응형 서비스 PIC가 있는 MX 시리즈 라우터에서 지원됩니다.
EX 시리즈 스위치에서 PVLAN의 일반적인 구조 및 기본 적용
PVLAN의 기본 VLAN은 전체 PVLAN에 대해 802.1Q 태그(VLAN ID)로 정의됩니다. EX9200 스위치에서 각 보조 VLAN은 별도의 VLAN ID로 정의되어야 합니다.
그림 4 은(는) 단일 스위치에서 PVLAN을 보여주며, 여기서 기본 VLAN(VLAN 100)에는 두 개의 커뮤니티 VLAN(VLAN 및 VLAN 300400)과 한 개의 분리된 VLAN(VLAN 50)이 포함됩니다.
그림 5 은(는) 여러 스위치에 걸친 PVLAN을 보여주며, 여기서 기본 VLAN(VLAN 100)에는 두 개의 커뮤니티 VLAN(VLAN 및 VLAN 300400)과 한 개의 분리된 VLAN(VLAN 200)이 포함됩니다. 또한 스위치 1과 2가 스위치 간 링크(PVLAN 트렁크 링크)를 통해 연결되어 있음을 보여줍니다.
또한 에 표시 그림 4 되고 있는 PVLAN은 커뮤니티 및 그림 5 분리된 VLAN 간에 레이어 3 트래픽을 라우팅하는 수단으로 라우터에 연결된 무차별 포트를 사용합니다. 라우터에 연결된 무차별 포트를 사용하는 대신 에 있는 스위치 또는 에 표시된 스위치 그림 4 중 하나(일부 EX 스위치)에서 그림 5 RVI를 구성할 수 있습니다.
분리된 VLAN과 커뮤니티 VLAN 간에 레이어 3 트래픽을 라우팅하려면, 및 에 표시된 대로 라우터를 무차별 포트에 그림 4그림 5연결하거나 RVI를 구성해야 합니다.
RVI 옵션을 선택하면 PVLAN 도메인의 기본 VLAN에 대해 하나의 RVI를 구성해야 합니다. 이 RVI는 도메인에 하나 이상의 스위치를 포함하든 관계없이 전체 PVLAN 도메인에 서비스를 제공합니다. RVI를 구성한 후 보조 VLAN 인터페이스가 수신한 레이어 3 패킷은 RVI에 의해 매핑되고 라우팅됩니다.
RVI를 설정할 때 RVI가 보조 VLAN 인터페이스에 의해 수신된 ARP 요청을 처리할 수 있도록 ARP(proxy Address Resolution Protocol)도 활성화해야 합니다.
단일 스위치와 여러 스위치에서 PVLAN을 구성하는 방법에 대한 정보는 단일 EX 시리즈 스위치에서 프라이빗 VLAN 생성(CLI 절차)을 참조하십시오. RVI 구성에 대한 자세한 내용은 EX 시리즈 스위치의 프라이빗 VLAN에서 라우팅된 VLAN 인터페이스 구성을 참조하십시오.
분리된 VLAN과 커뮤니티 VLAN 간의 라우팅
분리된 VLAN과 커뮤니티 VLAN 간에 레이어 3 트래픽을 라우팅하려면 외부 라우터 또는 스위치를 기본 VLAN의 트렁크 포트에 연결해야 합니다. 기본 VLAN의 트렁크 포트는 무차별 포트입니다. 따라서 PVLAN의 모든 포트와 통신할 수 있습니다.
PVLAN은 802.1Q 태그를 사용하여 패킷 식별
패킷이 고객별 802.1Q 태그로 표시되면 해당 태그는 네트워크의 모든 스위치 또는 라우터에 대한 패킷의 소유권을 식별합니다. 때로는 서로 다른 하위 도메인의 패킷을 추적하기 위해 PVLAN 내에서 802.1Q 태그가 필요합니다. 표 1 은(는) 기본 VLAN 또는 보조 VLAN에서 VLAN 802.1Q 태그가 필요한 경우를 나타냅니다.
| 단일 스위치에서 | 여러 스위치에서 | |
|---|---|---|
| 기본 VLAN | VLAN ID를 설정하여 802.1Q 태그를 지정합니다. |
VLAN ID를 설정하여 802.1Q 태그를 지정합니다. |
| 보조 VLAN | VLAN에 태그가 필요하지 않습니다. |
VLAN에는 802.1Q 태그가 필요합니다.
|
IP 주소를 효율적으로 사용하는 PVLAN
PVLAN은 IP 주소 보존을 제공하고 IP 주소를 효율적으로 할당합니다. 일반적인 네트워크에서 VLAN은 일반적으로 단일 IP 서브넷에 해당합니다. PVLAN에서 모든 보조 VLAN의 호스트는 서브넷이 기본 VLAN에 할당되므로 동일한 IP 서브넷에 속합니다. 보조 VLAN 내의 호스트는 기본 VLAN과 연결된 IP 서브넷을 기반으로 IP 주소가 할당되며 IP 서브넷 마스킹 정보는 기본 VLAN 서브넷의 정보를 반영합니다. 그러나 각 보조 VLAN은 별도의 브로드캐스트 도메인입니다.
PVLAN 포트 유형 및 포워딩 규칙
PVLAN은 최대 6가지의 다른 포트 유형을 사용할 수 있습니다. 에 묘사된그림 2 네트워크는 무차별 포트를 사용하여 정보를 라우터로 전송하고, 커뮤니티 포트를 사용하여 금융 및 HR 커뮤니티를 해당 스위치에 연결하고, 서버를 연결하기 위해 분리된 포트, 두 개의 스위치를 연결하는 PVLAN 트렁크 포트를 사용합니다. PVLAN 포트에는 다른 제한이 있습니다.
무차별 트렁크 포트 - 무차별 포트는 인터페이스가 분리된 VLAN 또는 커뮤니티 VLAN에 속하는지 여부에 관계없이 PVLAN에 있는 모든 인터페이스와 레이어 2 통신을 갖습니다. 무차별 포트는 기본 VLAN의 멤버이지만 보조 하위 도메인 중 하나에 포함되지 않습니다. 레이어 3 게이트웨이, DHCP 서버 및 엔드포인트 디바이스와 통신해야 하는 기타 신뢰할 수 있는 디바이스는 일반적으로 무차별 포트에 연결됩니다.
PVLAN 트렁크 링크 - 스위치 간 링크라고도 하는 PVLAN 트렁크 링크는 여러 스위치에 걸쳐 PVLAN이 구성된 경우에만 필요합니다. PVLAN 트렁크 링크는 PVLAN을 구성하는 여러 스위치를 연결합니다.
PVLAN 트렁크 포트 - 스위치를 확장하려면 멀티스위치 PVLAN 구성에서 PVLAN 트렁크 포트가 필요합니다. PVLAN 트렁크 포트는 PVLAN 내의 모든 VLAN(즉, 기본 VLAN, 커뮤니티 VLAN 및 스위치 간 분리된 VLAN)의 멤버이며, 기본 VLAN 및 모든 보조 VLAN에서 트래픽을 전달합니다. 분리된 포트 이외의 모든 포트와 통신할 수 있습니다.
PVLAN 트렁크 포트와 분리된 포트 간의 통신은 일반적으로 단방향입니다. 스위치 간 분리된 VLAN의 PVLAN 트렁크 포트 구성원은 송신 전용이며 즉, 분리된 포트는 패킷을 PVLAN 트렁크 포트로 전달할 수 있지만 PVLAN 트렁크 포트는 패킷을 분리된 포트로 전달하지 않습니다(무차별 액세스 포트에서 수신된 패킷이 있기 때문에 무차별 포트와 동일한 기본 VLAN의 모든 보조 VLAN으로 전달되지 않는 한).
보조 VLAN 트렁크 포트(표시되지 않음)—보조 트렁크 포트는 보조 VLAN 트래픽을 전달합니다. 주어진 프라이빗 VLAN의 경우, 보조 VLAN 트렁크 포트는 하나의 보조 VLAN에 대해서만 트래픽을 전송할 수 있습니다. 그러나 보조 VLAN 트렁크 포트는 각 보조 VLAN이 다른 기본 VLAN의 멤버인 한 여러 보조 VLAN에 대한 트래픽을 전송할 수 있습니다. 예를 들어, 보조 VLAN 트렁크 포트는 기본 VLAN pvlan100의 일부인 커뮤니티 VLAN의 트래픽을 전송하고 기본 VLAN pvlan400의 일부인 분리된 VLAN에 대한 트래픽을 전송할 수도 있습니다.
커뮤니티 포트 - 커뮤니티 포트는 서로 그리고 무차별 포트와 통신합니다. 커뮤니티 포트는 일부 사용자 그룹에만 해당됩니다. 이러한 인터페이스는 레이어 2에서 다른 커뮤니티의 다른 모든 인터페이스 또는 PVLAN 내의 분리된 포트와 분리됩니다.
분리된 액세스 포트—분리된 포트는 무차별 포트 및 PVLAN 트렁크 포트에서만 레이어 2 연결을 갖습니다. 이 두 포트가 동일한 분리된 VLAN(또는 스위치 간 분리된 VLAN) 도메인의 구성원이라 하더라도 분리된 포트는 다른 분리된 포트와 통신할 수 없습니다. 일반적으로 메일 서버 또는 백업 서버와 같은 서버가 분리된 포트에 연결됩니다. 호텔에서 각 객실은 일반적으로 분리된 포트에 연결되며, 이는 객실 간 통신이 불가능하지만 각 객실은 무차별 포트에서 인터넷에 액세스할 수 있음을 의미합니다.
무차별 액세스 포트(표시되지 않음)—이러한 포트는 태그 없는 트래픽을 전달합니다. 무차별 액세스 포트에서 수신되는 트래픽은 디바이스의 모든 보조 VLAN 포트로 전달됩니다. 트래픽이 VLAN 지원 포트의 디바이스로 수신되고 무차별 액세스 포트에서 송신되면 트래픽은 송신에 태그가 지정되지 않습니다. 태그가 지정된 트래픽이 무차별 액세스 포트에서 수신되면 트래픽은 폐기됩니다.
인터스위치 링크 포트 - ISL(Interswitch Link) 포트는 PVLAN이 해당 라우터를 확장할 때 두 개의 라우터를 연결하는 트렁크 포트입니다. ISL 포트는 PVLAN 내의 모든 VLAN의 구성원입니다(즉, 기본 VLAN, 커뮤니티 VLAN 및 분리된 VLAN).
ISL 포트와 분리된 포트 간의 통신은 단방향입니다. 스위치 간 분리된 VLAN에 있는 ISL 포트의 구성원은 송신 전용이며, 즉 ISL 포트의 수신 트래픽은 분리된 VLAN에 할당되지 않습니다. 분리된 포트는 패킷을 PVLAN 트렁크 포트로 전달할 수 있지만 PVLAN 트렁크 포트는 패킷을 분리된 포트로 전달할 수 없습니다. 표 3 은(는) 여러 유형의 포트 사이에 레이어 2 연결이 존재하는지 여부를 요약합니다.
표 2 은(는) ELS를 지원하는 EX 시리즈 스위치의 PVLAN 내의 다양한 포트 유형 간의 레이어 2 연결을 요약합니다.
포트 유형에서 |
포트를 분리할 수 있습니까? |
무차별 포트에 대한? |
커뮤니티 포트에 대한 것이 있습니까? |
- 스위치 간 링크 포트에 연결하려면? |
|---|---|---|---|---|
격리 |
거부 |
허용(Permit) |
거부 |
허용(Permit) |
무차별 |
허용(Permit) |
허용(Permit) |
허용(Permit) |
허용(Permit) |
커뮤니티 1 |
거부 |
허용(Permit) |
허용(Permit) |
허용(Permit) |
포트 유형 |
무차별 트렁크 |
PVLAN 트렁크 |
보조 트렁크 |
커뮤니티 |
분리된 액세스 |
무차별 액세스 |
|---|---|---|---|---|---|---|
무차별 트렁크 |
예 |
예 |
예 |
예 |
예 |
예 |
PVLAN 트렁크 |
예 |
예 |
예 |
예- 동일한 커뮤니티만 해당 |
예 |
예 |
보조 트렁크 |
예 |
예 |
아니요 |
예 |
아니요 |
예 |
커뮤니티 |
예 |
예 |
예 |
예- 동일한 커뮤니티만 해당 |
아니요 |
예 |
분리된 액세스 |
예 |
예- 단방향 전용 |
아니요 |
아니요 |
아니요 |
예 |
무차별 액세스 |
예 |
예 |
예 |
예 |
예 |
아니요 |
표 4 은(는) PVLAN 내의 다른 유형의 포트 사이에 레이어 2 연결이 존재하는지 여부를 요약합니다.
포트 유형 후 → 부터:입니다. |
무차별 |
커뮤니티 |
격리 |
PVLAN 트렁크 |
Rvi |
|---|---|---|---|---|---|
무차별 |
예 |
예 |
예 |
예 |
예 |
커뮤니티 |
예 |
예- 동일한 커뮤니티만 해당 |
아니요 |
예 |
예 |
격리 |
예 |
아니요 |
아니요 |
예 주:
이 통신은 단방향입니다. |
예 |
PVLAN 트렁크 |
예 |
예- 동일한 커뮤니티만 해당 |
예 주:
이 통신은 단방향입니다. |
예 |
예 |
Rvi |
예 |
예 |
예 |
예 |
예 |
에서 표 4언급했듯이 분리된 포트와 PVLAN 트렁크 포트 간의 레이어 2 통신은 단방향입니다. 즉, 분리된 포트는 패킷만 PVLAN 트렁크 포트로 전송할 수 있으며 PVLAN 트렁크 포트는 분리된 포트에서만 패킷을 수신할 수 있습니다. 반대로 PVLAN 트렁크 포트는 패킷을 분리된 포트로 보낼 수 없으며, 분리된 포트는 PVLAN 트렁크 포트에서 패킷을 수신할 수 없습니다.
기본 VLAN에서 을(를) 활성화 no-mac-learning 하면 PVLAN에서 모든 분리된 VLAN(또는 스위치 간 분리된 VLAN)이 해당 설정을 상속합니다. 그러나 모든 커뮤니티 VLAN에서 MAC 주소 학습을 비활성화하려면 각 VLAN에서 을(를) 구성 no-mac-learning 해야 합니다.
PVLAN 생성
에 그림 6 표시된 플로우차트는 PVLAN 생성 프로세스에 대한 일반적인 아이디어를 제공합니다. 표시된 순서대로 구성 단계를 완료하면 이러한 PVLAN 규칙을 위반하지 않습니다. (PVLAN 규칙에서 PVLAN 트렁크 포트 구성은 여러 라우터를 아우르는 PVLAN에만 적용됩니다.)
기본 VLAN은 태그가 지정된 VLAN이어야 합니다.
커뮤니티 VLAN ID를 구성하려면 먼저 기본 VLAN을 구성해야 합니다.
격리 VLAN ID를 구성하려면 먼저 기본 VLAN을 구성해야 합니다.
PVLAN 인터페이스에서 VoIP(Voice over IP) VLAN 구성은 지원되지 않습니다.
에 표시된 그림 6것처럼 단일 라우터에서 VLAN을 구성하는 것은 비교적 간단합니다.
기본 VLAN 구성은 다음 단계로 구성됩니다.
기본 VLAN 이름과 802.1Q 태그를 구성합니다.
기본 VLAN을 설정합니다 no-local-switching .
무차별 트렁크 포트 및 액세스 포트를 구성합니다.
기본 VLAN의 무차별 트렁크 및 액세스 포트 멤버를 만듭니다.
기본 VLAN 내에서 보조 커뮤니티 VLAN 또는 보조 분리된 VLAN 또는 둘 모두를 구성할 수 있습니다. 보조 커뮤니티 VLAN 구성은 다음 단계로 구성됩니다.
일반적인 프로세스를 사용하여 VLAN을 구성합니다.
VLAN에 대한 액세스 인터페이스를 구성합니다.
커뮤니티 VLAN에 기본 VLAN을 할당하고
분리된 VLAN은 분리된 VLAN이 멤버로 액세스 인터페이스를 가지고 옵션이 no-local-switching 기본 VLAN에서 활성화되면 내부적으로 생성됩니다.
IEEE 802.1Q는 트렁킹 디바이스가 패킷 헤더에 4바이트 VLAN 프레임 식별 탭을 삽입하는 내부 태깅 메커니즘을 사용하기 때문에 스위치 간 분리된 VLAN에는 802.1Q 태그가 필요합니다.
트렁크 포트는 멀티라우터 PVLAN 구성에만 필요합니다. 트렁크 포트는 기본 VLAN 및 모든 보조 VLAN에서 트래픽을 전달합니다.
프라이빗 VLAN의 제한 사항
프라이빗 VLAN 구성에는 다음과 같은 제약 조건이 적용됩니다.
액세스 인터페이스는 하나의 PVLAN 도메인에만 속할 수 있습니다. 즉, 두 개의 다른 기본 VLAN에 참여할 수 없습니다.
트렁크 인터페이스는 보조 VLAN이 두 개의 다른 기본 VLAN에 있는 한 두 개의 보조 VLAN의 멤버가 될 수 있습니다. 트렁크 인터페이스는 동일한 기본 VLAN에 있는 두 개의 보조 VLAN의 구성원이 될 수 없습니다.
MSTP(Multiple Spanning Tree Protocol)의 단일 영역은 PVLAN 내에 포함된 모든 VLAN에 구성되어야 합니다.
VSTP(VLAN Spanning Tree Protocol)는 지원되지 않습니다.
IGMP 스누핑은 프라이빗 VLAN에서 지원되지 않습니다.
라우팅된 VLAN 인터페이스는 프라이빗 VLAN에서 지원되지 않습니다.
동일한 기본 VLAN에서 보조 VLAN 간의 라우팅은 지원되지 않습니다.
일부 구성 문은 보조 VLAN에 지정할 수 없습니다. 다음 명령문은 기본 PVLAN에서
[edit vlans vlan-name switch-options]만 계층 수준에서 구성할 수 있습니다.기본 VLAN을 보조 VLAN으로 변경하려면 먼저 기본 VLAN으로 변경하고 변경을 커밋해야 합니다. 예를 들어, 다음 절차를 따릅니다.
기본 VLAN을 일반 VLAN으로 변경합니다.
구성을 커밋합니다.
일반 VLAN을 보조 VLAN으로 변경합니다.
구성을 커밋합니다.
보조 VLAN을 기본 VLAN으로 변경하려면 동일한 커밋 시퀀스를 따릅니다. 즉, 보조 VLAN을 정상적인 VLAN으로 만들고 해당 변경을 커밋한 다음 일반 VLAN을 기본 VLAN으로 변경합니다.
다음 기능은 ELS 구성 스타일을 지원하는 Junos 스위치의 PVLAN에서 지원 되지 않습니다 .
송신 VLAN 방화벽 필터
ERP(Ethernet Ring Protection)
유연한 VLAN 태깅
IRB(Integrated Routing and Bridging) 인터페이스
멀티섀시 링크 어그리게이션 그룹(MC-LAG)
포트 미러링
Q-in-Q 터널링
VSTP(VLAN Spanning Tree Protocol)
VoIP(Voice over IP)
기본 PVLAN에서 [edit vlans vlan-name switch-options] 만 계층 수준에서 다음 문을 구성할 수 있습니다.
여러 스위치 전반의 PVLAN 트래픽 플로우 이해
이 주제는 프라이빗 VLAN(PVLAN)으로 구성된 샘플 멀티스위치 네트워크에서 세 가지 다른 트래픽 플로우를 설명하고 설명합니다. PVLAN은 멤버 스위치 포트("프라이빗 포트"라고 함)를 통해 트래픽 흐름을 제한하여 특정 업링크 트렁크 포트 또는 동일한 VLAN 내에 지정된 포트로만 통신합니다.
이 주제는 다음을 설명합니다.
태그 없는 트래픽 전송 커뮤니티 VLAN
이 예에서 스위치 1의 Community-1 구성원은 인터페이스 ge-0/0/12에서 태그 없는 트래픽을 보냅니다. 의 그림 7 화살표는 결과 트래픽 흐름을 나타냅니다.
이 예에서 community-1 멤버는 P-VLAN ID 10에 매핑된 C-VLAN ID 100을 할당합니다.
이 시나리오에서는 스위치 1에서 다음 작업이 수행됩니다.
-
인터페이스 ge-0/0/0 및 ge-0/0/12의 Community-1 VLAN: 자세히 보기
-
인터페이스 ge-0/0/0 및 ge-0/0/12의 pvlan100: 복제
-
인터페이스 ge-0/0/12의 Community-1 VLAN: 태그 없는 트래픽 수신
-
Community-1 VLAN 인터페이스 ge-0/0/0: 트래픽 출구가 태그 없는 경우
-
PVLAN 트렁크 포트: 트래픽은 ge-1/0/2에서 태그 10이 있는 ae0에서 종료됩니다.
-
Community-2: - 인터페이스가 트래픽 수신 없음
-
분리된 VLAN: - 인터페이스가 트래픽 수신 없음
이 시나리오에서 이 활동은 스위치 3에서 수행됩니다.
-
인터페이스 ge-0/0/23(PVLAN 트렁크)의 Community-1 VLAN: 자세히 보기
-
인터페이스 ge-0/0/23의 pvlan100: 복제
-
인터페이스 ge-0/0/9 및 ge-0/0/16의 Community-1 VLAN: 태그 없는 트래픽 수신
-
무차별 트렁크 포트: 태그 10이 있는 ge-0/0/0에서 트래픽 종료
-
Community-2: - 인터페이스가 트래픽 수신 없음
-
분리된 VLAN: - 인터페이스가 트래픽 수신 없음
태그 없는 트래픽 전송의 분리된 VLAN
이 시나리오에서 인터페이스 ge-1/0/0의 스위치 1에서 분리된 VLAN1은 태그 없는 트래픽을 보냅니다. 의 그림 8 화살표는 이 트래픽 흐름을 나타냅니다.
이 시나리오에서는 스위치 1에서 다음 작업이 수행됩니다.
인터페이스 ge-1/0/0에서 분리된 VLAN1: 자세히 보기
인터페이스 ge-1/0/0의 pvlan100: 복제
Pvlan-trunk ge-1/0/2 및 태그 50이 있는 ae0에서 트래픽이 종료됩니다.
Community-1 및 Community-2: - 인터페이스가 트래픽 수신 없음
분리된 VLAN: - 인터페이스가 트래픽 수신 없음
이 시나리오에서 이 활동은 스위치 3에서 수행됩니다.
인터페이스 ge-0/0/23(PVLAN 트렁크 포트)의 VLAN: 자세히 보기
인터페이스 ge0/0/23의 pvlan100: 복제
무차별 트렁크 포트: 태그 100이 있는 ge-0/0/0에서 트래픽 종료
Community-1 및 Community-2: - 인터페이스가 트래픽 수신 없음
분리된 VLAN: 트래픽 수신 없음
무차별 포트에서 전송된 PVLAN 태그 트래픽
이 시나리오에서는 PVLAN 태그가 지정된 트래픽이 무차별 포트에 전송됩니다. 의 그림 9 화살표는 이 트래픽 흐름을 나타냅니다.
이 시나리오에서는 스위치 1에서 다음 작업이 수행됩니다.
인터페이스 ae0(PVLAN 트렁크)에서 Pvlan100 VLAN: 자세히 보기
community-1, Community-2 및 인터페이스 ae0에서 모든 분리된 VLAN: 복제
인터페이스 ae0의 VLAN: 복제
태그 100이 있는 Pvlan-트렁크 ge-1/0/2에서 트래픽이 종료됩니다.
Community-1 및 Community-2: - 인터페이스 수신 트래픽
분리된 VLAN: 트래픽 수신
이 시나리오에서 이 활동은 스위치 3에서 수행됩니다.
인터페이스 ge-0/0/0의 pvlan100: 자세히 보기
community-1, Community-2 및 인터페이스 ge-0/0/0에서 모든 분리된 VLAN: 복제
인터페이스 ge-0/0/0의 VLAN: 복제
Community-1 및 Community-2: - 인터페이스 수신 트래픽
분리된 VLAN: 트래픽 수신
PVLAN의 보조 VLAN 트렁크 포트 및 무차별 액세스 포트 이해하기
VLAN은 브로드캐스트를 지정된 사용자로 제한합니다. 프라이빗 VLAN(PVLAN)은 VLAN을 여러 브로드캐스트 하위 도메인으로 분할하고 기본적으로 보조 VLAN을 기본 VLAN에 배치하여 이 개념을 한 단계 더 발전시킬 수 있습니다. PVLAN은 멤버 포트를 통해 트래픽 흐름을 제한하여 이러한 포트가 지정된 업링크 트렁크 포트 또는 동일한 VLAN 내의 지정된 포트와만 통신할 수 있도록 합니다. 업링크 트렁크 포트는 일반적으로 라우터, 방화벽, 서버 또는 프로바이더 네트워크에 연결됩니다. PVLAN에는 일반적으로 단일 업링크와만 통신하는 많은 프라이빗 포트가 포함되어 있어 포트가 서로 통신하는 것을 방지합니다.
보조 트렁크 포트 및 무차별 액세스 포트는 다음과 같이 복잡한 구축에 사용하기 위한 PVLAN의 기능을 확장합니다.
엔터프라이즈 VMWare 인프라 환경
VM 관리를 통한 멀티테넌트 클라우드 서비스
여러 고객을 위한 웹 호스팅 서비스
예를 들어, 보조 VLAN 트렁크 포트를 사용하여 QFX 디바이스를 프라이빗 VLAN으로 구성된 VMware 서버에 연결할 수 있습니다. 무차별 액세스 포트를 사용하여 트렁크 포트를 지원하지 않지만 프라이빗 VLAN에 참여해야 하는 시스템에 QFX 디바이스를 연결할 수 있습니다.
이 주제에서는 QFX 시리즈 PVLAN에 관한 다음 개념을 설명합니다.
PVLAN 포트 유형
PVLAN은 다음과 같은 다른 포트 유형을 사용할 수 있습니다.
무차별 트렁크 포트 - 무차별 포트는 라우터, 방화벽, 서버 또는 프로바이더 네트워크에 연결된 업스트림 트렁크 포트입니다. 무차별 트렁크 포트는 PVLAN 내의 분리된 및 커뮤니티 포트를 포함하여 모든 인터페이스와 통신할 수 있습니다.
PVLAN 트렁크 포트 - 스위치를 확장하려면 멀티스위치 PVLAN 구성에서 PVLAN 트렁크 포트가 필요합니다. PVLAN 트렁크 포트는 PVLAN 내의 모든 VLAN(즉, 기본 VLAN, 커뮤니티 VLAN 및 스위치 간 분리된 VLAN)의 멤버이며, 기본 VLAN 및 모든 보조 VLAN에서 트래픽을 전달합니다. 모든 포트와 통신할 수 있습니다.
PVLAN 트렁크 포트와 분리된 포트 간의 통신은 일반적으로 단방향입니다. 스위치 간 분리된 VLAN의 PVLAN 트렁크 포트 구성원은 송신 전용이며 즉, 분리된 포트는 패킷을 PVLAN 트렁크 포트로 전달할 수 있지만 PVLAN 트렁크 포트는 패킷을 분리된 포트로 전달하지 않습니다(무차별 액세스 포트에서 수신된 패킷이 있기 때문에 무차별 포트와 동일한 기본 VLAN의 모든 보조 VLAN으로 전달되지 않는 한).
보조 VLAN 트렁크 포트 - 보조 VLAN 트렁크 포트는 보조 VLAN 트래픽을 전달합니다. 주어진 프라이빗(기본) VLAN의 경우, 보조 VLAN 트렁크 포트는 하나의 보조 VLAN에 대해서만 트래픽을 전송할 수 있습니다. 그러나 보조 VLAN 트렁크 포트는 각 보조 VLAN이 다른 기본 VLAN의 멤버인 한 여러 보조 VLAN에 대한 트래픽을 전송할 수 있습니다. 예를 들어, 보조 VLAN 트렁크 포트는 기본 VLAN pvlan100의 일부인 커뮤니티 VLAN의 트래픽을 전송하고 기본 VLAN pvlan400의 일부인 분리된 VLAN에 대한 트래픽을 전송할 수도 있습니다.
주:트래픽이 보조 VLAN 트렁크 포트에서 송신되면 일반적으로 보조 포트가 의 멤버인 기본 VLAN 태그를 전달합니다. 보조 VLAN 트렁크 포트에서 송신되는 트래픽이 보조 VLAN 태그를 유지하려면 문을 사용합니다 extend-secondary-vlan-id .
커뮤니티 포트 - 커뮤니티 포트는 서로 그리고 무차별 포트와 통신합니다. 커뮤니티 포트는 일부 사용자 그룹에만 해당됩니다. 이러한 인터페이스는 레이어 2에서 다른 커뮤니티의 다른 모든 인터페이스 또는 PVLAN 내의 분리된 포트와 분리됩니다.
분리형 액세스 포트 - 분리된 포트는 무차별 포트 및 PVLAN 트렁크 포트만 레이어 2 연결성을 갖습니다. 이 두 포트가 동일한 분리된 VLAN의 구성원이라 하더라도 분리된 액세스 포트는 다른 분리된 포트와 통신할 수 없습니다.
무차별 액세스 포트 - 이러한 포트는 태그 없는 트래픽을 전달하며 단 하나의 기본 VLAN의 멤버가 될 수 있습니다. 무차별 액세스 포트에서 수신되는 트래픽은 무차별 액세스 포트가 의 멤버인 기본 VLAN의 멤버인 보조 VLAN의 포트로 전달됩니다. 이 경우 트래픽은 보조 VLAN 포트가 트렁크 포트인 경우 보조 VLAN 포트에서 송신할 때 적절한 보조 VLAN 태그를 전달합니다. 트래픽이 보조 VLAN 포트에서 수신되고 무차별 액세스 포트에서 송신되면 트래픽은 송신에 태그가 지정되지 않습니다. 태그가 지정된 트래픽이 무차별 액세스 포트에서 수신되면 트래픽은 폐기됩니다.
보조 VLAN 트렁크 포트 세부 정보
보조 VLAN 트렁크 포트를 사용할 때는 다음 사항을 유의해야 합니다.
보조 VLAN 트렁크 포트가 참여할 각 기본 VLAN에 대해 격리 VLAN ID를 구성해야 합니다. 이는 보조 VLAN 트렁크 포트가 전달할 보조 VLAN이 단일 디바이스에 국한되어 있더라도 마찬가지입니다.
특정 기본 VLAN에 대해 포트를 보조 VLAN 트렁크 포트로 구성하는 경우, 동일한 물리적 포트를 다음 중 일부로 구성할 수도 있습니다.
다른 기본 VLAN에 대한 보조 VLAN 트렁크 포트
다른 기본 VLAN을 위한 PVLAN 트렁크
무차별 트렁크 포트
비-프라이빗 VLAN에 대한 액세스 포트
보조 VLAN 트렁크 포트에서 수신되고(보조 VLAN 태그가 있는) PVLAN 트렁크 포트에서 송신되는 트래픽은 송신의 보조 VLAN 태그를 유지합니다.
보조 VLAN 트렁크 포트에서 수신되고 무차별 트렁크 포트에서 송신되는 트래픽은 송신에 적절한 기본 VLAN 태그를 가지고 있습니다.
보조 VLAN 트렁크 포트에서 수신되고 무차별 액세스 포트에서 송신되는 트래픽은 송신에 태그가 지정되지 않습니다.
기본 VLAN 태그가 있고 보조 VLAN 트렁크 포트에서 송신되는 무차별 트렁크 포트에서 수신되는 트래픽은 송신에 적절한 보조 VLAN 태그를 전달합니다. 예를 들어, 스위치에 다음을 구성한 것으로 가정합니다.
기본 VLAN 100
기본 VLAN의 일부로 커뮤니티 VLAN 200
무차별 트렁크 포트
community VLAN 200을 전송하는 보조 트렁크 포트
기본 VLAN 태그 100이 있는 무차별 트렁크 포트에서 패킷이 수신되고 보조 VLAN 트렁크 포트에서 송신되면 송신에 태그 200을 전달합니다.
사용 사례
동일한 물리적 인터페이스에서 여러 개의 보조 VLAN 트렁크 포트(다른 기본 VLAN에서)를 구성하거나 보조 VLAN 트렁크 포트를 다른 유형의 VLAN 포트와 결합할 수 있습니다. 다음 사용 사례는 이를 수행하는 예를 제공하고 각 사례에서 트래픽이 어떻게 흐르는지 보여줍니다.
- 두 가지 기본 VLAN의 보조 VLAN 트렁크
- 보조 VLAN 트렁크 및 무차별 트렁크
- 보조 VLAN 트렁크 및 PVLAN 트렁크
- 보조 VLAN 트렁크 및 비-프라이빗 VLAN 인터페이스
- 무차별 액세스 포트에서 트래픽 수신
두 가지 기본 VLAN의 보조 VLAN 트렁크
이 사용 사례에서는 다음 구성이 있는 스위치가 두 개 있다고 가정합니다.
태그 100이 있는 기본 VLAN pvlan100입니다.
태그 200이 있는 분리된 VLAN 분리200은 Pvlan100의 멤버입니다.
태그 300이 있는 커뮤니티 VLAN comm300은 Pvlan100의 멤버입니다.
태그 400이 있는 기본 VLAN pvlan400입니다.
태그 500이 있는 분리된 VLAN 분리500은 Pvlan400의 멤버입니다.
태그 600이 있는 커뮤니티 VLAN comm600은 Pvlan400의 멤버입니다.
스위치 1의 인터페이스 xe-0/0/0은 이 예에서 사용되는 프라이빗 VLAN으로 구성된 VMware 서버(표시되지 않음)에 연결됩니다. 이 인터페이스는 보조 VLAN comm600 및 pvlan100의 멤버인 분리된 VLAN(태그 200)에 대한 트래픽을 전송하기 위해 보조 VLAN 트렁크 포트로 구성됩니다.
스위치 2의 인터페이스 xe-0/0/0은 무차별 트렁크 포트 또는 무차별 액세스 포트로 구성된 것으로 표시됩니다. 후자의 경우, 트렁크 포트를 지원하지 않지만 이 예에서 사용되는 프라이빗 VLAN으로 구성된 시스템(표시되지 않음)에 연결된다고 가정할 수 있습니다.
스위치 1에서 xe-0/0/6은 comm600의 멤버이며 트렁크 포트로 구성됩니다.
스위치 2에서 xe-0/0/6은 comm600의 멤버이며 액세스 포트로 구성됩니다.
그림 10 이 토폴로지와 스위치 1에서 xe-0/0/0으로 수신한 후 분리된 200 및 comm600의 트래픽이 어떻게 흐르는지 보여줍니다. 트래픽은 화살표가 나타내는 위치만 플로우한다는 점에 유의하십시오. 예를 들어, 스위치 1에는 xe-0/0/2, xe-0/0/3 및 xe-0/0/5 인터페이스에 대한 화살표가 없습니다. 이러한 인터페이스에서 패킷이 송신되지 않을 것이기 때문입니다.
다음은 VLAN 분리200의 트래픽 플로우입니다.
이러한 두 포트가 동일한 분리된 VLAN의 멤버임에도 불구하고 스위치 1의 분리된 액세스 포트 xe-0/0/2 또는 스위치 2의 보조 VLAN 트렁크 포트 xe-0/0/2에서 VLAN 분리된 포트의 트래픽이 송신되지 않습니다.
다음은 VLAN comm600의 트래픽 플로우입니다.
스위치 1의 보조 VLAN 트렁크 포트에서 comm600 수신 트래픽이 전송되면 PVLAN 트렁크 포트가 모든 VLAN의 멤버이기 때문에 PVLAN 트렁크 포트에서 송신됩니다. 패킷은 송신 시 보조 VLAN 태그(600)를 유지합니다.
comm600의 트래픽은 스위치 1의 커뮤니티 포트 xe-0/0/6에서도 송신됩니다. 포트가 트렁크로 구성되므로 트래픽 태그가 지정됩니다.
스위치 2의 PVLAN 트렁크 포트에서 comm600 수신 트래픽이 수신된 후, 이 인터페이스가 무차별 트렁크 포트로 구성된 경우 xe-0/0/0에서 송신됩니다.
주:스위치 2의 xe-0/0/0이 무차별 액세스 포트로 구성된 경우 포트는 하나의 기본 VLAN에만 참여할 수 있습니다. 이 경우 무차별 액세스 포트는 pvlan100의 일부이므로 comm600의 트래픽은 pvlan100에서 송신되지 않습니다.
comm600의 트래픽은 스위치 2의 커뮤니티 포트 xe-0/0/6에서도 송신됩니다. 이 경우 포트 모드가 액세스하므로 트래픽이 태그 처리되지 않습니다.
보조 VLAN 트렁크 및 무차별 트렁크
이 사용 사례에서는 한 가지 예외를 제외하고 이전 사용 사례와 동일한 포트 및 VLAN으로 구성된 스위치가 두 개 있다고 가정합니다. 이 경우 스위치 1의 xe-0/0/0은 VLAN pvlan100을 위한 보조 VLAN 트렁크 포트로 구성되며 pvlan400의 무차별 트렁크 포트로도 구성됩니다.
그림 11 이 토폴로지와 분리된 200(pvlan100의 멤버) 및 comm600(pvlan400의 멤버)의 트래픽이 스위치 1에서 수신된 후 흐르는 방법을 보여줍니다.
VLAN 분리200의 트래픽 플로우는 이전 사용 사례와 동일하지만 comm600의 플로우는 다릅니다. 다음은 VLAN comm600의 트래픽 플로우입니다.
보조 VLAN 트렁크 및 PVLAN 트렁크
이 사용 사례에서는 스위치 1의 xe-0/0/0이 VLAN pvlan100을 위한 보조 VLAN 트렁크 포트로 구성되고 pvlan400을 위한 PVLAN 트렁크 포트로 구성된다는 점을 제외하고는 이전 사용 사례와 마찬가지로 동일한 포트 및 VLAN으로 구성된 스위치가 두 개 있다고 가정합니다.
그림 12 이 토폴로지와 comm300(pvlan100의 멤버) 및 comm600(pvlan400의 구성원)의 트래픽이 스위치 1에서 수신된 후 흐르는 방법을 보여줍니다.
다음은 VLAN comm300의 트래픽 플로우입니다.
다음은 VLAN comm600의 트래픽 플로우입니다.
스위치 1에서 PVLAN 포트 xe-0/0/0에서 comm600 수신 트래픽이 전송되면 스위치 1의 커뮤니티 포트 xe-0/0/6에서 송신됩니다. xe-0/0/6이 트렁크 포트이기 때문에 송신 시 패킷은 보조 VLAN 태그(600)를 유지합니다.
comm600의 트래픽은 PVLAN 트렁크 포트가 모든 VLAN의 멤버이기 때문에 PVLAN 트렁크 포트 xe-0/0/1에서도 송신됩니다. 패킷은 송신 시 보조 VLAN 태그(600)를 유지합니다.
스위치 2의 PVLAN 트렁크 포트에서 comm600 수신 트래픽이 수신된 후, 이 인터페이스가 무차별 트렁크 포트로 구성된 경우 xe-0/0/0에서 송신됩니다.
포트가 Pvlan100에만 참여할 수 있기 때문에 이 인터페이스가 무차별 액세스 포트로 구성되면 xe-0/0/0에서 송신되지 않습니다.
comm600의 트래픽은 스위치 2의 커뮤니티 포트 xe-0/0/6에서도 송신됩니다. xe-0/0/6이 액세스 포트이기 때문에 송신 시 이 트래픽의 태그가 지정되지 않습니다.
보조 VLAN 트렁크 및 비-프라이빗 VLAN 인터페이스
이 사용 사례에서는 다음과 같은 차이점을 제외하고 이전 사용 사례와 동일한 포트 및 VLAN으로 구성된 스위치가 두 개 있다고 가정합니다.
스위치 1에서 xe-0/0/0 구성:
VLAN pvlan100을 위한 보조 VLAN 트렁크 포트
vlan700용 액세스 포트
두 스위치의 포트 xe-0/0/6은 vlan700에 대한 액세스 포트입니다.
그림 13 이 토폴로지와 분리된 200(pvlan100의 멤버) 및 vlan700의 트래픽이 스위치 1에서 수신된 후 흐르는 방법을 보여줍니다.
다음은 VLAN 분리200의 트래픽 플로우입니다.
이러한 두 포트가 동일한 분리된 VLAN의 멤버임에도 불구하고 스위치 1의 분리된 액세스 포트 xe-0/0/2 또는 스위치 2의 보조 VLAN 트렁크 포트 xe-0/0/2에서 VLAN 분리된 포트의 트래픽이 송신되지 않습니다.
스위치 1에서 xe-0/0/0에 구성된 액세스 포트에서 vlan700 수신에 대한 트래픽이 전송되면 해당 포트가 동일한 VLAN의 멤버이기 때문에 액세스 포트 xe-0/0/6에서 송신됩니다. vlan700의 트래픽은 스위치 2로 전달되지 않습니다(스위치 2의 xe-0/0/6은 vlan700의 멤버임에도 불구하고) xe-0/0/1의 PVLAN 트렁크가 이 VLAN을 전달하지 않기 때문입니다.
무차별 액세스 포트에서 트래픽 수신
이 사용 사례에서는 스위치 1의 xe-0/0/0이 무차별 액세스 포트로 구성되고 pvlan100의 멤버임을 제외하고는 이전 사용 사례와 동일한 포트 및 VLAN으로 구성된 스위치가 두 개 있다고 가정합니다. 그림 14 은(는) 이 토폴로지와 스위치 1에서 이 인터페이스를 통해 수신된 후 태그 없는 트래픽이 어떻게 흐를지를 보여줍니다.
그림에서 알 수 있듯이 무차별 액세스 포트에서 수신되는 태그 없는 트래픽은 무차별 액세스 포트가 의 멤버인 동일한 기본 VLAN의 구성원인 모든 보조 VLAN 포트로 전달됩니다. 트래픽은 액세스 포트에서 송신되고 트렁크 포트에서 송신에 태그가 지정될 때 태그가 지정되지 않습니다(스위치 2의 xe-0/0/2).
동일한 인터페이스에서 802.1X 인증 및 프라이빗 VLAN 함께 사용
- 동일한 인터페이스에서 802.1X 인증 및 PVLAN을 함께 사용하는 이해
- 802.1X 인증을 PVLAN과 결합하기 위한 구성 지침
- 예를 들면 다음과 같습니다. 하나의 구성에서 프라이빗 VLAN을 통한 802.1X 인증 구성
동일한 인터페이스에서 802.1X 인증 및 PVLAN을 함께 사용하는 이해
이제 동일한 인터페이스에서 802.1X 인증 및 프라이빗 VLAN(PVLAN)을 모두 구성할 수 있습니다.
IEEE 802.1X 인증은 신청자의 자격 증명이 제시되고 (RADIUS 서버)에서 일치 authentication server 할 때까지 인터페이스에서 신청자(클라이언트)와 오고가는 모든 트래픽을 차단하여 무단 사용자 액세스로부터 이더넷 LAN을 보호하는 네트워크 에지 보안을 제공합니다.
프라이빗 VLAN(PVLAN)은 VLAN 내의 포트 간에 레이어 2 격리를 제공하며, 보조 VLAN을 생성하여 브로드캐스트 도메인을 여러 개의 개별 브로드캐스트 하위 도메인으로 분할합니다. PVLAN은 브로드캐스트 및 알 수 없는 유니캐스트 트래픽의 흐름을 제한하고 알려진 호스트 간의 통신을 제한하는 데 유용합니다.
802.1X 인증 및 PVLAN으로 구성된 스위치에서 새 디바이스가 PVLAN 네트워크에 연결되면 디바이스가 인증된 다음 PVLAN 구성 또는 RADIUS 프로필을 기반으로 보조 VLAN에 할당됩니다. 그런 다음 디바이스는 IP 주소를 획득하고 PVLAN 네트워크에 대한 액세스 권한을 부여합니다.
이 문서에서는 802.1X 인증 또는 프라이빗 VLAN에 대한 자세한 정보를 제공하지 않습니다. 자세한 내용은 해당 개별 기능에 대한 기능 설명서를 참조하십시오. 802.1X의 경우 사용자 액세스 및 인증 사용자 가이드를 참조하십시오. PVLAN의 경우 이 더넷 스위칭 사용자 가이드를 참조하십시오.
802.1X 인증을 PVLAN과 결합하기 위한 구성 지침
동일한 인터페이스에서 이러한 두 기능을 구성하기 위해 다음 지침과 제한 사항을 염두에 두십시오.
802.1X 지원 인터페이스는 무차별 인터페이스(구성에 의한 기본 VLAN의 멤버인 인터페이스) 또는 ISL(Interswitch-link) 인터페이스로 구성할 수 없습니다.
논리 인터페이스에서 동일한 PVLAN 도메인에 속하는 다른 VLAN에 대해 여러 사용자를 인증할 수 없습니다. 예를 들어 인터페이스 ge-0/0/0이 로
supplicant multiple구성되고 클라이언트 C1과 C2가 인증되어 동적 VLAN V1과 V2에 각각 추가되는 경우, V1과 V2는 서로 다른 PVLAN 도메인에 속해야 합니다.VoIP VLAN과 데이터 VLAN이 다르면 이러한 두 VLAN은 서로 다른 PVLAN 도메인에 있어야 합니다.
PVLAN 구성원이 변경되면(즉, 인터페이스가 다른 PVLAN에서 재구성됨) 클라이언트를 재인증해야 합니다.
예를 들면 다음과 같습니다. 하나의 구성에서 프라이빗 VLAN을 통한 802.1X 인증 구성
요구 사항
Junos OS 릴리스 18.2R1 이상
EX2300, EX3400 또는 EX4300 스위치
시작하기 전에 인증 서버로 사용할 RADIUS 서버나 서버를 지정합니다. 스위치에서 RADIUS 서버 연결 지정(CLI 절차)을 참조하십시오.
개요
다음 구성 섹션에는 액세스 프로필 구성, 802.1X 인증 구성 및 마지막으로 VLAN(PVLAN 포함) 구성이 표시됩니다.
하나의 구성에서 프라이빗 VLAN을 통한 802.1X 인증 구성
절차
CLI 빠른 구성
[edit] set access radius-server 10.20.9.199 port 1812 set access radius-server 10.20.9.199 secret "$9$Lqa7dsaZjP5F245Fn/0OX7-V24JGDkmf" set access profile dot1x-auth authentication-order radius set access profile authp authentication-order radius set access profile authp radius authentication-server 10.204.96.165 set switch-options voip interface ge-0/0/8.0 vlan voip set interfaces ge-0/0/8 unit 0 family ethernet-switching interface-mode access set interfaces ge-0/0/8 unit 0 family ethernet-switching vlan members data set protocols dot1x authenticator authentication-profile-name authp set protocols dot1x authenticator interface ge-0/0/8.0 supplicant multiple set protocols dot1x authenticator interface ge-0/0/8.0 mac-radius set vlans community vlan-id 20 set vlans community private-vlan community set vlans community-one vlan-id 30 set vlans community-one private-vlan community set vlans isolated vlan-id 200 set vlans isolated private-vlan isolated set vlans pvlan vlan-id 2000 set vlans pvlan isolated-vlan isolated set vlans pvlan community-vlans [community community-one] set vlans data vlan-id 43 set vlans voip vlan-id 33
단계별 절차
하나의 구성으로 802.1X 인증 및 PVLAN을 구성하려면,
액세스 프로필을 구성합니다.
[edit access] set radius-server 10.20.9.199 port 1812 set radius-server 10.20.9.199 secret "$9$Lqa7dsaZjP5F245Fn/0OX7-V24JGDkmf" set profile dot1x-auth authentication-order radius set profile authp authentication-order radius set profile authp radius authentication-server 10.204.96.165 [edit switch-options] set voip interface ge-0/0/8.0 vlan voip
주:구성된 VoIP VLAN은 PVLAN(기본, 커뮤니티 또는 격리)이 될 수 없습니다.
802.1X 설정을 구성합니다.
[edit interfaces] set ge-0/0/8 unit 0 family ethernet-switching interface-mode access set ge-0/0/8 unit 0 family ethernet-switching vlan members data [edit protocols] set dot1x authenticator authentication-profile-name authp set dot1x authenticator interface ge-0/0/8.0 supplicant multiple set dot1x authenticator interface ge-0/0/8.0 mac-radius
주:구성된 데이터 VLAN은 커뮤니티 VLAN 또는 분리된 VLAN일 수도 있습니다.
VLAN(PVLAN 포함)을 구성합니다.
[edit vlans] set community vlan-id 20 set community private-vlan community set community-one vlan-id 30 set community-one private-vlan community set isolated vlan-id 200 set isolated private-vlan isolated set pvlan vlan-id 2000 set pvlan isolated-vlan isolated set pvlan community-vlans [community community-one] set data vlan-id 43 set voip vlan-id 33
결과
구성 모드에서 스위치에서 다음 show 명령을 입력하여 구성을 확인합니다. 출력에 의도한 구성이 표시되지 않으면 이 예의 지침을 반복하여 구성을 수정합니다.
user@switch# show access
radius-server {
10.20.9.199 {
port 1812;
secret "$9$Lqa7dsaZjP5F245Fn/0OX7-V24JGDkmf"; ## SECRET-DATA
}
}
profile dot1x-auth {
authentication-order radius;
}
profile authp {
authentication-order radius;
radius {
authentication-server 10.204.96.165;
}
}
user@switch# show interfaces
ge-0/0/8 {
unit 0 {
family ethernet-switching {
interface-mode access;
vlan {
members data;
}
}
}
}
user@switch# show protocols
dot1x {
authenticator {
authentication-profile-name authp;
interface {
ge-0/0/8.0 {
supplicant multiple;
mac-radius;
}
}
}
}
user@switch# show switch-options
voip {
interface ge-0/0/8.0 {
vlan voip;
}
}
user@switch# show vlans
community {
vlan-id 20;
private-vlan community;
}
community-one {
vlan-id 30;
private-vlan community;
}
data {
vlan-id 43;
}
isolated {
vlan-id 200;
private-vlan isolated;
}
pvlan {
vlan-id 2000;
isolated-vlan isolated;
community-vlans [community community-one];
}
voip {
vlan-id 33;
}
확인
클라이언트 MAC 주소가 기본 VLAN에서 학습되는지 확인
목적
클라이언트 MAC 주소 기본 VLAN에서 학습되었음을 보여줍니다.
실행
user@switch> show ethernet-switching table
MAC flags (S - static MAC, D - dynamic MAC, L - locally learned, P - Persistent static, C - Control MAC, SE - statistics enabled, NM - non configured MAC, R - remote PE MAC, O - ovsdb MAC)
Ethernet switching table : 1 entries, 1 learned
Routing instance : default-switch
Vlan MAC MAC Age Logical NH RTR
name address flags interface Index ID
pvlan 00:30:48:8C:66:BD D - ge-0/0/8.0 0 0 기본 VLAN이 인증된 VLAN인지 확인
목적
기본 VLAN이 인증된 VLAN으로 표시됩니다.
실행
user@switch> show dot1x interface ge-0/0/8.0 detail
ge-0/0/8.0
Role: Authenticator
Administrative state: Auto
Supplicant mode: Multiple
Number of retries: 3
Quiet period: 60 seconds
Transmit period: 30 seconds
Mac Radius: Enabled
Mac Radius Strict: Disabled
Reauthentication: Enabled Reauthentication interval: 40 seconds
Supplicant timeout: 30 seconds
Server timeout: 30 seconds
Maximum EAPOL requests: 1
Guest VLAN member: <not configured>
Number of connected supplicants: 1
Supplicant: user5, 00:30:48:8C:66:BD
Operational state: Authenticated
Authentication method: Radius
Authenticated VLAN: pvlan
Reauthentication due in 17 seconds프라이빗 VLAN에 액세스 포트 보안 적용
PVLAN의 액세스 포트 보안 이해
이제 프라이빗 VLAN(PVLAN)에서 DHCP 스누핑과 같은 액세스 포트 보안 기능을 활성화할 수 있습니다.
보안상의 이유로 브로드캐스트 및 알 수 없는 유니캐스트 트래픽의 흐름을 제한하고 알려진 호스트 간의 통신을 제한하는 것이 유용합니다. PVLAN 기능을 사용하면 브로드캐스트 도메인을 여러 분리된 브로드캐스트 하위 도메인으로 분할하여 기본적으로 VLAN을 VLAN 내부에 배치할 수 있습니다.
이더넷 LAN은 네트워크 디바이스의 주소 스푸핑(forging) 및 DoS(Layer 2 Denial of Service)와 같은 공격에 취약합니다. 다음 액세스 포트 보안 기능은 이러한 공격으로 인해 발생할 수 있는 정보 및 생산성 손실로부터 디바이스를 보호하는 데 도움이 되며, 이제 PVLAN에서 이러한 보안 기능을 구성할 수 있습니다.
DHCP 스누핑 - 신뢰할 수 없는 포트에서 수신 DHCP 서버 메시지를 필터링하고 차단합니다. DHCP 스누핑은 DHCP 스누핑 데이터베이스라고 하는 DHCP 리스 정보의 데이터베이스를 구축하고 유지합니다.
DHCPv6 스누핑 - IPv6에 대한 DHCP 스누핑.
DHCP 옵션 82 - DHCP 릴레이 에이전트 정보 옵션으로도 알려져 있습니다. IP 주소 및 MAC 주소 스푸핑 및 DHCP IP 주소 기아와 같은 공격으로부터 스위치를 보호합니다. 옵션 82는 DHCP 클라이언트의 네트워크 위치에 대한 정보를 제공합니다. DHCP 서버는 이 정보를 사용하여 클라이언트에 대한 IP 주소 또는 기타 매개 변수를 구현합니다.
DHCPv6 옵션:
옵션 37—DHCPv6용 원격 ID 옵션, 은(는) 원격 호스트의 네트워크 위치에 대한 정보를 DHCPv6 패킷에 삽입합니다.
옵션 18 —DHCPv6용 서킷 ID 옵션, 클라이언트 포트에 대한 정보를 DHCPv6 패킷에 삽입합니다.
옵션 16—DHCPv6용 벤더 ID 옵션, 은(는) 클라이언트 하드웨어 벤더에 대한 정보를 DHCPv6 패킷에 삽입합니다.
DAI(Dynamic ARP Inspection) - ARP(Address Resolution Protocol) 스푸핑 공격을 방지합니다. ARP 요청 및 응답은 DHCP 스누핑 데이터베이스의 항목과 비교되며, 이러한 비교 결과를 기반으로 필터링 결정이 이루어집니다.
IP 소스 가드 — 이더넷 LAN에 대한 IP 주소 스푸핑 공격의 영향을 완화합니다. DHCP 스누핑 데이터베이스에 대해 신뢰할 수 없는 액세스 인터페이스에서 전송된 패킷의 소스 IP 주소를 검증합니다. 패킷을 검증할 수 없는 경우 폐기됩니다.
IPv6 소스 가드 - IPv6을 위한 IP 소스 가드입니다.
IPv6 인접 검색 검사 -IPv6 주소 스푸핑 공격을 방지합니다. 인접 검색 요청 및 응답을 DHCPv6 스누핑 데이터베이스의 항목과 비교하고, 이러한 비교 결과를 기반으로 필터링 결정이 이루어집니다.
이 문서에서는 액세스 포트 보안 기능 또는 PVLAN에 대한 자세한 정보를 제공하지 않습니다. 자세한 내용은 해당 개별 기능에 대한 기능 설명서를 참조하십시오. 액세스 포트 보안은 보안 서비스 관리 가이드를 참조하십시오. PVLAN의 경우 이 더넷 스위칭 사용자 가이드를 참조하십시오.
PVLAN에 액세스 포트 보안 기능을 배치하기 위한 구성 지침
PVLAN에서 액세스 포트 보안 기능을 구성하기 위해 다음 지침과 제한 사항을 염두에 두십시오.
기본 vlan과 보조 VLAN 모두에 동일한 액세스 포트 보안 기능을 적용해야 합니다.
PVLAN은 하나의 통합 라우팅 및 브리징(IRB) 인터페이스만 가질 수 있으며 IRB 인터페이스는 기본 VLAN에 있어야 합니다.
PVLAN의 액세스 포트 보안 구성 제한은 PVLAN에 없는 액세스 포트 보안 기능 구성의 제한 사항과 동일합니다. 보안 서비스 관리 가이드에서 액세스 포트 보안 문서를 참조하십시오.
예를 들면 다음과 같습니다. PVLAN에서 액세스 포트 보안 구성
요구 사항
Junos OS 릴리스 18.2R1 이상
EX4300 스위치
개요
다음 구성 섹션은 다음을 보여줍니다.
기본 VLAN(
vlan-pri) 및 3개의 보조 VLAN(커뮤니티 VLAN(및) 및vlan-finance분리된 VLAN(vlan-hrvlan-iso)을 포함하는 프라이빗 VLAN의 구성입니다.해당 VLAN의 인터페이스 간에 통신을 전송하는 데 사용되는 인터페이스 구성.
PVLAN을 구성하는 기본 및 보조 VLAN의 액세스 보안 기능 구성.
표 5 은(는) 예제 토폴로지의 설정을 나열합니다.
| 인터페이스 | 설명 |
|---|---|
ge-0/0/0.0 |
기본 VLAN(vlan1-pri) 트렁크 인터페이스 |
ge-0/0/11.0 |
사용자 1, HR 커뮤니티(vlan-hr) |
ge-0/0/12.0 |
사용자 2, HR 커뮤니티(vlan-hr) |
ge-0/0/13.0 |
사용자 3, 금융 커뮤니티(vlan-finance) |
ge-0/0/14.0 |
사용자 4, 금융 커뮤니티(vlan-finance) |
ge-0/0/15.0 |
메일 서버, 분리(vlan-iso) |
ge-0/0/16.0 |
백업 서버, 분리(vlan-iso) |
ge-1/0/0.0 |
기본 VLAN(vlan-pri) 트렁크 인터페이스 |
PVLAN에서 액세스 포트 보안 구성
절차
CLI 빠른 구성
set vlans vlan-pri vlan-id 100 set vlans vlan-hr private-vlan community vlan-id 200 set vlans vlan-finance private-vlan community vlan-id 300 set vlans vlan-iso private-vlan isolated vlan-id 400 set vlans vlan-pri community-vlan vlan-hr set vlans vlan-pri community-vlan vlan-finance set vlans vlan-pri isolated-vlan vlan-iso set interfaces ge-0/0/11 unit 0 family ethernet-switching interface-mode access vlan members vlan-hr set interfaces ge-0/0/12 unit 0 family ethernet-switching interface-mode trunk vlan members vlan-hr set interfaces ge-0/0/13 unit 0 family ethernet-switching interface-mode access vlan members vlan-finance set interfaces ge-0/0/14 unit 0 family ethernet-switching interface-mode trunk vlan members vlan-finance set interfaces ge-0/0/15 unit 0 family ethernet-switching interface-mode access vlan members vlan-iso set interfaces ge-0/0/16 unit 0 family ethernet-switching interface-mode access vlan members vlan-iso set interfaces ge-0/0/0 unit 0 family ethernet-switching interface-mode trunk vlan members vlan-pri set interfaces ge-1/0/0 unit 0 family ethernet-switching interface-mode trunk vlan members vlan-pri set vlans vlan-pri forwarding-options dhcp-security arp-inspection set vlans vlan-pri forwarding-options dhcp-security ip-source-guard set vlans vlan-pri forwarding-options dhcp-security ipv6-source-guard set vlans vlan-pri forwarding-options dhcp-security neighbor-discovery-inspection set vlans vlan-pri forwarding-options dhcp-security option-82 set vlans vlan-pri forwarding-options dhcp-security dhcpv6-options option-16 set vlans vlan-pri forwarding-options dhcp-security dhcpv6-options light-weight-dhcpv6-relay set vlans vlan-hr forwarding-options dhcp-security arp-inspection set vlans vlan-hr forwarding-options dhcp-security ip-source-guard set vlans vlan-hr forwarding-options dhcp-security ipv6-source-guard set vlans vlan-hr forwarding-options dhcp-security neighbor-discovery-inspection set vlans vlan-hr forwarding-options dhcp-security option-82 set vlans vlan-hr forwarding-options dhcp-security dhcpv6-options option-16 set vlans vlan-hr forwarding-options dhcp-security dhcpv6-options light-weight-dhcpv6-relay set vlans vlan-finance forwarding-options dhcp-security arp-inspection set vlans vlan-finance forwarding-options dhcp-security ip-source-guard set vlans vlan-finance forwarding-options dhcp-security ipv6-source-guard set vlans vlan-finance forwarding-options dhcp-security neighbor-discovery-inspection set vlans vlan-finance forwarding-options dhcp-security option-82 set vlans vlan-finance forwarding-options dhcp-security dhcpv6-options option-16 set vlans vlan-finance forwarding-options dhcp-security dhcpv6-options light-weight-dhcpv6-relay set vlans vlan-iso forwarding-options dhcp-security arp-inspection set vlans vlan-iso forwarding-options dhcp-security ip-source-guard set vlans vlan-iso forwarding-options dhcp-security ipv6-source-guard set vlans vlan-iso forwarding-options dhcp-security neighbor-discovery-inspection set vlans vlan-iso forwarding-options dhcp-security option-82 set vlans vlan-iso forwarding-options dhcp-security dhcpv6-options option-16 set vlans vlan-iso forwarding-options dhcp-security dhcpv6-options light-weight-dhcpv6-relay
단계별 절차
프라이빗 VLAN(PVLAN)을 구성하고 해당 PVLAN에서 액세스 포트 보안 기능을 구성하려면 다음을 수행합니다.
PVLAN 구성 - 기본 VLAN과 보조 VLAN을 생성하고 VLAN ID를 할당합니다. VLAN과 인터페이스를 연결합니다. (VLAN 구성에 대한 자세한 내용은 ELS를 지원하는 EX 시리즈 스위치용 VLAN 구성(CLI 절차)을 참조하십시오.
[edit vlans] user@switch# set vlan-pri vlan-id 100 user@switch# set vlan-hr private-vlan community vlan-id 200 user@switch# set vlan-finance private-vlan community vlan-id 300 user@switch# set vlan-iso private-vlan isolated vlan-id 400 user@switch# set vlan-pri community-vlan vlan-hr user@switch# set vlan-pri community-vlan vlan-finance user@switch# set vlan-pri isolated-vlan vlan-iso
[edit interfaces] user@switch# set ge-0/0/11 unit 0 family ethernet-switching interface-mode access vlan members vlan-hr user@switch# set ge-0/0/12 unit 0 family ethernet-switching interface-mode trunk vlan members vlan-hr user@switch# set ge-0/0/13 unit 0 family ethernet-switching interface-mode access vlan members vlan-finance user@switch# set ge-0/0/14 unit 0 family ethernet-switching interface-mode trunk vlan members vlan-finance user@switch# set ge-0/0/15 unit 0 family ethernet-switching interface-mode access vlan members vlan-iso user@switch# set ge-0/0/16 unit 0 family ethernet-switching interface-mode access vlan members vlan-iso user@switch# set ge-0/0/0 unit 0 family ethernet-switching interface-mode trunk vlan members vlan-pri user@switch# set ge-1/0/0 unit 0 family ethernet-switching interface-mode trunk vlan members vlan-pri
기본 VLAN 및 모든 보조 VLAN에서 액세스 포트 보안 기능을 구성합니다.
주:ARP 검사, IP 소스 가드, IPv6 소스 가드, 인접 검색 검사, DHCP 옵션 82 또는 DHCPv6 옵션을 구성하면 DHCP 스누핑 및 DHCPv6 스누핑이 자동으로 구성됩니다.
[edit vlans] user@switch# set vlan-pri forwarding-options dhcp-security arp-inspection user@switch# set vlan-pri forwarding-options dhcp-security ip-source-guard user@switch# set vlan-pri forwarding-options dhcp-security ipv6-source-guard user@switch# set vlan-pri forwarding-options dhcp-security neighbor-discovery-inspection user@switch# set vlan-pri forwarding-options dhcp-security option-82 user@switch# set vlan-pri forwarding-options dhcp-security dhcpv6-options option-16 user@switch# set vlan-pri forwarding-options dhcp-security dhcpv6-options light-weight-dhcpv6-relay user@switch# set vlan-hr forwarding-options dhcp-security arp-inspection user@switch# set vlan-hr forwarding-options dhcp-security ip-source-guard user@switch# set vlan-hr forwarding-options dhcp-security ipv6-source-guard user@switch# set vlan-hr forwarding-options dhcp-security neighbor-discovery-inspection user@switch# set vlan-hr forwarding-options dhcp-security option-82 user@switch# set vlan-hr forwarding-options dhcp-security dhcpv6-options option-16 user@switch# set vlan-hr forwarding-options dhcp-security dhcpv6-options light-weight-dhcpv6-relay user@switch# set vlan-finance forwarding-options dhcp-security arp-inspection user@switch# set vlan-finance forwarding-options dhcp-security ip-source-guard user@switch# set vlan-finance forwarding-options dhcp-security ipv6-source-guard user@switch# set vlan-finance forwarding-options dhcp-security neighbor-discovery-inspection user@switch# set vlan-finance forwarding-options dhcp-security option-82 user@switch# set vlan-finance forwarding-options dhcp-security dhcpv6-options option-16 user@switch# set vlan-finance forwarding-options dhcp-security dhcpv6-options light-weight-dhcpv6-relay user@switch# set vlan-iso forwarding-options dhcp-security arp-inspection user@switch# set vlan-iso forwarding-options dhcp-security ip-source-guard user@switch# set vlan-iso forwarding-options dhcp-security ipv6-source-guard user@switch# set vlan-iso forwarding-options dhcp-security neighbor-discovery-inspection user@switch# set vlan-iso forwarding-options dhcp-security option-82 user@switch# set vlan-iso forwarding-options dhcp-security dhcpv6-options option-16 user@switch# set vlan-iso forwarding-options dhcp-security dhcpv6-options light-weight-dhcpv6-relay
결과
구성 모드에서 스위치에서 다음 show 명령을 입력하여 구성을 확인합니다. 출력에 의도한 구성이 표시되지 않으면 이 예의 지침을 반복하여 구성을 수정합니다.
[edit]
user@switch# show interfaces
ge-0/0/0 {
unit 0 {
family ethernet-switching {
interface-mode trunk;
vlan {
members vlan-pri;
}
}
}
}
ge-1/0/0 {
unit 0 {
family ethernet-switching {
interface-mode trunk;
vlan {
members vlan-pri;
}
}
}
}
ge-0/0/11 {
unit 0 {
family ethernet-switching {
interface-mode access;
vlan {
members vlan-hr;
}
}
}
}
ge-0/0/12 {
unit 0 {
family ethernet-switching {
interface-mode access;
vlan {
members vlan-hr;
}
}
}
}
ge-0/0/13 {
unit 0 {
family ethernet-switching {
interface-mode access;
vlan {
members vlan-hr;
}
}
}
}
ge-0/0/14 {
unit 0 {
family ethernet-switching {
interface-mode access;
vlan {
members vlan-hr;
}
}
}
}
ge-0/0/15 {
unit 0 {
family ethernet-switching {
interface-mode access;
vlan {
members vlan-iso;
}
}
}
}
ge-0/0/16 {
unit 0 {
family ethernet-switching {
interface-mode access;
vlan {
members vlan-iso;
}
}
}
}
user@switch# show vlans
vlan-finance {
vlan-id 300;
private-vlan community;
interface {
ge-0/0/13.0;
ge-0/0/14.0;
}
forwarding-options {
dhcp-security {
arp-inspection;
ip-source-guard;
neighbor-discovery-inspection;
ipv6-source-guard;
option-82;
dhcpv6-options light-weight-dhcpv6-relay;
dhcpv6-options option-16;
}
}
}
vlan-hr {
vlan-id 200;
private-vlan community;
interface {
ge-0/0/11.0;
ge-0/0/12.0;
}
forwarding-options {
dhcp-security {
arp-inspection;
ip-source-guard;
neighbor-discovery-inspection;
ipv6-source-guard;
option-82;
dhcpv6-options light-weight-dhcpv6-relay;
dhcpv6-options option-16;
}
}
}
vlan-iso {
vlan-id 400;
private-vlan isolated;
interface {
ge-0/0/15.0;
ge-0/0/16.0;
}
forwarding-options {
dhcp-security {
arp-inspection;
ip-source-guard;
neighbor-discovery-inspection;
ipv6-source-guard;
option-82;
dhcpv6-options light-weight-dhcpv6-relay;
dhcpv6-options option-16;
}
}
}
vlan-pri {
vlan-id 100;
community-vlan vlan-finance;
community-vlan vlan-hr;
isolated-vlan vlan-iso;
interface {
ge-0/0/0.0;
ge-1/0/0.0;
}
forwarding-options {
dhcp-security {
arp-inspection;
ip-source-guard;
neighbor-discovery-inspection;
ipv6-source-guard;
option-82;
dhcpv6-options light-weight-dhcpv6-relay;
dhcpv6-options option-16;
}
}
}
확인
액세스 보안 기능이 예상대로 작동하는지 확인
목적
PVLAN에 구성한 액세스 포트 보안 기능이 예상대로 작동하는지 확인합니다.
실행
show dhcp-security 및 clear dhcp-security CLI 명령을 사용하여 기능이 예상대로 작동하는지 확인합니다. 보안 서비스 관리 가이드의 이러한 명령에 대한 세부 정보를 참조하십시오.
ELS를 지원하는 단일 스위치에서 프라이빗 VLAN 생성(CLI 절차)
이 작업은 ELS(Enhanced Layer 2 Software) 구성 스타일을 지원하는 스위치용 Junos OS 사용합니다. EX 시리즈 스위치가 ELS를 지원하지 않는 소프트웨어를 실행하는 경우 단일 EX 시리즈 스위치에서 프라이빗 VLAN 생성(CLI 절차)을 참조하십시오. ELS에 대한 자세한 내용은 Enhanced Layer 2 소프트웨어 CLI 사용을 참조하십시오.
프라이빗 VLAN은 릴리스 15.1X53과 Junos OS 실행되는 QFX5100 스위치 및 QFX10002 스위치에서는 지원되지 않습니다.
보안상의 이유로 브로드캐스트 및 알 수 없는 유니캐스트 트래픽의 흐름을 제한하거나 알려진 호스트 간의 통신을 제한하는 것이 유용합니다. 프라이빗 VLAN(PVLAN)을 사용하면 브로드캐스트 도메인(기본 VLAN)을 여러 개의 분리된 브로드캐스트 서브도메인(보조 VLAN)으로 분할하여 VLAN을 VLAN 내부에 배치할 수 있습니다. 이 절차에서는 단일 스위치에서 PVLAN을 생성하는 방법을 설명합니다.
PVLAN이 단일 스위치에서 구성되더라도 각 보조 VLAN에 대해 VLAN ID를 지정해야 합니다.
기본 VLAN을 미리 구성할 필요는 없습니다. 이 주제는 이 PVLAN 구성 절차의 일부로 구성되는 기본 VLAN을 보여줍니다.
PVLAN 구성에 대한 지침 목록은 프라이빗 VLAN 이해를 참조하십시오.
단일 스위치에서 프라이빗 VLAN을 구성하려면 다음을 수행합니다.
단일 QFX 스위치에서 프라이빗 VLAN 생성
보안상의 이유로 브로드캐스트 및 알 수 없는 유니캐스트 트래픽의 흐름을 제한하고 알려진 호스트 간의 통신을 제한하는 것이 유용합니다. 프라이빗 VLAN(PVLAN) 기능을 사용하면 브로드캐스트 도메인을 여러 분리된 브로드캐스트 하위 도메인으로 분할하여 기본적으로 보조 VLAN을 기본 VLAN 안에 넣을 수 있습니다. 이 주제는 단일 스위치에서 PVLAN을 구성하는 방법을 설명합니다.
시작하기 전에 기본 VLAN의 일부가 될 모든 보조 VLAN의 이름을 구성합니다. (기본 VLAN을 미리 구성할 필요는 없습니다. 이 절차의 일부로 구성됩니다.) 보조 VLAN에 대한 VLAN ID(태그)를 생성할 필요가 없습니다. 보조 VLAN에 태그를 지정하는 경우 기능을 손상시키지 않지만, 보조 VLAN이 단일 스위치에 구성될 때 태그는 사용되지 않습니다.
PVLAN을 구성할 때 다음 규칙을 염두에 두십시오.
기본 VLAN은 태그가 지정된 VLAN이어야 합니다.
커뮤니티 VLAN을 구성하려면 먼저 기본 VLAN 및 PVLAN 트렁크 포트를 구성해야 합니다. 또한 기본 VLAN이 pvlan 문을 사용하여 비공개로 구성해야 합니다.
분리된 VLAN을 구성하려면 먼저 기본 VLAN 및 PVLAN 트렁크 포트를 구성해야 합니다.
표시된 순서대로 구성 단계를 완료하면 이러한 PVLAN 규칙을 위반하지 않습니다. 단일 스위치에서 프라이빗 VLAN을 구성하려면 다음을 수행합니다.
단일 EX 시리즈 스위치에서 프라이빗 VLAN 생성(CLI 프로시저)
보안상의 이유로 브로드캐스트 및 알 수 없는 유니캐스트 트래픽의 흐름을 제한하고 알려진 호스트 간의 통신을 제한하는 것이 유용합니다. EX 시리즈 스위치의 프라이빗 VLAN(PVLAN) 기능을 사용하면 기본 VLAN이라고도 하는 브로드캐스트 도메인을 보조 VLAN이라고도 하는 여러 분리된 브로드캐스트 하위 도메인으로 분할할 수 있습니다. 기본 VLAN을 보조 VLAN으로 분할하면 기본적으로 다른 VLAN 내부에 VLAN이 중첩됩니다. 이 주제는 단일 스위치에서 PVLAN을 구성하는 방법을 설명합니다.
시작하기 전에 기본 VLAN의 일부가 될 모든 보조 VLAN의 이름을 구성합니다. (보조 VLAN과 달리 기본 VLAN을 미리 구성할 필요는 없습니다. 이 절차는 기본 VLAN의 완전한 구성을 제공합니다.) 단일 스위치에서 보조 VLAN이 구성될 때 태그가 필요하지 않지만 태그 처리된 대로 보조 VLAN을 구성하는 것은 기능에 부정적인 영향을 미치지 않습니다. 보조 VLAN 구성에 대한 지침은 EX 시리즈 스위치용 VLAN 구성을 참조하십시오.
단일 스위치에서 PVLAN을 구성할 때 다음 규칙을 염두에 두십시오.
기본 VLAN은 태그가 지정된 VLAN이어야 합니다.
PVLAN 인터페이스에서 VoIP VLAN 구성은 지원되지 않습니다.
단일 스위치에서 프라이빗 VLAN을 구성하려면 다음을 수행합니다.
분리된 VLAN은 이 프로세스의 일부로 구성되지 않습니다. 대신 기본 VLAN에서 활성화되고 분리된 VLAN이 멤버로 액세스 인터페이스를 가지면 no-local-switching 내부적으로 생성됩니다.
라우터에 연결된 무차별 포트 대신 라우팅된 VLAN 인터페이스(RVI)를 사용하여 분리된 VLAN과 커뮤니티 VLAN 간의 라우팅을 선택적으로 활성화하려면 EX 시리즈 스위치의 프라이빗 VLAN에서 라우팅된 VLAN 인터페이스 구성을 참조하십시오.
EX8200 스위치 또는 EX8200 Virtual Chassis PVLAN 도메인의 분리된 VLAN과 커뮤니티 VLAN 간에 레이어 3 트래픽을 라우팅하는 데 RVI의 사용을 지원합니다.
여러 QFX 시리즈 스위치 스패닝하는 프라이빗 VLAN 생성
보안상의 이유로 브로드캐스트 및 알 수 없는 유니캐스트 트래픽의 흐름을 제한하고 알려진 호스트 간의 통신을 제한하는 것이 유용합니다. 프라이빗 VLAN(PVLAN) 기능을 사용하면 브로드캐스트 도메인을 여러 분리된 브로드캐스트 하위 도메인으로 분할하여 기본적으로 보조 VLAN을 기본 VLAN 안에 넣을 수 있습니다. 이 주제는 여러 스위치를 확장하도록 PVLAN을 구성하는 방법에 대해 설명합니다.
시작하기 전에 기본 VLAN의 일부가 될 모든 보조 VLAN의 이름을 구성합니다. (기본 VLAN을 미리 구성할 필요는 없습니다. 이 절차의 일부로 구성됩니다.) 보조 VLAN에 대한 VLAN ID(태그)를 생성할 필요가 없습니다. 보조 VLAN에 태그를 지정하는 경우 기능을 손상시키지 않지만, 보조 VLAN이 단일 스위치에 구성될 때 태그는 사용되지 않습니다.
PVLAN 생성에는 다음 규칙이 적용됩니다.
기본 VLAN은 태그가 지정된 VLAN이어야 합니다.
커뮤니티 VLAN을 구성하려면 먼저 기본 VLAN 및 PVLAN 트렁크 포트를 구성해야 합니다. 또한 기본 VLAN이 pvlan 문을 사용하여 비공개로 구성해야 합니다.
분리된 VLAN을 구성하려면 먼저 기본 VLAN 및 PVLAN 트렁크 포트를 구성해야 합니다.
표시된 순서대로 구성 단계를 완료하면 이러한 PVLAN 규칙을 위반하지 않습니다. 여러 스위치를 포괄하도록 프라이빗 VLAN을 구성하려면 다음을 수행합니다.
ELS를 지원하는 여러 EX 시리즈 스위치에 대한 프라이빗 VLAN 생성(CLI 절차)
이 작업은 ELS(Enhanced Layer 2 Software) 구성 스타일을 지원하는 EX 시리즈 스위치용 Junos OS 사용합니다. 스위치가 ELS를 지원하지 않는 소프트웨어를 실행하는 경우 여러 EX 시리즈 스위치에 대한 프라이빗 VLAN 스패닝 만들기(CLI 절차)를 참조하십시오. ELS에 대한 자세한 내용은 Enhanced Layer 2 소프트웨어 CLI 사용을 참조하십시오.
프라이빗 VLAN은 릴리스 15.1X53과 Junos OS 실행되는 QFX5100 스위치 및 QFX10002 스위치에서는 지원되지 않습니다.
보안상의 이유로 브로드캐스트 및 알 수 없는 유니캐스트 트래픽의 흐름을 제한하거나 알려진 호스트 간의 통신을 제한하는 것이 유용합니다. 프라이빗 VLAN(PVLAN)을 사용하면 브로드캐스트 도메인(기본 VLAN)을 여러 개의 분리된 브로드캐스트 서브도메인(보조 VLAN)으로 분할하여 VLAN을 VLAN 내부에 배치할 수 있습니다. 이 절차에서는 여러 스위치를 확장하도록 PVLAN을 구성하는 방법을 설명합니다.
PVLAN 구성에 대한 지침 목록은 프라이빗 VLAN 이해를 참조하십시오.
여러 스위치를 확장하도록 PVLAN을 구성하려면 PVLAN에 참여할 모든 스위치에서 다음 절차를 수행합니다.
여러 EX 시리즈 스위치에 걸친 프라이빗 VLAN 생성(CLI 프로시저)
보안상의 이유로 브로드캐스트 및 알 수 없는 유니캐스트 트래픽의 흐름을 제한하고 알려진 호스트 간의 통신을 제한하는 것이 유용합니다. EX 시리즈 스위치의 프라이빗 VLAN(PVLAN) 기능을 통해 관리자는 기본 VLAN이라고도 하는 브로드캐스트 도메인을 보조 VLAN이라고도 하는 여러 분리된 브로드캐스트 하위 도메인으로 분할할 수 있습니다. 기본 VLAN을 보조 VLAN으로 분할하면 기본적으로 다른 VLAN 내부에 VLAN이 중첩됩니다. 이 주제는 여러 스위치를 확장하도록 PVLAN을 구성하는 방법에 대해 설명합니다.
시작하기 전에 기본 VLAN의 일부가 될 모든 보조 VLAN의 이름을 구성합니다. (보조 VLAN과 달리 기본 VLAN을 미리 구성할 필요는 없습니다. 이 절차는 기본 VLAN의 완전한 구성을 제공합니다.) 보조 VLAN 구성에 대한 지침은 EX 시리즈 스위치용 VLAN 구성을 참조하십시오.
PVLAN 생성에는 다음 규칙이 적용됩니다.
기본 VLAN은 태그가 지정된 VLAN이어야 합니다.
보조 VLAN을 구성하기 전에 기본 VLAN 및 PVLAN 트렁크 포트를 구성해야 합니다.
PVLAN 인터페이스에서 VoIP VLAN 구성은 지원되지 않습니다.
PVLAN 트렁크 포트에서 MVRP(Multiple VLAN Registration Protocol)가 구성된 경우, 보조 VLAN 및 PVLAN 트렁크 포트 구성이 동일한 커밋 작업으로 커밋되어야 합니다.
여러 스위치를 포괄하도록 프라이빗 VLAN을 구성하려면 다음을 수행합니다.
라우터에 연결된 무차별 포트 대신 라우팅된 VLAN 인터페이스(RVI)를 사용하여 분리된 VLAN과 커뮤니티 VLAN 간의 라우팅을 선택적으로 활성화하려면 EX 시리즈 스위치의 프라이빗 VLAN에서 라우팅된 VLAN 인터페이스 구성을 참조하십시오.
EX8200 스위치 또는 EX8200 Virtual Chassis PVLAN 도메인의 분리된 VLAN과 커뮤니티 VLAN 간에 레이어 3 트래픽을 라우팅하는 데 RVI의 사용을 지원합니다.
예를 들면 다음과 같습니다. ELS가 지원된 단일 스위치에서 프라이빗 VLAN 구성
이 예에서는 ELS(Enhanced Layer 2 Software) 구성 스타일을 지원하는 스위치용 Junos OS 사용합니다. EX 스위치가 ELS 를 지원하지 않는 소프트웨어를 실행하는 경우 예: 단일 EX 시리즈 스위치에서 프라이빗 VLAN 구성. ELS에 대한 자세한 내용은 Enhanced Layer 2 소프트웨어 CLI 사용을 참조하십시오.
프라이빗 VLAN은 릴리스 15.1X53과 Junos OS 실행되는 QFX5100 스위치 및 QFX10002 스위치에서는 지원되지 않습니다.
보안상의 이유로 브로드캐스트 및 알 수 없는 유니캐스트 트래픽의 흐름을 제한하거나 알려진 호스트 간의 통신을 제한하는 것이 유용합니다. 프라이빗 VLAN(PVLAN)을 사용하면 브로드캐스트 도메인(기본 VLAN)을 여러 개의 분리된 브로드캐스트 서브도메인(보조 VLAN)으로 분할하여 VLAN을 VLAN 내부에 배치할 수 있습니다.
이 예에서는 단일 스위치에서 PVLAN을 생성하는 방법을 설명합니다.
요구 사항
이 예는 다음과 같은 하드웨어 및 소프트웨어 구성 요소를 사용합니다.
Junos OS 스위치 1개
EX 시리즈 스위치용 Junos OS 릴리스 14.1X53-D10 이상
QFX 시리즈 스위치용 Junos OS 릴리스 14.1X53-D15 이상
개요 및 토폴로지
가입자 그룹을 분리하여 보안 및 효율성을 개선할 수 있습니다. 이 구성 예는 간단한 토폴로지를 사용하여 기본 VLAN 1개와 보조 VLAN 3개(분리된 VLAN 1개, 커뮤니티 VLAN 2개)를 사용하여 PVLAN을 생성하는 방법을 보여줍니다.
표 6 은(는) 예제에서 사용되는 토폴로지의 인터페이스를 나열합니다.
| 인터페이스 | 설명 |
|---|---|
|
무차별 멤버 포트 |
|
HR 커뮤니티 VLAN 멤버 포트 |
|
재무 커뮤니티 VLAN 멤버 포트 |
|
분리된 멤버 포트 |
표 7 은(는) 예에 사용된 토폴로지의 VLAN ID를 나열합니다.
| VLAN ID | 설명 |
|---|---|
|
기본 VLAN |
|
HR 커뮤니티 VLAN |
|
금융 커뮤니티 VLAN |
|
분리된 VLAN |
그림 15 은(는) 이 예의 토폴로지 를 보여줍니다.
구성
프라이빗 PVLAN의 기준으로 기존 VLAN을 사용하고 그 안에 하위 도메인을 생성할 수 있습니다. 이 예는 절차의 일부로 VLAN 이름을 vlan-pri사용하여 기본 VLAN을 만듭니다.
PVLAN을 구성하려면 다음 작업을 수행하십시오.
CLI 빠른 구성
PVLAN을 빠르게 생성하고 구성하려면 다음 명령을 복사하여 스위치 터미널 창에 붙여 넣습니다.
[edit] set vlans vlan-pri vlan-id 100 set vlans vlan-iso private-vlan isolated vlan-id 400 set vlans vlan-hr private-vlan community vlan-id 200 set vlans vlan-finance private-vlan community vlan-id 300 set vlans vlan-pri vlan-id 100 isolated-vlan vlan-iso community-vlan vlan-hr community-vlan vlan-finance set interface ge-0/0/11 unit 0 family ethernet-switching interface-mode access vlan members vlan-hr set interface ge-0/0/12 unit 0 family ethernet-switching interface-mode trunk vlan members vlan-hr set interface ge-0/0/13 unit 0 family ethernet-switching interface-mode access vlan members vlan-finance set interface ge-0/0/14 unit 0 family ethernet-switching interface-mode trunk vlan members vlan-finance set interface ge-0/0/15 unit 0 family ethernet-switching interface-mode access vlan members vlan-iso set interface ge-0/0/16 unit 0 family ethernet-switching interface-mode access vlan members vlan-iso set interface ge-0/0/0 unit 0 family ethernet-switching interface-mode trunk vlan members vlan-pri set interface ge-1/0/0 unit 0 family ethernet-switching interface-mode trunk vlan members vlan-pri
절차
단계별 절차
PVLAN을 구성하려면 다음을 수행합니다.
프라이빗 VLAN의 기본 VLAN(이 예에서는 이름은 입니다 vlan-pri)을 생성합니다.
[edit vlans] user@switch# set vlan-pri vlan-id 100
분리된 VLAN을 생성하고 VLAN ID를 할당합니다.
[edit vlans] user@switch# set vlan-iso private-vlan isolated vlan-id 400
HR 커뮤니티 VLAN을 생성하고 VLAN ID를 할당합니다.
[edit vlans] user@switch# set vlan-hr private-vlan community vlan-id 200
재무 커뮤니티 VLAN을 생성하고 VLAN ID를 할당합니다.
[edit vlans] user@switch# set vlan-finance private-vlan community vlan-id 300
보조 VLAN을 기본 VLAN과 연결합니다.
[edit vlans] user@switch# set vlan-pri vlan-id 100 isolated-vlan vlan-iso community-vlan vlan-hr community-vlan vlan-finance
인터페이스를 적절한 인터페이스 모드로 설정합니다.
[edit interfaces] user@switch# set ge-0/0/11 unit 0 family ethernet-switching interface-mode access vlan members vlan-hr user@switch# set ge-0/0/12 unit 0 family ethernet-switching interface-mode access vlan members vlan-hr user@switch# set ge-0/0/13 unit 0 family ethernet-switching interface-mode access vlan members vlan-finance user@switch# set ge-0/0/14 unit 0 family ethernet-switching interface-mode trunk vlan members vlan-finance user@switch# set ge-0/0/15 unit 0 family ethernet-switching interface-mode access vlan members vlan-iso user@switch# set ge-0/0/16 unit 0 family ethernet-switching interface-mode trunk vlan members vlan-iso
기본 VLAN의 무차별 트렁크 인터페이스를 구성합니다. 이 인터페이스는 기본 VLAN에서 보조 VLAN과 통신하는 데 사용됩니다.
user@switch# set ge-0/0/0 unit 0 family ethernet-switching interface-mode trunk vlan members vlan-pri
기본 VLAN의 또 다른 트렁크 인터페이스(무차별 인터페이스이기도 함)를 구성하고 PVLAN을 라우터에 연결합니다.
user@switch# set ge-1/0/0 unit 0 family ethernet-switching interface-mode trunk vlan members vlan-pri
예를 들면 다음과 같습니다. 단일 QFX 시리즈 스위치에서 프라이빗 VLAN 구성
보안상의 이유로 브로드캐스트 및 알 수 없는 유니캐스트 트래픽의 흐름을 제한하고 알려진 호스트 간의 통신을 제한하는 것이 유용합니다. 프라이빗 VLAN(PVLAN) 기능을 통해 관리자는 브로드캐스트 도메인을 여러 개의 분리된 브로드캐스트 하위 도메인으로 분할하여 기본적으로 VLAN을 VLAN 내부에 배치할 수 있습니다.
이 예에서는 단일 스위치에서 PVLAN을 생성하는 방법을 설명합니다.
요구 사항
이 예는 다음과 같은 하드웨어 및 소프트웨어 구성 요소를 사용합니다.
QFX3500 디바이스 1개
Junos OS 12.1 이상 QFX 시리즈
PVLAN 구성을 시작하기 전에 필요한 VLAN을 생성하고 구성했는지 확인합니다. 을(를) 참조하십시오 스위치에서 VLAN 구성하기.
개요 및 토폴로지
여러 건물과 VLAN이 있는 대규모 사무실에서 보안상의 이유로 일부 워크그룹이나 다른 엔드포인트를 분리하거나 브로드캐스트 도메인을 분할해야 할 수 있습니다. 이 구성 예에서는 간단한 토폴로지에서 하나의 기본 VLAN과 두 개의 커뮤니티 VLAN(하나는 HR용, 하나는 재무용)과 2개의 분리된 포트(하나는 메일 서버용, 다른 하나는 백업 서버용)로 PVLAN을 생성하는 방법을 보여줍니다.
표 8 은(는) 샘플 토폴로지의 설정을 나열합니다.
| 인터페이스 | 설명 |
|---|---|
|
기본 VLAN( |
|
사용자 1, HR 커뮤니티( |
|
사용자 2, HR 커뮤니티( |
|
사용자 3, 금융 커뮤니티( |
|
사용자 4, 금융 커뮤니티( |
|
메일 서버, 분리( |
|
백업 서버, 분리( |
|
기본 VLAN( |
구성
CLI 빠른 구성
PVLAN을 빠르게 생성하고 구성하려면 다음 명령을 복사하여 스위치 터미널 창에 붙여 넣습니다.
[edit] set vlans pvlan100 vlan-id 100 set interfaces ge-0/0/0 unit 0 family ethernet-switching port-mode trunk set interfaces ge-0/0/0 unit 0 family ethernet-switching vlan members pvlan set interfaces ge-1/0/0 unit 0 family ethernet-switching port-mode trunk set interfaces ge-1/0/0 unit 0 family ethernet-switching vlan members pvlan set interfaces ge-0/0/11 unit 0 family ethernet-switching port-mode access set interfaces ge-0/0/12 unit 0 family ethernet-switching port-mode access set interfaces ge-0/0/13 unit 0 family ethernet-switching port-mode access set interfaces ge-0/0/14 unit 0 family ethernet-switching port-mode access set interfaces ge-0/0/15 unit 0 family ethernet-switching port-mode access set interfaces ge-0/0/16 unit 0 family ethernet-switching port-mode access set vlans pvlan100 pvlan set vlans pvlan100 interface ge-0/0/0.0 set vlans pvlan100 interface ge-1/0/0.0 set vlans hr-comm interface ge-0/0/11.0 set vlans hr-comm interface ge-0/0/12.0 set vlans finance-comm interface ge-0/0/13.0 set vlans finance-comm interface ge-0/0/14.0 set vlans hr-comm primary-vlan pvlan100 set vlans finance-comm primary-vlan pvlan100 set pvlan100 interface ge-0/0/15.0 isolated set pvlan100 interface ge-0/0/16.0 isolated
절차
단계별 절차
PVLAN을 구성하려면 다음을 수행합니다.
기본 VLAN에 대한 VLAN ID를 설정합니다.
[edit vlans] user@switch# set pvlan vlan-id 100
인터페이스 및 포트 모드를 설정합니다.
[edit interfaces] user@switch# set ge-0/0/0 unit 0 family ethernet-switching port-mode trunk user@switch# set ge-0/0/0 unit 0 family ethernet-switching vlan members pvlan user@switch# set ge-1/0/0 unit 0 family ethernet-switching port-mode trunk user@switch# set ge-1/0/0 unit 0 family ethernet-switching vlan members pvlan user@switch# set ge-0/0/11 unit 0 family ethernet-switching port-mode access user@switch# set ge-0/0/12 unit 0 family ethernet-switching port-mode access user@switch# set ge-0/0/13 unit 0 family ethernet-switching port-mode access user@switch# set ge-0/0/14 unit 0 family ethernet-switching port-mode access user@switch# set ge-0/0/15 unit 0 family ethernet-switching port-mode access user@switch# set ge-0/0/16 unit 0 family ethernet-switching port-mode access
로컬 스위칭이 없도록 기본 VLAN을 설정합니다.
주:기본 VLAN은 태그가 지정된 VLAN이어야 합니다.
[edit vlans] user@switch# set pvlan100 pvlan
기본 VLAN에 트렁크 인터페이스를 추가합니다.
[edit vlans] user@switch# set pvlan100 interface ge-0/0/0.0 user@switch# set pvlan100 interface ge-1/0/0.0
각 보조 VLAN에 대해 액세스 인터페이스를 구성합니다.
주:보조 VLAN은 태그가 지정되지 않은 VLAN을 권장합니다. 보조 VLAN에 태그를 지정하는 경우 기능이 손상되지 않습니다. 그러나 태그는 보조 VLAN이 단일 스위치에 구성되면 사용되지 않습니다.
[edit vlans] user@switch# set hr-comm interface ge-0/0/11.0 user@switch# set hr-comm interface ge-0/0/12.0 user@switch# set finance-comm interface ge-0/0/13.0 user@switch# set finance-comm interface ge-0/0/14.0
각 커뮤니티 VLAN에 대해 기본 VLAN을 설정합니다.
[edit vlans] user@switch# set hr-comm primary-vlan pvlan100 user@switch# set finance-comm primary-vlan pvlan100
기본 VLAN에서 분리된 인터페이스를 구성합니다.
[edit vlans] user@switch# set pvlan100 interface ge-0/0/15.0 isolated user@switch# set pvlan100 interface ge-0/0/16.0 isolated
결과
구성 결과를 확인합니다.
[edit]
user@switch# show
interfaces {
ge-0/0/0 {
unit 0 {
family ethernet-switching {
port-mode trunk;
vlan {
members pvlan100;
}
}
}
}
ge-1/0/0 {
unit 0 {
family ethernet-switching;
}
}
ge-0/0/11 {
unit 0 {
family ethernet-switching {
port-mode access;
}
}
}
ge-0/0/12 {
unit 0 {
family ethernet-switching {
port-mode access;
}
}
}
ge-0/0/13 {
unit 0 {
family ethernet-switching {
port-mode access;
}
}
}
ge-0/0/14 {
unit 0 {
family ethernet-switching {
port-mode access;
}
}
}
vlans {
finance-comm {
interface {
ge-0/0/13.0;
ge-0/0/14.0;
}
primary-vlan pvlan100;
}
hr-comm {
interface {
ge-0/0/11.0;
ge-0/0/12.0;
}
primary-vlan pvlan100;
}
pvlan100 {
vlan-id 100;
interface {
ge-0/0/15.0;
ge-0/0/16.0;
ge-0/0/0.0;
ge-1/0/0.0;
}
pvlan;
}
}
확인
구성이 제대로 작동하는지 확인하려면 다음 작업을 수행하십시오.
프라이빗 VLAN 및 보조 VLAN이 생성되었는지 확인
목적
스위치에서 기본 VLAN 및 보조 VLAN이 올바르게 생성되었는지 확인합니다.
실행
명령을 사용합니다.show vlans
user@switch> show vlans pvlan100 extensive
VLAN: pvlan100, Created at: Tue Sep 16 17:59:47 2008
802.1Q Tag: 100, Internal index: 18, Admin State: Enabled, Origin: Static
Private VLAN Mode: Primary
Protocol: Port Mode
Number of interfaces: Tagged 2 (Active = 0), Untagged 6 (Active = 0)
ge-0/0/0.0, tagged, trunk
ge-0/0/11.0, untagged, access
ge-0/0/12.0, untagged, access
ge-0/0/13.0, untagged, access
ge-0/0/14.0, untagged, access
ge-0/0/15.0, untagged, access
ge-0/0/16.0, untagged, access
ge-1/0/0.0, tagged, trunk
Secondary VLANs: Isolated 2, Community 2
Isolated VLANs :
__pvlan_pvlan_ge-0/0/15.0__
__pvlan_pvlan_ge-0/0/16.0__
Community VLANs :
finance-comm
hr-comm
user@switch> show vlans hr-comm extensive
VLAN: hr-comm, Created at: Tue Sep 16 17:59:47 2008
Internal index: 22, Admin State: Enabled, Origin: Static
Private VLAN Mode: Community, Primary VLAN: pvlan100
Protocol: Port Mode
Number of interfaces: Tagged 2 (Active = 0), Untagged 2 (Active = 0)
ge-0/0/0.0, tagged, trunk
ge-0/0/11.0, untagged, access
ge-0/0/12.0, untagged, access
ge-1/0/0.0, tagged, trunk
user@switch> show vlans finance-comm extensive
VLAN: finance-comm, Created at: Tue Sep 16 17:59:47 2008
Internal index: 21, Admin State: Enabled, Origin: Static
Private VLAN Mode: Community, Primary VLAN: pvlan100
Protocol: Port Mode
Number of interfaces: Tagged 2 (Active = 0), Untagged 2 (Active = 0)
ge-0/0/0.0, tagged, trunk
ge-0/0/13.0, untagged, access
ge-0/0/14.0, untagged, access
ge-1/0/0.0, tagged, trunk
user@switch> show vlans __pvlan_pvlan_ge-0/0/15.0__ extensive
VLAN: __pvlan_pvlan_ge-0/0/15.0__, Created at: Tue Sep 16 17:59:47 2008
Internal index: 19, Admin State: Enabled, Origin: Static
Private VLAN Mode: Isolated, Primary VLAN: pvlan100
Protocol: Port Mode
Number of interfaces: Tagged 2 (Active = 0), Untagged 1 (Active = 0)
ge-0/0/0.0, tagged, trunk
ge-0/0/15.0, untagged, access
ge-1/0/0.0, tagged, trunk
user@switch> show vlans __pvlan_pvlan_ge-0/0/16.0__ extensive
VLAN: __pvlan_pvlan_ge-0/0/16.0__, Created at: Tue Sep 16 17:59:47 2008
Internal index: 20, Admin State: Enabled, Origin: Static
Private VLAN Mode: Isolated, Primary VLAN: pvlan100
Protocol: Port Mode
Number of interfaces: Tagged 2 (Active = 0), Untagged 1 (Active = 0)
ge-0/0/0.0, tagged, trunk
ge-0/0/16.0, untagged, access
ge-1/0/0.0, tagged, trunk의미
출력은 기본 VLAN이 생성되었고 연결된 인터페이스 및 보조 VLAN을 식별한다는 것을 보여줍니다.
예를 들면 다음과 같습니다. 단일 EX 시리즈 스위치에서 프라이빗 VLAN 구성
보안상의 이유로 브로드캐스트 및 알 수 없는 유니캐스트 트래픽의 흐름을 제한하고 알려진 호스트 간의 통신을 제한하는 것이 유용합니다. EX 시리즈 스위치의 프라이빗 VLAN(PVLAN) 기능을 통해 관리자는 브로드캐스트 도메인을 여러 분리된 브로드캐스트 하위 도메인으로 분할하여 VLAN을 VLAN 내부에 배치할 수 있습니다.
이 예에서는 단일 EX 시리즈 스위치에서 PVLAN을 생성하는 방법을 설명합니다.
PVLAN 인터페이스에서 VoIP(Voice over IP) VLAN 구성은 지원되지 않습니다.
요구 사항
이 예는 다음과 같은 하드웨어 및 소프트웨어 구성 요소를 사용합니다.
EX 시리즈 스위치 1개
Junos OS EX 시리즈 스위치용 릴리스 9.3 이상
PVLAN 구성을 시작하기 전에 필요한 VLAN을 생성하고 구성했는지 확인합니다. EX 시리즈 스위치용 VLAN 구성을 참조하십시오.
개요 및 토폴로지
여러 건물과 VLAN이 있는 대규모 사무실에서 보안상의 이유로 일부 워크그룹이나 다른 엔드포인트를 분리하거나 브로드캐스트 도메인을 분할해야 할 수 있습니다. 이 구성 예에서는 간단한 토폴로지에서 하나의 기본 VLAN과 두 개의 커뮤니티 VLAN(하나는 HR용, 하나는 재무용)과 2개의 분리된 포트(하나는 메일 서버용, 다른 하나는 백업 서버용)로 PVLAN을 생성하는 방법을 보여줍니다.
표 9 은(는) 예제 토폴로지의 설정을 나열합니다.
| 인터페이스 | 설명 |
|---|---|
ge-0/0/0.0 |
기본 VLAN(vlan1) 트렁크 인터페이스 |
ge-0/0/11.0 |
사용자 1, HR 커뮤니티(hr-comm) |
ge-0/0/12.0 |
사용자 2, HR 커뮤니티(hr-comm) |
ge-0/0/13.0 |
사용자 3, 금융 커뮤니티(finance-comm) |
ge-0/0/14.0 |
사용자 4, 금융 커뮤니티(finance-comm) |
ge-0/0/15.0 |
메일 서버, 분리(isolated) |
ge-0/0/16.0 |
백업 서버, 분리(isolated) |
ge-1/0/0.0 |
기본 VLAN( pvlan) 트렁크 인터페이스 |
그림 16 은(는) 이 예의 토폴로지 를 보여줍니다.
구성
PVLAN을 구성하려면 다음 작업을 수행하십시오.
CLI 빠른 구성
PVLAN을 빠르게 생성하고 구성하려면 다음 명령을 복사하여 스위치 터미널 창에 붙여 넣습니다.
[edit] set vlans vlan1 vlan-id 1000 set interfaces ge-0/0/0 unit 0 family ethernet-switching port-mode trunk set interfaces ge-0/0/0 unit 0 family ethernet-switching vlan members vlan1 set interfaces ge-1/0/0 unit 0 family ethernet-switching port-mode trunk set interfaces ge-1/0/0 unit 0 family ethernet-switching vlan members vlan1 set interfaces ge-0/0/11 unit 0 family ethernet-switching port-mode access set interfaces ge-0/0/12 unit 0 family ethernet-switching port-mode access set interfaces ge-0/0/13 unit 0 family ethernet-switching port-mode access set interfaces ge-0/0/14 unit 0 family ethernet-switching port-mode access set interfaces ge-0/0/15 unit 0 family ethernet-switching port-mode access set interfaces ge-0/0/16 unit 0 family ethernet-switching port-mode access set vlans vlan1 no-local-switching set vlans vlan1 interface ge-0/0/0.0 set vlans vlan1 interface ge-1/0/0.0 set vlans hr-comm vlan-id 400 set vlans hr-comm interface ge-0/0/11.0 set vlans hr-comm interface ge-0/0/12.0 set vlans finance-comm vlan-id 300 set vlans finance-comm interface ge-0/0/13.0 set vlans finance-comm interface ge-0/0/14.0 set vlans hr-comm primary-vlan vlan1 set vlans finance-comm primary-vlan vlan1 set vlans vlan1 interface ge-0/0/15.0 set vlans vlan1 interface ge-0/0/16.0
절차
단계별 절차
PVLAN을 구성하려면 다음을 수행합니다.
기본 VLAN에 대한 VLAN ID를 설정합니다.
[edit vlans] user@switch# set vlan1 vlan-id 1000
인터페이스 및 포트 모드를 설정합니다.
[edit interfaces] user@switch# set ge-0/0/0 unit 0 family ethernet-switching port-mode trunk user@switch# set ge-0/0/0 unit 0 family ethernet-switching vlan members pvlan user@switch# set ge-1/0/0 unit 0 family ethernet-switching port-mode trunk user@switch# set ge-1/0/0 unit 0 family ethernet-switching vlan members vlan1 user@switch# set ge-0/0/11 unit 0 family ethernet-switching port-mode access user@switch# set ge-0/0/12 unit 0 family ethernet-switching port-mode access user@switch# set ge-0/0/13 unit 0 family ethernet-switching port-mode access user@switch# set ge-0/0/14 unit 0 family ethernet-switching port-mode access user@switch# set ge-0/0/15 unit 0 family ethernet-switching port-mode access user@switch# set ge-0/0/16 unit 0 family ethernet-switching port-mode access
로컬 스위칭이 없도록 기본 VLAN을 설정합니다.
주:기본 VLAN은 태그가 지정된 VLAN이어야 합니다.
[edit vlans] user@switch# set vlan1 no-local-switching
기본 VLAN에 트렁크 인터페이스를 추가합니다.
[edit vlans] user@switch# set vlan1 interface ge-0/0/0.0 user@switch# set vlan1 interface ge-1/0/0.0
각 보조 VLAN에 대해 VLAN ID와 액세스 인터페이스를 구성합니다.
주:보조 VLAN은 태그가 지정되지 않은 VLAN을 권장합니다. 보조 VLAN에 태그를 지정하는 경우 기능이 손상되지 않습니다. 그러나 태그는 보조 VLAN이 단일 스위치에 구성되면 사용되지 않습니다.
[edit vlans] user@switch# set hr-comm vlan-id 400 user@switch# set hr-comm interface ge-0/0/11.0 user@switch# set hr-comm interface ge-0/0/12.0 user@switch# set finance-comm vlan-id 300 user@switch# set finance-comm interface ge-0/0/13.0 user@switch# set finance-comm interface ge-0/0/14.0
각 커뮤니티 VLAN에 대해 기본 VLAN을 설정합니다.
[edit vlans] user@switch# set hr-comm primary-vlan vlan1 user@switch# set finance-comm primary-vlan vlan1
각 분리된 인터페이스를 기본 VLAN에 추가합니다.
[edit vlans] user@switch# set vlan1 interface ge-0/0/15.0 user@switch# set vlan1 interface ge-0/0/16.0
결과
구성 결과를 확인합니다.
[edit]
user@switch# show
interfaces {
ge-0/0/0 {
unit 0 {
family ethernet-switching {
port-mode trunk;
vlan {
members vlan1;
}
}
}
}
ge-1/0/0 {
unit 0 {
family ethernet-switching {
port-mode trunk;
vlan {
members vlan1;
}
}
}
}
ge-0/0/11 {
unit 0 {
family ethernet-switching {
port-mode access;
}
}
}
ge-0/0/12 {
unit 0 {
family ethernet-switching {
port-mode access;
}
}
}
ge-0/0/13 {
unit 0 {
family ethernet-switching {
port-mode access;
}
}
}
ge-0/0/14 {
unit 0 {
family ethernet-switching {
port-mode access;
}
}
}
vlans {
finance-comm {
vlan-id 300;
interface {
ge-0/0/13.0;
ge-0/0/14.0;
}
primary-vlan vlan1;
}
hr-comm {
vlan-id 400;
interface {
ge-0/0/11.0;
ge-0/0/12.0;
}
primary-vlan vlan1;
}
vlan1 {
vlan-id 1000;
interface {
ge-0/0/15.0;
ge-0/0/16.0;
ge-0/0/0.0;
ge-1/0/0.0;
}
no-local-switching;
}
}
확인
구성이 제대로 작동하는지 확인하려면 다음 작업을 수행하십시오.
프라이빗 VLAN 및 보조 VLAN이 생성되었는지 확인
목적
스위치에서 기본 VLAN 및 보조 VLAN이 올바르게 생성되었는지 확인합니다.
실행
명령을 사용합니다.show vlans
user@switch> show vlans vlan1 extensive
VLAN: vlan1, Created at: Tue Sep 16 17:59:47 2008
802.1Q Tag: 1000, Internal index: 18, Admin State: Enabled, Origin: Static
Private VLAN Mode: Primary
Protocol: Port Mode
Number of interfaces: Tagged 2 (Active = 0), Untagged 6 (Active = 0)
ge-0/0/0.0, tagged, trunk
ge-0/0/11.0, untagged, access
ge-0/0/12.0, untagged, access
ge-0/0/13.0, untagged, access
ge-0/0/14.0, untagged, access
ge-0/0/15.0, untagged, access
ge-0/0/16.0, untagged, access
ge-1/0/0.0, tagged, trunk
Secondary VLANs: Isolated 2, Community 2
Isolated VLANs :
__vlan1_vlan1_ge-0/0/15.0__
__vlan1_vlan1_ge-0/0/16.0__
Community VLANs :
finance-comm
hr-comm
user@switch> show vlans hr-comm extensive
VLAN: hr-comm, Created at: Tue Sep 16 17:59:47 2008
802.1Q Tag: 400,Internal index: 22, Admin State: Enabled, Origin: Static
Private VLAN Mode: Community, Primary VLAN: vlan1
Protocol: Port Mode
Number of interfaces: Tagged 2 (Active = 0), Untagged 2 (Active = 0)
ge-0/0/0.0, tagged, trunk
ge-0/0/11.0, untagged, access
ge-0/0/12.0, untagged, access
ge-1/0/0.0, tagged, trunk
user@switch> show vlans finance-comm extensive
VLAN: finance-comm, Created at: Tue Sep 16 17:59:47 2008
802.1Q Tag: 300,Internal index: 21, Admin State: Enabled, Origin: Static
Private VLAN Mode: Community, Primary VLAN: vlan1
Protocol: Port Mode
Number of interfaces: Tagged 2 (Active = 0), Untagged 2 (Active = 0)
ge-0/0/0.0, tagged, trunk
ge-0/0/13.0, untagged, access
ge-0/0/14.0, untagged, access
ge-1/0/0.0, tagged, trunk
user@switch> show vlans __vlan1_vlan1_ge-0/0/15.0__ extensive
VLAN: __vlan1_vlan1_ge-0/0/15.0__, Created at: Tue Sep 16 17:59:47 2008
Internal index: 19, Admin State: Enabled, Origin: Static
Private VLAN Mode: Isolated, Primary VLAN: vlan1
Protocol: Port Mode
Number of interfaces: Tagged 2 (Active = 0), Untagged 1 (Active = 0)
ge-0/0/0.0, tagged, trunk
ge-0/0/15.0, untagged, access
ge-1/0/0.0, tagged, trunk
user@switch> show vlans __vlan1_vlan1_ge-0/0/16.0__ extensive
VLAN: __vlan1_vlan1_ge-0/0/16.0__, Created at: Tue Sep 16 17:59:47 2008
Internal index: 20, Admin State: Enabled, Origin: Static
Private VLAN Mode: Isolated, Primary VLAN: vlan1
Protocol: Port Mode
Number of interfaces: Tagged 2 (Active = 0), Untagged 1 (Active = 0)
ge-0/0/0.0, tagged, trunk
ge-0/0/16.0, untagged, access
ge-1/0/0.0, tagged, trunk의미
출력은 기본 VLAN이 생성되었고 연결된 인터페이스 및 보조 VLAN을 식별한다는 것을 보여줍니다.
예를 들면 다음과 같습니다. 여러 QFX 스위치에 대한 프라이빗 VLAN 구성
보안상의 이유로 브로드캐스트 및 알 수 없는 유니캐스트 트래픽의 흐름을 제한하고 알려진 호스트 간의 통신을 제한하는 것이 유용합니다. 프라이빗 VLAN(PVLAN) 기능을 통해 관리자는 브로드캐스트 도메인을 여러 개의 분리된 브로드캐스트 하위 도메인으로 분할하여 기본적으로 VLAN을 VLAN 내부에 배치할 수 있습니다. PVLAN은 여러 스위치를 포괄할 수 있습니다.
이 예에서는 여러 스위치에 걸쳐 PVLAN을 생성하는 방법을 설명합니다. 이 예는 여러 개의 보조 VLAN을 포함하는 하나의 기본 PVLAN을 생성합니다.
요구 사항
이 예는 다음과 같은 하드웨어 및 소프트웨어 구성 요소를 사용합니다.
QFX3500 디바이스 3개
Junos OS 12.1 이상 QFX 시리즈
PVLAN 구성을 시작하기 전에 필요한 VLAN을 생성하고 구성했는지 확인합니다. 을(를) 참조하십시오 스위치에서 VLAN 구성하기.
개요 및 토폴로지
여러 건물과 VLAN이 있는 대규모 사무실에서 보안상의 이유로 일부 워크그룹이나 다른 엔드포인트를 분리하거나 브로드캐스트 도메인을 분할해야 할 수 있습니다. 이 구성 예는 두 개의 커뮤니티 VLAN(HR용 및 재무용 하나)을 포함하는 하나의 기본 VLAN과 스위치 간 분리된 VLAN(메일 서버, 백업 서버 및 CVS 서버용)을 포함하는 여러 QFX 디바이스에 대한 PVLAN을 생성하는 방법을 보여줍니다. PVLAN은 스위치 3개, 액세스 스위치 2개, 분산 스위치 1개로 구성됩니다. PVLAN은 배포 스위치에서 구성된 무차별 포트를 통해 라우터에 연결됩니다.
스위치 1과 스위치 2의 분리된 포트는 동일한 도메인 내에 포함되어 있음에도 불구하고 서로 레이어 2 연결이 없습니다. 을(를) 참조하십시오 프라이빗 VLAN 이해.
그림 17 에는 라우터에 연결(무차별 포트를 통해)이 있는 분산 스위치에 연결된 두 개의 액세스 스위치가 있는 이 예의 토폴로지가 표시됩니다.
표 10, 표 11, 표 12 은(는) 예제 토폴로지의 설정을 나열합니다.
| 속성 | 설정 |
|---|---|
VLAN 이름 및 태그 ID |
primary-vlan태그 100 isolation-vlan-id태그 50finance-comm태그 300hr-comm태그 400 |
PVLAN 트렁크 인터페이스 |
ge-0/0/0.0, 스위치 1을 스위치 3에 연결 ge-0/0/5.0, 스위치 1을 스위치 2로 연결 |
기본 VLAN의 분리된 인터페이스 |
ge-0/0/15.0, 메일 서버 ge-0/0/16.0, 백업 서버 |
VLAN의 인터페이스 finance-com |
ge-0/0/11.0 ge-0/0/12.0 |
VLAN의 인터페이스 hr-comm |
ge-0/0/13.0 ge-0/0/14.0 |
| 속성 | 설정 |
|---|---|
VLAN 이름 및 태그 ID |
primary-vlan태그 100 isolation-vlan-id태그 50finance-comm태그 300hr-comm태그 400 |
PVLAN 트렁크 인터페이스 |
ge-0/0/0.0, 스위치 2를 스위치 3에 연결 ge-0/0/5.0, 스위치 2를 스위치 1에 연결 |
기본 VLAN에서 분리된 인터페이스 |
ge-0/0/17.0, CVS 서버 |
VLAN의 인터페이스 finance-com |
ge-0/0/11.0 ge-0/0/12.0 |
VLAN의 인터페이스 hr-comm |
ge-0/0/13.0 ge-0/0/14.0 |
| 속성 | 설정 |
|---|---|
VLAN 이름 및 태그 ID |
primary-vlan태그 100 isolation-vlan-id태그 50finance-comm태그 300hr-comm태그 400 |
PVLAN 트렁크 인터페이스 |
ge-0/0/0.0, 스위치 3을 스위치 1에 연결 ge-0/0/1.0, 스위치 3을 스위치 2에 연결 |
무차별 포트 |
ge-0/0/2은(는) PVLAN을 라우터에 연결합니다. 주:
PVLAN을 다른 스위치 또는 라우터에 연결하는 트렁크 포트를 PVLAN의 멤버로 구성해야 합니다. PVLAN은 이를 무차별 포트로 암묵적으로 구성합니다. |
토폴로지
스위치 1에서 PVLAN 구성
여러 스위치에서 PVLAN을 구성할 때 다음과 같은 규칙이 적용됩니다.
기본 VLAN은 태그가 지정된 VLAN이어야 합니다. 기본 VLAN을 먼저 구성하는 것이 좋습니다.
커뮤니티 VLAN ID를 구성하려면 먼저 기본 VLAN 및 PVLAN 트렁크 포트를 구성해야 합니다. 또한 기본 VLAN이 pvlan 문을 사용하여 비공개로 구성해야 합니다.
격리 VLAN ID를 구성하려면 먼저 기본 VLAN 및 PVLAN 트렁크 포트를 구성해야 합니다.
CLI 빠른 구성
여러 스위치에 걸친 PVLAN을 빠르게 생성하고 구성하려면 다음 명령을 복사하여 스위치 1의 터미널 창에 붙여 넣습니다.
[edit] set vlans finance-comm vlan-id 300 set vlans finance-comm interface ge-0/0/11.0 set vlans finance-comm interface ge-0/0/12.0 set vlans finance-comm primary-vlan pvlan100 set vlans hr-comm vlan-id 400 set vlans hr-comm interface ge-0/0/13.0 set vlans hr-comm interface ge-0/0/14.0 set vlans hr-comm primary-vlan pvlan100 set vlans pvlan100 vlan-id 100 set vlans pvlan100 interface ge-0/0/15.0 set vlans pvlan100 interface ge-0/0/16.0 set vlans pvlan100 interface ge-0/0/0.0 pvlan-trunk set vlans pvlan100 interface ge-0/0/5.0 pvlan-trunk set vlans pvlan100 pvlan set vlans pvlan100 pvlan isolation-vlan-id 50 set pvlan100 interface ge-0/0/15.0 isolated set pvlan100 interface ge-0/0/16.0 isolated
절차
단계별 절차
기본 VLAN에 대한 VLAN ID를 설정합니다.
[edit vlans] user@switch# set pvlan100 vlan-id 100
이웃 스위치에서 이 VLAN을 연결하도록 PVLAN 트렁크 인터페이스를 설정합니다.
[edit vlans] user@switch# set pvlan100 interface ge-0/0/0.0 pvlan-trunk user@switch# set pvlan100 interface ge-0/0/5.0 pvlan-trunk
기본 VLAN을 프라이빗으로 설정하고 로컬 스위칭이 없음:
[edit vlans] user@switch# set pvlan100 pvlan
스위치를 아우르는 커뮤니티 VLAN의 finance-comm VLAN ID를 설정합니다.
[edit vlans] user@switch# set finance-comm vlan-id 300
VLAN에 대한 액세스 인터페이스를 finance-comm 구성합니다.
[edit vlans] user@switch# set finance-comm interface ge-0/0/11.0
user@switch# set finance-comm interface ge-0/0/12.0
이 보조 커뮤니티 VLAN의 기본 VLAN finance-comm 을 설정합니다.
[edit vlans] user@switch# set vlans finance-comm primary-vlan pvlan100
스위치를 아우르는 HR 커뮤니티 VLAN에 VLAN ID를 설정합니다.
[edit vlans] user@switch# set hr-comm vlan-id 400
VLAN에 대한 액세스 인터페이스를 hr-comm 구성합니다.
[edit vlans] user@switch# set hr-comm interface ge-0/0/13.0 user@switch# set hr-comm interface ge-0/0/14.0
이 보조 커뮤니티 VLAN의 기본 VLAN hr-comm을 설정합니다.
[edit vlans] user@switch# set vlans hr-comm primary-vlan pvlan100
스위치를 아우르는 스위치 간 분리 도메인을 생성하도록 스위치 분리 ID를 설정합니다.
[edit vlans] user@switch# set pvlan100 pvlan isolation-vlan-id 50
기본 VLAN에서 분리된 인터페이스를 구성합니다.
[edit vlans] user@switch# set pvlan100 interface ge-0/0/15.0 isolated user@switch# set pvlan100 interface ge-0/0/16.0 isolated
주:분리된 포트를 구성할 때 이를 기본 VLAN의 멤버로 포함하지만 커뮤니티 VLAN의 멤버로 구성하지는 않습니다.
결과
구성 결과를 확인합니다.
[edit]
user@switch# show
vlans {
finance-comm {
vlan-id 300;
interface {
ge-0/0/11.0;
ge-0/0/12.0;
}
primary-vlan pvlan100;
}
hr-comm {
vlan-id 400;
interface {
ge-0/0/13.0;
ge-0/0/14.0;
}
primary-vlan pvlan100;
}
pvlan100 {
vlan-id 100;
interface {
ge-0/0/15.0;
ge-0/0/16.0;
ge-0/0/0.0 {
pvlan-trunk;
}
ge-0/0/5.0 {
pvlan-trunk;
}
}
pvlan;
isolation-vlan-id 50;
}
}
스위치 2에서 PVLAN 구성
CLI 빠른 구성
여러 스위치에 걸친 프라이빗 VLAN을 빠르게 생성하고 구성하려면 다음 명령을 복사하여 스위치 2의 터미널 창에 붙여 넣습니다.
스위치 2의 구성은 스위치 분리 도메인의 인터페이스를 제외하고 스위치 1의 구성과 동일합니다. 스위치 2의 경우, 인터페이스는 입니다 ge-0/0/17.0.
[edit] set vlans finance-comm vlan-id 300 set vlans finance-comm interface ge-0/0/11.0 set vlans finance-comm interface ge-0/0/12.0 set vlans finance-comm primary-vlan pvlan100 set vlans hr-comm vlan-id 400 set vlans hr-comm interface ge-0/0/13.0 set vlans hr-comm interface ge-0/0/14.0 set vlans hr-comm primary-vlan pvlan100 set vlans pvlan100 vlan-id 100 set vlans pvlan100 interface ge-0/0/17.0 set vlans pvlan100 interface ge-0/0/0.0 pvlan-trunk set vlans pvlan100 interface ge-0/0/5.0 pvlan-trunk set vlans pvlan100 pvlan set vlans pvlan100 pvlan isolation-vlan-id 50 set pvlan100 interface ge-0/0/17.0 isolated
절차
단계별 절차
여러 스위치를 아우르는 스위치 2에서 PVLAN을 구성하려면 다음을 수행합니다.
스위치를 아우르는 커뮤니티 VLAN의 finance-comm VLAN ID를 설정합니다.
[edit vlans] user@switch# set finance-comm vlan-id 300
VLAN에 대한 액세스 인터페이스를 finance-comm 구성합니다.
[edit vlans] user@switch# set finance-comm interface ge-0/0/11.0
user@switch# set finance-comm interface ge-0/0/12.0
이 보조 커뮤니티 VLAN의 기본 VLAN finance-comm을 설정합니다.
[edit vlans] user@switch# set vlans finance-comm primary-vlan pvlan100
스위치를 아우르는 HR 커뮤니티 VLAN에 VLAN ID를 설정합니다.
[edit vlans] user@switch# set hr-comm vlan-id 400
VLAN에 대한 액세스 인터페이스를 hr-comm 구성합니다.
[edit vlans] user@switch# set hr-comm interface ge-0/0/13.0 user@switch# set hr-comm interface ge-0/0/14.0
이 보조 커뮤니티 VLAN의 기본 VLAN hr-comm을 설정합니다.
[edit vlans] user@switch# set vlans hr-comm primary-vlan pvlan100
기본 VLAN에 대한 VLAN ID를 설정합니다.
[edit vlans] user@switch# set pvlan100 vlan-id 100
이웃 스위치에서 이 VLAN을 연결할 PVLAN 트렁크 인터페이스를 설정합니다.
[edit vlans] user@switch# set pvlan100 interface ge-0/0/0.0 pvlan-trunk user@switch# set pvlan100 interface ge-0/0/5.0 pvlan-trunk
기본 VLAN을 프라이빗으로 설정하고 로컬 스위칭이 없음:
[edit vlans] user@switch# set pvlan100 pvlan
스위치를 아우르는 스위치 간 분리 도메인을 생성하도록 스위치 분리 ID를 설정합니다.
[edit vlans] user@switch# set pvlan100 pvlan isolation-vlan-id 50
주:분리된 포트를 구성하려면 이를 기본 VLAN의 멤버 중 하나로 포함하지만 커뮤니티 VLAN 중 하나에 속하는 것으로 구성하지는 않습니다.
기본 VLAN에서 분리된 인터페이스를 구성합니다.
[edit vlans] user@switch# set pvlan100 interface ge-0/0/17.0 isolated
결과
구성 결과를 확인합니다.
[edit]
user@switch# show
vlans {
finance-comm {
vlan-id 300;
interface {
ge-0/0/11.0;
ge-0/0/12.0;
}
primary-vlan pvlan100;
}
hr-comm {
vlan-id 400;
interface {
ge-0/0/13.0;
ge-0/0/14.0;
}
primary-vlan pvlan100;
}
pvlan100 {
vlan-id 100;
interface {
ge-0/0/15.0;
ge-0/0/16.0;
ge-0/0/0.0 {
pvlan-trunk;
}
ge-0/0/5.0 {
pvlan-trunk;
}
ge-0/0/17.0;
}
pvlan;
isolation-vlan-id 50;
}
}
스위치 3에서 PVLAN 구성
CLI 빠른 구성
스위치 3이 이 PVLAN의 분산 스위치로 작동하도록 빠르게 구성하려면 다음 명령을 복사하여 스위치 3의 터미널 창에 붙여 넣습니다.
인터페이스 ge-0/0/2.0은 PVLAN을 라우터에 연결하는 트렁크 포트입니다.
[edit] set vlans finance-comm vlan-id 300 set vlans finance-comm primary-vlan pvlan100 set vlans hr-comm vlan-id 400 set vlans hr-comm primary-vlan pvlan100 set vlans pvlan100 vlan-id 100 set vlans pvlan100 interface ge-0/0/0.0 pvlan-trunk set vlans pvlan100 interface ge-0/0/1.0 pvlan-trunk set vlans pvlan100 pvlan set vlans pvlan100 pvlan isolation-vlan-id 50
절차
단계별 절차
스위치 3이 이 PVLAN의 배포 스위치로 작동하도록 구성하려면 다음 절차를 따르십시오.
스위치를 아우르는 커뮤니티 VLAN의 finance-comm VLAN ID를 설정합니다.
[edit vlans] user@switch# finance-comm vlan-id 300
이 보조 커뮤니티 VLAN의 기본 VLAN finance-comm을 설정합니다.
[edit vlans] user@switch# set vlans finance-comm primary-vlan pvlan100
스위치를 아우르는 HR 커뮤니티 VLAN에 VLAN ID를 설정합니다.
[edit vlans] user@switch# set hr-comm vlan-id 400
이 보조 커뮤니티 VLAN의 기본 VLAN hr-comm을 설정합니다.
[edit vlans] user@switch# set vlans hr-comm primary-vlan pvlan100
기본 VLAN에 대한 VLAN ID를 설정합니다.
[edit vlans] user@switch# set pvlan100 vlan-id 100
이웃 스위치에서 이 VLAN을 연결할 PVLAN 트렁크 인터페이스를 설정합니다.
[edit vlans] user@switch# set pvlan100 interface ge-0/0/0.0 pvlan-trunk user@switch# set pvlan100 interface ge-0/0/5.0 pvlan-trunk
기본 VLAN을 프라이빗으로 설정하고 로컬 스위칭이 없음:
[edit vlans] user@switch# set pvlan100 pvlan
스위치를 아우르는 스위치 간 분리 도메인을 생성하도록 스위치 분리 ID를 설정합니다.
[edit vlans] user@switch# set pvlan100 pvlan isolation-vlan-id 50
주:분리된 포트를 구성하려면 이를 기본 VLAN의 멤버 중 하나로 포함하지만 커뮤니티 VLAN 중 하나에 속하는 것으로 구성하지는 않습니다.
결과
구성 결과를 확인합니다.
[edit]
user@switch# show
vlans {
finance-comm {
vlan-id 300;
primary-vlan pvlan100;
}
hr-comm {
vlan-id 400;
primary-vlan pvlan100;
}
pvlan100 {
vlan-id 100;
interface {
ge-0/0/0.0 {
pvlan-trunk;
}
ge-0/0/1.0 {
pvlan-trunk;
}
ge-0/0/2.0;
}
pvlan;
isolation-vlan-id 50;
}
}
확인
구성이 제대로 작동하는지 확인하려면 다음 작업을 수행하십시오.
- 스위치 1에서 기본 VLAN 및 보조 VLAN이 생성되었는지 확인
- 스위치 2에서 기본 VLAN 및 보조 VLAN이 생성되었는지 확인
- 스위치 3에서 기본 VLAN 및 보조 VLAN이 생성되었는지 확인
스위치 1에서 기본 VLAN 및 보조 VLAN이 생성되었는지 확인
목적
여러 스위치에 걸친 PVLAN 구성이 스위치 1에서 제대로 작동하는지 확인합니다.
실행
명령을 사용합니다.show vlans extensive
user@switch> show vlans extensive
VLAN: __pvlan_pvlan100_ge-0/0/15.0__, Created at: Thu Sep 16 23:15:27 2010
Internal index: 5, Admin State: Enabled, Origin: Static
Private VLAN Mode: Isolated, Primary VLAN: pvlan100
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 1 (Active = 1)
ge-0/0/0.0*, tagged, trunk, pvlan-trunk
ge-0/0/5.0*, tagged, trunk, pvlan-trunk
ge-0/0/15.0*, untagged, access
VLAN: __pvlan_pvlan100_ge-0/0/16.0__, Created at: Thu Sep 16 23:15:27 2010
Internal index: 6, Admin State: Enabled, Origin: Static
Private VLAN Mode: Isolated, Primary VLAN: pvlan100
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 1 (Active = 1)
ge-0/0/0.0*, tagged, trunk, pvlan-trunk
ge-0/0/5.0*, tagged, trunk, pvlan-trunk
ge-0/0/16.0*, untagged, access
VLAN: __pvlan_pvlan100_isiv__, Created at: Thu Sep 16 23:15:27 2010
802.1Q Tag: 50, Internal index: 7, Admin State: Enabled, Origin: Static
Private VLAN Mode: Inter-switch-isolated, Primary VLAN: pvlan100
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 0 (Active = 0)
ge-0/0/0.0*, tagged, trunk, pvlan-trunk
ge-0/0/5.0*, tagged, trunk, pvlan-trunk
VLAN: default, Created at: Thu Sep 16 03:03:18 2010
Internal index: 2, Admin State: Enabled, Origin: Static
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 0 (Active = 0), Untagged 0 (Active = 0)
VLAN: finance-comm, Created at: Thu Sep 16 23:15:27 2010
802.1Q Tag: 300, Internal index: 8, Admin State: Enabled, Origin: Static
Private VLAN Mode: Community, Primary VLAN: pvlan100
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 2 (Active = 2)
ge-0/0/0.0*, tagged, trunk, pvlan-trunk
ge-0/0/5.0*, tagged, trunk, pvlan-trunk
ge-0/0/11.0*, untagged, access
ge-0/0/12.0*, untagged, access
VLAN: hr-comm, Created at: Thu Sep 16 23:15:27 2010
802.1Q Tag: 400, Internal index: 9, Admin State: Enabled, Origin: Static
Private VLAN Mode: Community, Primary VLAN: pvlan100
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 2 (Active = 2)
ge-0/0/0.0*, tagged, trunk, pvlan-trunk
ge-0/0/5.0*, tagged, trunk, pvlan-trunk
ge-0/0/13.0*, untagged, access
ge-0/0/14.0*, untagged, access
VLAN: pvlan100, Created at: Thu Sep 16 23:15:27 2010
802.1Q Tag: 100, Internal index: 4, Admin State: Enabled, Origin: Static
Private VLAN Mode: Primary
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 6 (Active = 6)
ge-0/0/0.0*, tagged, trunk, pvlan-trunk
ge-0/0/5.0*, tagged, trunk, pvlan-trunk
ge-0/0/11.0*, untagged, access
ge-0/0/12.0*, untagged, access
ge-0/0/13.0*, untagged, access
ge-0/0/14.0*, untagged, access
ge-0/0/15.0*, untagged, access
ge-0/0/16.0*, untagged, access
Secondary VLANs: Isolated 2, Community 2, Inter-switch-isolated 1
Isolated VLANs :
__pvlan_pvlan100_ge-0/0/15.0__
__pvlan_pvlan100_ge-0/0/16.0__
Community VLANs :
finance-comm
hr-comm
Inter-switch-isolated VLAN :
__pvlan_pvlan100_isiv__의미
출력 결과, 스위치 1에서 PVLAN이 생성되었으며 이 PVLAN에 두 개의 분리된 VLAN, 2개의 커뮤니티 VLAN 및 스위칭 분리된 VLAN이 포함되어 있음을 보여줍니다. pvlan 트렁크 및 스위치 간 분리 필드가 존재하면 이 PVLAN이 하나 이상의 스위치에 걸쳐 있음을 나타냅니다.
스위치 2에서 기본 VLAN 및 보조 VLAN이 생성되었는지 확인
목적
여러 스위치에 걸친 PVLAN 구성이 스위치 2에서 제대로 작동하는지 확인합니다.
실행
명령을 사용합니다.show vlans extensive
user@switch> show vlans extensive
VLAN: __pvlan_pvlan100_ge-0/0/17.0__, Created at: Thu Sep 16 23:19:22 2010
Internal index: 5, Admin State: Enabled, Origin: Static
Private VLAN Mode: Isolated, Primary VLAN: pvlan100
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 1 (Active = 1)
ge-0/0/0.0*, tagged, trunk, pvlan-trunk
ge-0/0/5.0*, tagged, trunk, pvlan-trunk
ge-0/0/17.0*, untagged, access
VLAN: __pvlan_pvlan100_isiv__, Created at: Thu Sep 16 23:19:22 2010
802.1Q Tag: 50, Internal index: 6, Admin State: Enabled, Origin: Static
Private VLAN Mode: Inter-switch-isolated, Primary VLAN: pvlan100
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 0 (Active = 0)
ge-0/0/0.0*, tagged, trunk, pvlan-trunk
ge-0/0/5.0*, tagged, trunk, pvlan-trunk
VLAN: default, Created at: Thu Sep 16 03:03:18 2010
Internal index: 2, Admin State: Enabled, Origin: Static
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 0 (Active = 0), Untagged 0 (Active = 0)
VLAN: finance-comm, Created at: Thu Sep 16 23:19:22 2010
802.1Q Tag: 300, Internal index: 7, Admin State: Enabled, Origin: Static
Private VLAN Mode: Community, Primary VLAN: pvlan100
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 2 (Active = 2)
ge-0/0/0.0*, tagged, trunk, pvlan-trunk
ge-0/0/5.0*, tagged, trunk, pvlan-trunk
ge-0/0/11.0*, untagged, access
ge-0/0/12.0*, untagged, access
VLAN: hr-comm, Created at: Thu Sep 16 23:19:22 2010
802.1Q Tag: 400, Internal index: 8, Admin State: Enabled, Origin: Static
Private VLAN Mode: Community, Primary VLAN: pvlan100
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 2 (Active = 2)
ge-0/0/0.0*, tagged, trunk, pvlan-trunk
ge-0/0/5.0*, tagged, trunk, pvlan-trunk
ge-0/0/13.0*, untagged, access
ge-0/0/14.0*, untagged, access
VLAN: pvlan100, Created at: Thu Sep 16 23:19:22 2010
802.1Q Tag: 100, Internal index: 4, Admin State: Enabled, Origin: Static
Private VLAN Mode: Primary
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 5 (Active = 5)
ge-0/0/0.0*, tagged, trunk, pvlan-trunk
ge-0/0/5.0*, tagged, trunk, pvlan-trunk
ge-0/0/11.0*, untagged, access
ge-0/0/12.0*, untagged, access
ge-0/0/13.0*, untagged, access
ge-0/0/14.0*, untagged, access
ge-0/0/17.0*, untagged, access
Secondary VLANs: Isolated 1, Community 2, Inter-switch-isolated 1
Isolated VLANs :
__pvlan_pvlan100_ge-0/0/17.0__
Community VLANs :
finance-comm
hr-comm
Inter-switch-isolated VLAN :
__pvlan_pvlan100_isiv__의미
출력 결과, 스위치 2에서 PVLAN이 생성되었으며 한 개의 분리된 VLAN, 2개의 커뮤니티 VLAN 및 스위치 간 분리된 VLAN이 포함되어 있음을 보여줍니다. pvlan 트렁크 및 스위치 간 분리 필드가 존재하면 이 PVLAN이 하나 이상의 스위치에 걸쳐 있음을 나타냅니다. 이 출력을 스위치 1의 출력과 비교하면 두 스위치 모두 동일한 PVLAN(pvlan100)에 속한다는 것을 알 수 있습니다.
스위치 3에서 기본 VLAN 및 보조 VLAN이 생성되었는지 확인
목적
여러 스위치에 걸친 PVLAN 구성이 스위치 3에서 제대로 작동하는지 확인합니다.
실행
명령을 사용합니다.show vlans extensive
user@switch> show vlans extensive
VLAN: __pvlan_pvlan100_isiv__, Created at: Thu Sep 16 23:22:40 2010
802.1Q Tag: 50, Internal index: 5, Admin State: Enabled, Origin: Static
Private VLAN Mode: Inter-switch-isolated, Primary VLAN: pvlan100
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 0 (Active = 0)
ge-0/0/0.0*, tagged, trunk, pvlan-trunk
ge-0/0/1.0*, tagged, trunk, pvlan-trunk
VLAN: default, Created at: Thu Sep 16 03:03:18 2010
Internal index: 2, Admin State: Enabled, Origin: Static
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 0 (Active = 0), Untagged 0 (Active = 0)
VLAN: finance-comm, Created at: Thu Sep 16 23:22:40 2010
802.1Q Tag: 300, Internal index: 6, Admin State: Enabled, Origin: Static
Private VLAN Mode: Community, Primary VLAN: pvlan100
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 0 (Active = 0)
ge-0/0/0.0*, tagged, trunk, pvlan-trunk
ge-0/0/1.0*, tagged, trunk, pvlan-trunk
VLAN: hr-comm, Created at: Thu Sep 16 23:22:40 2010
802.1Q Tag: 400, Internal index: 7, Admin State: Enabled, Origin: Static
Private VLAN Mode: Community, Primary VLAN: pvlan100
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 0 (Active = 0)
ge-0/0/0.0*, tagged, trunk, pvlan-trunk
ge-0/0/1.0*, tagged, trunk, pvlan-trunk
VLAN: pvlan100, Created at: Thu Sep 16 23:22:40 2010
802.1Q Tag: 100, Internal index: 4, Admin State: Enabled, Origin: Static
Private VLAN Mode: Primary
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 0 (Active = 0)
ge-0/0/0.0*, tagged, trunk, pvlan-trunk
ge-0/0/1.0*, tagged, trunk, pvlan-trunk
Secondary VLANs: Isolated 0, Community 2, Inter-switch-isolated 1
Community VLANs :
finance-comm
hr-comm
Inter-switch-isolated VLAN :
__pvlan_pvlan100_isiv__의미
출력은 PVLAN(pvlan100)이 스위치 3에서 구성되어 있으며 분리된 VLAN, 2개의 커뮤니티 VLAN 및 스위치 간 분리된 VLAN을 포함하지 않음을 보여줍니다. 그러나 스위치 3은 분산 스위치로 작동하므로 출력에는 PVLAN 내의 액세스 인터페이스가 포함되지 않습니다. 동일한 PVLAN에서 스위치 3에서 다른 스위치(스위치 1 및 스위치 2)로 연결하는 pvlan100 인터페이스만 pvlan-trunk 보여줍니다.
예를 들면 다음과 같습니다. IRB 인터페이스를 통해 여러 스위치에 걸친 프라이빗 VLAN 구성
보안상의 이유로 브로드캐스트 및 알 수 없는 유니캐스트 트래픽의 흐름을 제한하고 알려진 호스트 간의 통신을 제한하는 것이 유용합니다. 프라이빗 VLAN(PVLAN) 기능을 통해 관리자는 브로드캐스트 도메인을 여러 개의 분리된 브로드캐스트 하위 도메인으로 분할하여 기본적으로 VLAN을 VLAN 내부에 배치할 수 있습니다. PVLAN은 여러 스위치를 포괄할 수 있습니다. 이 예에서는 여러 스위치에 걸쳐 PVLAN을 생성하는 방법을 설명합니다. 이 예는 여러 개의 보조 VLAN을 포함하는 하나의 기본 PVLAN을 생성합니다.
일반 VLAN과 마찬가지로 PVLAN은 레이어 2에서 분리되며 일반적으로 트래픽을 라우팅하려면 레이어 3 디바이스를 사용해야 합니다. Junos OS 14.1X53-D30부터는 통합 라우팅 및 브리징(IRB) 인터페이스를 사용하여 PVLAN에 연결된 디바이스 간에 레이어 3 트래픽을 라우팅할 수 있습니다. 이러한 방식으로 IRB 인터페이스를 사용하면 PVLAN의 디바이스가 레이어 3에서 다른 커뮤니티의 디바이스 또는 분리된 VLAN 또는 PVLAN 외부의 디바이스와 통신할 수 있습니다. 이 예는 또한 PVLAN 구성에 IRB 인터페이스를 포함하는 방법을 보여줍니다.
요구 사항
이 예는 다음과 같은 하드웨어 및 소프트웨어 구성 요소를 사용합니다.
3개의 QFX 시리즈 또는 EX4600 스위치
QFX 시리즈 또는 EX4600용 PVLAN을 사용한 Junos OS 릴리스
개요 및 토폴로지
여러 건물과 VLAN이 있는 대규모 사무실에서 보안상의 이유로 일부 워크그룹이나 다른 엔드포인트를 분리하거나 브로드캐스트 도메인을 분할해야 할 수 있습니다. 이 구성 예는 두 개의 커뮤니티 VLAN(하나는 HR용 및 재무용 VLAN)을 포함하는 하나의 기본 VLAN과 스위치 간 분리된 VLAN(메일 서버, 백업 서버 및 CVS 서버용)을 포함하는 여러 스위치에 걸친 PVLAN을 생성하는 방법을 보여줍니다. PVLAN은 3개의 스위치(2개의 액세스 스위치 및 1개의 분산 스위치)로 구성됩니다. PVLAN의 디바이스는 레이어 3에서 서로 연결되고 분산 스위치에 구성된 IRB 인터페이스를 통해 PVLAN 외부의 디바이스에 연결됩니다.
스위치 1과 스위치 2의 분리된 포트는 동일한 도메인 내에 포함되어 있음에도 불구하고 서로 레이어 2 연결이 없습니다. 을(를) 참조하십시오 프라이빗 VLAN 이해.
그림 18 은(는) 이 예의 토폴로지 를 보여줍니다.
표 13, 표 14, 표 15 은(는) 예제 토폴로지의 설정을 나열합니다.
| 속성 | 설정 |
|---|---|
VLAN 이름 및 태그 ID |
|
스위치 간 링크 인터페이스 |
|
기본 VLAN의 분리된 인터페이스 |
|
VLAN의 인터페이스 |
|
VLAN의 인터페이스 |
|
| 속성 | 설정 |
|---|---|
VLAN 이름 및 태그 ID |
|
스위치 간 링크 인터페이스 |
|
기본 VLAN에서 분리된 인터페이스 |
|
VLAN의 인터페이스 |
|
VLAN의 인터페이스 |
|
| 속성 | 설정 |
|---|---|
VLAN 이름 및 태그 ID |
|
스위치 간 링크 인터페이스 |
|
무차별 포트 |
주:
PVLAN을 다른 스위치 또는 라우터에 연결하는 트렁크 포트를 PVLAN의 멤버로 구성해야 합니다. PVLAN은 이를 무차별 포트로 암묵적으로 구성합니다. |
IRB 인터페이스 |
IPv4를 사용하는 디바이스가 레이어 3에서 통신할 수 있도록 ARP 해상도가 발생할 수 있도록 IRB 인터페이스에 제한 없는 프록시 ARP를 구성합니다. IPv6 트래픽의 경우, ARP 해결을 허용하려면 IRB 주소를 대상 주소로 명시적으로 매핑해야 합니다. |
토폴로지
구성 개요
여러 스위치에서 PVLAN을 구성할 때 다음 규칙이 적용됩니다.
기본 VLAN은 태그가 지정된 VLAN이어야 합니다.
기본 VLAN은 스위치 간 링크 인터페이스의 멤버가 될 수 있는 유일한 VLAN입니다.
PVLAN에서 IRB 인터페이스를 구성할 때 다음 규칙이 적용됩니다.
PVLAN에 참여하는 스위치 수에 관계없이 PVLAN에서 하나의 IRB 인터페이스만 생성할 수 있습니다.
IRB 인터페이스는 PVLAN에서 기본 VLAN의 멤버여야 합니다.
레이어 3에서 연결하려는 각 호스트 디바이스는 IRB의 IP 주소를 기본 게이트웨이 주소로 사용해야 합니다.
스위치 1에서 PVLAN 구성
CLI 빠른 구성
여러 스위치에 걸친 PVLAN을 빠르게 생성하고 구성하려면 다음 명령을 복사하여 스위치 1의 터미널 창에 붙여 넣습니다.
[edit] set interfaces xe-0/0/0 unit 0 family ethernet-switching interface-mode trunk set interfaces xe-0/0/0 unit 0 family ethernet-switching inter-switch-link set interfaces xe-0/0/0 unit 0 family ethernet-switching vlan members 100 set interfaces xe-0/0/5 unit 0 family ethernet-switching interface-mode trunk set interfaces xe-0/0/5 unit 0 family ethernet-switching inter-switch-link set interfaces xe-0/0/5 unit 0 family ethernet-switching vlan members 100 set vlans finance-comm vlan-id 300 private-vlan community set vlans hr-comm vlan-id 400 private-vlan community set vlans isolated-vlan vlan-id 50 private-vlan isolated set vlans pvlan100 vlan-id 100 community-vlans [300 400] isolated-vlan 50 set interfaces xe-0/0/11 unit 0 family ethernet-switching vlan members 300 set interfaces xe-0/0/12 unit 0 family ethernet-switching vlan members 300 set interfaces xe-0/0/13 unit 0 family ethernet-switching vlan members 400 set interfaces xe-0/0/14 unit 0 family ethernet-switching vlan members 400 set interfaces xe-0/0/15 unit 0 family ethernet-switching vlan members 50 set interfaces xe-0/0/16 unit 0 family ethernet-switching vlan members 50
절차
단계별 절차
트렁크가 될 인터페이스 xe-0/0/0을 구성합니다.
[edit interfaces] user@switch# set xe-0/0/0 unit 0 family ethernet-switching interface-mode trunk
인터페이스 xe-0/0/0을 모든 VLAN을 전달하는 스위치 간 링크가 되도록 구성합니다.
[edit interfaces] user@switch# set xe-0/0/0 unit 0 family ethernet-switching inter-switch-link
pvlan100(기본 VLAN)을 인터페이스 xe-0/0/0의 멤버로 구성합니다.
[edit interfaces] user@switch# set xe-0/0/0 unit 0 family ethernet-switching vlan members 100
트렁크가 될 인터페이스 xe-0/0/5를 구성합니다.
[edit interfaces] user@switch# set xe-0/0/0 unit 0 family ethernet-switching interface-mode trunk
인터페이스 xe-0/0/5를 모든 VLAN을 전달하는 스위치 간 링크가 되도록 구성합니다.
[edit interfaces] user@switch# set xe-0/0/5 unit 0 family ethernet-switching inter-switch-link
pvlan100을 인터페이스 xe-0/0/5의 멤버로 구성합니다.
[edit interfaces] user@switch# set xe-0/0/5 unit 0 family ethernet-switching vlan members 100
재무 조직을 위한 커뮤니티 VLAN을 생성합니다.
[edit vlans] set finance-comm vlan-id 300 private-vlan community
HR 조직을 위한 커뮤니티 VLAN을 생성합니다.
[edit vlans] set hr-comm vlan-id 400 private-vlan community
메일 및 백업 서버에 대해 분리된 VLAN을 생성합니다.
[edit vlans] set isolated-vlan vlan-id 50 private-vlan isolated
기본 VLAN을 생성하고 커뮤니티와 분리된 VLAN 구성원을 만듭니다.
[edit vlans] set pvlan100 vlan-id 100 community-vlans [300 400] isolated-vlan 50
VLAN 300(커뮤니티 VLAN)을 인터페이스 xe-0/0/11의 구성원으로 구성합니다.
[edit interfaces] user@switch# set xe-0/0/11 unit 0 family ethernet-switching vlan members 300
VLAN 300(커뮤니티 VLAN)을 인터페이스 xe-0/0/12의 구성원으로 구성합니다.
[edit interfaces] user@switch# set xe-0/0/12 unit 0 family ethernet-switching vlan members 300
VLAN 400(커뮤니티 VLAN)을 인터페이스 xe-0/0/13의 구성원으로 구성합니다.
[edit interfaces] user@switch# set xe-0/0/13 unit 0 family ethernet-switching vlan members 400
VLAN 400(커뮤니티 VLAN)을 인터페이스 xe-0/0/14의 구성원으로 구성합니다.
[edit interfaces] user@switch# set xe-0/0/14 unit 0 family ethernet-switching vlan members 400
VLAN 50(분리된 VLAN)을 인터페이스 xe-0/0/15의 구성원으로 구성합니다.
[edit interfaces] user@switch# set xe-0/0/15 unit 0 family ethernet-switching vlan members 50
VLAN 50(분리된 VLAN)을 인터페이스 xe-0/0/16의 멤버로 구성합니다.
[edit interfaces] user@switch# set xe-0/0/16 unit 0 family ethernet-switching vlan members 50
결과
구성 결과를 확인합니다.
[edit]
user@switch# show
vlans {
finance-comm {
vlan-id 300;
private-vlan community;
}
hr-comm {
vlan-id 400;
private-vlan community;
}
isolated-vlan{
vlan-id 50;
private-vlan isolated;
}
pvlan100 {
vlan-id 100;
isolated-vlan 50;
community-vlans [300 400]
}
}
스위치 2에서 PVLAN 구성
CLI 빠른 구성
여러 스위치에 걸친 프라이빗 VLAN을 빠르게 생성하고 구성하려면 다음 명령을 복사하여 스위치 2의 터미널 창에 붙여 넣습니다.
스위치 2의 구성은 분리된 VLAN을 제외한 스위치 1의 구성과 동일합니다. 스위치 2의 경우 분리된 VLAN 인터페이스는 입니다 xe-0/0/17.0 .
[edit] set interfaces xe-0/0/0 unit 0 family ethernet-switching interface-mode trunk set interfaces xe-0/0/0 unit 0 family ethernet-switching inter-switch-link set interfaces xe-0/0/0 unit 0 family ethernet-switching vlan members 100 set interfaces xe-0/0/5 unit 0 family ethernet-switching interface-mode trunk set interfaces xe-0/0/5 unit 0 family ethernet-switching inter-switch-link set interfaces xe-0/0/5 unit 0 family ethernet-switching vlan members 100 set vlans finance-comm vlan-id 300 private-vlan community set vlans hr-comm vlan-id 400 private-vlan community set vlans isolated-vlan vlan-id 50 private-vlan isolated set vlans pvlan100 vlan-id 100 community-vlans [300 400] isolated-vlan 50 set interfaces xe-0/0/11 unit 0 family ethernet-switching vlan members 300 set interfaces xe-0/0/12 unit 0 family ethernet-switching vlan members 300 set interfaces xe-0/0/13 unit 0 family ethernet-switching vlan members 400 set interfaces xe-0/0/14 unit 0 family ethernet-switching vlan members 400 set interfaces xe-0/0/17 unit 0 family ethernet-switching vlan members 50
절차
단계별 절차
트렁크가 될 인터페이스 xe-0/0/0을 구성합니다.
[edit interfaces] user@switch# set xe-0/0/0 unit 0 family ethernet-switching interface-mode trunk
인터페이스 xe-0/0/0을 모든 VLAN을 전달하는 스위치 간 링크가 되도록 구성합니다.
[edit interfaces] user@switch# set xe-0/0/0 unit 0 family ethernet-switching inter-switch-link
pvlan100(기본 VLAN)을 인터페이스 xe-0/0/0의 멤버로 구성합니다.
[edit interfaces] user@switch# set xe-0/0/0 unit 0 family ethernet-switching vlan members 100
트렁크가 될 인터페이스 xe-0/0/5를 구성합니다.
[edit interfaces] user@switch# set xe-0/0/0 unit 0 family ethernet-switching interface-mode trunk
인터페이스 xe-0/0/5를 모든 VLAN을 전달하는 스위치 간 링크가 되도록 구성합니다.
[edit interfaces] user@switch# set xe-0/0/5 unit 0 family ethernet-switching inter-switch-link
pvlan100을 인터페이스 xe-0/0/5의 멤버로 구성합니다.
[edit interfaces] user@switch# set xe-0/0/5 unit 0 family ethernet-switching vlan members 100
재무 조직을 위한 커뮤니티 VLAN을 생성합니다.
[edit vlans] set finance-comm vlan-id 300 private-vlan community
HR 조직을 위한 커뮤니티 VLAN을 생성합니다.
[edit vlans] set hr-comm vlan-id 400 private-vlan community
메일 및 백업 서버에 대해 분리된 VLAN을 생성합니다.
[edit vlans] set isolated-vlan vlan-id 50 private-vlan isolated
기본 VLAN을 생성하고 커뮤니티와 분리된 VLAN 구성원을 만듭니다.
[edit vlans] set pvlan100 vlan-id 100 community-vlans [300 400] isolated-vlan 50
VLAN 300(커뮤니티 VLAN)을 인터페이스 xe-0/0/11의 구성원으로 구성합니다.
[edit interfaces] user@switch# set xe-0/0/11 unit 0 family ethernet-switching vlan members 300
VLAN 300(커뮤니티 VLAN)을 인터페이스 xe-0/0/12의 구성원으로 구성합니다.
[edit interfaces] user@switch# set xe-0/0/12 unit 0 family ethernet-switching vlan members 300
VLAN 400(커뮤니티 VLAN)을 인터페이스 xe-0/0/13의 구성원으로 구성합니다.
[edit interfaces] user@switch# set xe-0/0/13 unit 0 family ethernet-switching vlan members 400
VLAN 400(커뮤니티 VLAN)을 인터페이스 xe-0/0/14의 구성원으로 구성합니다.
[edit interfaces] user@switch# set xe-0/0/14 unit 0 family ethernet-switching vlan members 400
VLAN 50(분리된 VLAN)을 인터페이스 xe-0/0/17의 멤버로 구성합니다.
[edit interfaces] user@switch# set xe-0/0/17 unit 0 family ethernet-switching vlan members 50
결과
구성 결과를 확인합니다.
[edit]
user@switch# show
vlans {
finance-comm {
vlan-id 300;
private-vlan community;
}
hr-comm {
vlan-id 400;
private-vlan community;
}
isolated-vlan{
vlan-id 50;
private-vlan isolated;
}
pvlan100 {
vlan-id 100;
isolated-vlan 50;
community-vlans [300 400]
}
}
스위치 3에서 PVLAN 구성
CLI 빠른 구성
스위치 3이 이 PVLAN의 분산 스위치로 작동하도록 빠르게 구성하려면 다음 명령을 복사하여 스위치 3의 터미널 창에 붙여 넣습니다.
인터페이스 xe-0/0/2.0은 PVLAN을 다른 네트워크에 연결하는 트렁크 포트입니다.
[edit] [edit] set interfaces xe-0/0/0 unit 0 family ethernet-switching interface-mode trunk set interfaces xe-0/0/0 unit 0 family ethernet-switching inter-switch-link set interfaces xe-0/0/0 unit 0 family ethernet-switching vlan members 100 set interfaces xe-0/0/1 unit 0 family ethernet-switching interface-mode trunk set interfaces xe-0/0/1 unit 0 family ethernet-switching inter-switch-link set interfaces xe-0/0/1 unit 0 family ethernet-switching vlan members 100 set interfaces xe-0/0/2 unit 0 family ethernet-switching interface-mode trunk set interfaces xe-0/0/2 unit 0 family ethernet-switching vlan members 100 set vlans pvlan100 vlan-id 100 set interfaces irb unit 100 family inet address 192.168.1.1/24 set vlans pvlan100 l3-interface irb.100 set interfaces irb unit 100 proxy-arp unrestricted
절차
단계별 절차
스위치 3이 이 PVLAN의 배포 스위치로 작동하도록 구성하려면 다음 절차를 따르십시오.
트렁크가 될 인터페이스 xe-0/0/0을 구성합니다.
[edit interfaces] user@switch# set xe-0/0/0 unit 0 family ethernet-switching interface-mode trunk
인터페이스 xe-0/0/0을 모든 VLAN을 전달하는 스위치 간 링크가 되도록 구성합니다.
[edit interfaces] user@switch# set xe-0/0/0 unit 0 family ethernet-switching inter-switch-link
pvlan100(기본 VLAN)을 인터페이스 xe-0/0/0의 멤버로 구성합니다.
[edit interfaces] user@switch# set xe-0/0/0 unit 0 family ethernet-switching vlan members 100
트렁크가 될 인터페이스 xe-0/0/5를 구성합니다.
[edit interfaces] user@switch# set xe-0/0/0 unit 0 family ethernet-switching interface-mode trunk
인터페이스 xe-0/0/5를 모든 VLAN을 전달하는 스위치 간 링크가 되도록 구성합니다.
[edit interfaces] user@switch# set xe-0/0/5 unit 0 family ethernet-switching inter-switch-link
pvlan100을 인터페이스 xe-0/0/5의 멤버로 구성합니다.
[edit interfaces] user@switch# set xe-0/0/5 unit 0 family ethernet-switching vlan members 100
인터페이스 xe-0/0/2(무차별 인터페이스)를 트렁크로 구성합니다.
[edit interfaces] user@switch# set xe-0/0/2 unit 0 family ethernet-switching interface-mode trunk
pvlan100을 인터페이스 xe-0/0/2의 멤버로 구성합니다.
[edit interfaces] user@switch# set xe-0/0/2 unit 0 family ethernet-switching vlan members 100
기본 VLAN을 생성합니다.
[edit vlans] set vlans pvlan100 vlan-id 100
IRB 인터페이스
irb를 생성하고 스위치 1 및 2에 연결된 디바이스가 사용하는 서브넷에 주소를 할당합니다.[edit interfaces] set irb unit 100 family inet address 192.168.1.1/24
주:레이어 3에서 연결하려는 각 호스트 디바이스는 IRB 인터페이스와 동일한 서브넷에 있어야 하며 IRB 인터페이스의 IP 주소를 기본 게이트웨이 주소로 사용해야 합니다.
인터페이스를 기본 VLAN
pvlan100으로 바인딩하여 IRB 인터페이스 구성을 완료합니다.[edit vlans] set pvlan100 l3-interface irb.100
IRB 인터페이스의 각 유닛에 대해 제한 없는 프록시 ARP를 구성하여 ARP 해상도가 IPv4 트래픽에 작동할 수 있도록 합니다.
[edit interfaces] set irb unit 100 proxy-arp unrestricted
주:커뮤니티의 디바이스와 분리된 VLAN이 레이어 2에서 분리되므로 IPv4를 사용하는 디바이스가 레이어 3에서 통신할 수 있도록 VLAN 간에 ARP 해상도가 발생하도록 허용하려면 이 단계가 필요합니다. (IPv6 트래픽의 경우, ARP 해상도를 허용하려면 IRB 주소를 대상 주소에 명시적으로 매핑해야 합니다.)
결과
구성 결과를 확인합니다.
[edit]
user@switch# show
vlans {
pvlan100{
vlan-id 100;
}
}
확인
구성이 제대로 작동하는지 확인하려면 다음 작업을 수행하십시오.
- 스위치 1에서 기본 VLAN 및 보조 VLAN이 생성되었는지 확인
- 스위치 2에서 기본 VLAN 및 보조 VLAN이 생성되었는지 확인
- 스위치 3에서 기본 VLAN 및 보조 VLAN이 생성되었는지 확인
스위치 1에서 기본 VLAN 및 보조 VLAN이 생성되었는지 확인
목적
여러 스위치에 걸친 PVLAN 구성이 스위치 1에서 제대로 작동하는지 확인합니다.
실행
명령을 사용합니다.show vlans extensive
user@switch> show vlans extensive
VLAN: __pvlan_pvlan100_xe-0/0/15.0__, Created at: Wed Sep 16 23:15:27 2015
Internal index: 5, Admin State: Enabled, Origin: Static
Private VLAN Mode: Isolated, Primary VLAN: pvlan100
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 1 (Active = 1)
xe-0/0/0.0*, tagged, trunk xe-0/0/5.0*, tagged, trunk xe-0/0/15.0*, untagged, access
VLAN: __pvlan_pvlan100_xe-0/0/16.0__, Created at: Wed Sep 16 23:15:27 2015
Internal index: 6, Admin State: Enabled, Origin: Static
Private VLAN Mode: Isolated, Primary VLAN: pvlan100
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 1 (Active = 1)
xe-0/0/0.0*, tagged, trunk xe-0/0/5.0*, tagged, trunk xe-0/0/16.0*, untagged, access
VLAN: __pvlan_pvlan100_isiv__, Created at: Wed Sep 16 23:15:27 2015
802.1Q Tag: 50, Internal index: 7, Admin State: Enabled, Origin: Static
Private VLAN Mode: Inter-switch-isolated, Primary VLAN: pvlan100
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 0 (Active = 0)
xe-0/0/0.0*, tagged, trunk xe-0/0/5.0*, tagged, trunk
VLAN: default, Created at: Wed Sep 16 03:03:18 2015
Internal index: 2, Admin State: Enabled, Origin: Static
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 0 (Active = 0), Untagged 0 (Active = 0)
VLAN: finance-comm, Created at: Wed Sep 16 23:15:27 2015
802.1Q Tag: 300, Internal index: 8, Admin State: Enabled, Origin: Static
Private VLAN Mode: Community, Primary VLAN: pvlan100
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 2 (Active = 2)
xe-0/0/0.0*, tagged, trunk xe-0/0/5.0*, tagged, trunk xe-0/0/11.0*, untagged, access
xe-0/0/12.0*, untagged, access
VLAN: hr-comm, Created at: Wed Sep 16 23:15:27 2015
802.1Q Tag: 400, Internal index: 9, Admin State: Enabled, Origin: Static
Private VLAN Mode: Community, Primary VLAN: pvlan100
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 2 (Active = 2)
xe-0/0/0.0*, tagged, trunk xe-0/0/5.0*, tagged, trunk xe-0/0/13.0*, untagged, access
xe-0/0/14.0*, untagged, access
VLAN: pvlan100, Created at: Wed Sep 16 23:15:27 2015
802.1Q Tag: 100, Internal index: 4, Admin State: Enabled, Origin: Static
Private VLAN Mode: Primary
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 6 (Active = 6)
xe-0/0/0.0*, tagged, trunk
xe-0/0/5.0*, tagged, trunk xe-0/0/11.0*, untagged, access
xe-0/0/12.0*, untagged, access
xe-0/0/13.0*, untagged, access
xe-0/0/14.0*, untagged, access
xe-0/0/15.0*, untagged, access
xe-0/0/16.0*, untagged, access
Secondary VLANs: Isolated 2, Community 2, Inter-switch-isolated 1
Isolated VLANs :
__pvlan_pvlan100_xe-0/0/15.0__
__pvlan_pvlan100_xe-0/0/16.0__
Community VLANs :
finance-comm
hr-comm
Inter-switch-isolated VLAN :
__pvlan_pvlan100_isiv__의미
출력 결과, 스위치 1에서 PVLAN이 생성되었으며 이 PVLAN에 두 개의 분리된 VLAN, 2개의 커뮤니티 VLAN 및 스위칭 분리된 VLAN이 포함되어 있음을 보여줍니다. 트렁크 및 스위치 간 분리 필드가 존재하면 이 PVLAN이 하나 이상의 스위치에 걸쳐 있음을 나타냅니다.
스위치 2에서 기본 VLAN 및 보조 VLAN이 생성되었는지 확인
목적
여러 스위치에 걸친 PVLAN 구성이 스위치 2에서 제대로 작동하는지 확인합니다.
실행
명령을 사용합니다.show vlans extensive
user@switch> show vlans extensive
VLAN: __pvlan_pvlan100_xe-0/0/17.0__, Created at: Wed Sep 16 23:19:22 2015
Internal index: 5, Admin State: Enabled, Origin: Static
Private VLAN Mode: Isolated, Primary VLAN: pvlan100
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 1 (Active = 1)
xe-0/0/0.0*, tagged, trunk
xe-0/0/5.0*, tagged, trunk
xe-0/0/17.0*, untagged, access
VLAN: __pvlan_pvlan100_isiv__, Created at: Wed Sep 16 23:19:22 2015
802.1Q Tag: 50, Internal index: 6, Admin State: Enabled, Origin: Static
Private VLAN Mode: Inter-switch-isolated, Primary VLAN: pvlan100
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 0 (Active = 0)
xe-0/0/0.0*, tagged, trunk
xe-0/0/5.0*, tagged, trunk
VLAN: default, Created at: Wed Sep 16 03:03:18 2015
Internal index: 2, Admin State: Enabled, Origin: Static
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 0 (Active = 0), Untagged 0 (Active = 0)
VLAN: finance-comm, Created at: Wed Sep 16 23:19:22 2015
802.1Q Tag: 300, Internal index: 7, Admin State: Enabled, Origin: Static
Private VLAN Mode: Community, Primary VLAN: pvlan100
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 2 (Active = 2)
xe-0/0/0.0*, tagged, trunk
xe-0/0/5.0*, tagged, trunk
xe-0/0/11.0*, untagged, access
xe-0/0/12.0*, untagged, access
VLAN: hr-comm, Created at: Wed Sep 16 23:19:22 2015
802.1Q Tag: 400, Internal index: 8, Admin State: Enabled, Origin: Static
Private VLAN Mode: Community, Primary VLAN: pvlan100
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 2 (Active = 2)
xe-0/0/0.0*, tagged, trunk
xe-0/0/5.0*, tagged, trunk
xe-0/0/13.0*, untagged, access
xe-0/0/14.0*, untagged, access
VLAN: pvlan100, Created at: Wed Sep 16 23:19:22 2015
802.1Q Tag: 100, Internal index: 4, Admin State: Enabled, Origin: Static
Private VLAN Mode: Primary
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 5 (Active = 5)
xe-0/0/0.0*, tagged, trunk
xe-0/0/5.0*, tagged, trunk
xe-0/0/11.0*, untagged, access
xe-0/0/12.0*, untagged, access
xe-0/0/13.0*, untagged, access
xe-0/0/14.0*, untagged, access
xe-0/0/17.0*, untagged, access
Secondary VLANs: Isolated 1, Community 2, Inter-switch-isolated 1
Isolated VLANs :
__pvlan_pvlan100_xe-0/0/17.0__
Community VLANs :
finance-comm
hr-comm
Inter-switch-isolated VLAN :
__pvlan_pvlan100_isiv__의미
출력 결과, 스위치 2에서 PVLAN이 생성되었으며 한 개의 분리된 VLAN, 2개의 커뮤니티 VLAN 및 스위치 간 분리된 VLAN이 포함되어 있음을 보여줍니다. 트렁크 및 스위치 간 분리 필드가 존재하면 이 PVLAN이 하나 이상의 스위치에 걸쳐 있음을 나타냅니다. 이 출력을 스위치 1의 출력과 비교하면 두 스위치 모두 동일한 PVLAN(pvlan100)에 속한다는 것을 알 수 있습니다.
스위치 3에서 기본 VLAN 및 보조 VLAN이 생성되었는지 확인
목적
여러 스위치에 걸친 PVLAN 구성이 스위치 3에서 제대로 작동하는지 확인합니다.
실행
명령을 사용합니다.show vlans extensive
user@switch> show vlans extensive
VLAN: __pvlan_pvlan100_isiv__, Created at: Wed Sep 16 23:22:40 2015
802.1Q Tag: 50, Internal index: 5, Admin State: Enabled, Origin: Static
Private VLAN Mode: Inter-switch-isolated, Primary VLAN: pvlan100
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 0 (Active = 0)
xe-0/0/0.0*, tagged, trunk
xe-0/0/1.0*, tagged, trunk
VLAN: default, Created at: Wed Sep 16 03:03:18 2015
Internal index: 2, Admin State: Enabled, Origin: Static
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 0 (Active = 0), Untagged 0 (Active = 0)
VLAN: finance-comm, Created at: Wed Sep 16 23:22:40 2015
802.1Q Tag: 300, Internal index: 6, Admin State: Enabled, Origin: Static
Private VLAN Mode: Community, Primary VLAN: pvlan100
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 0 (Active = 0)
xe-0/0/0.0*, tagged, trunk
xe-0/0/1.0*, tagged, trunk
VLAN: hr-comm, Created at: Wed Sep 16 23:22:40 2015
802.1Q Tag: 400, Internal index: 7, Admin State: Enabled, Origin: Static
Private VLAN Mode: Community, Primary VLAN: pvlan100
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 0 (Active = 0)
xe-0/0/0.0*, tagged, trunk
xe-0/0/1.0*, tagged, trunk
VLAN: pvlan100, Created at: Wed Sep 16 23:22:40 2015
802.1Q Tag: 100, Internal index: 4, Admin State: Enabled, Origin: Static
Private VLAN Mode: Primary
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 0 (Active = 0)
xe-0/0/0.0*, tagged, trunk
xe-0/0/1.0*, tagged, trunk
Secondary VLANs: Isolated 0, Community 2, Inter-switch-isolated 1
Community VLANs :
finance-comm
hr-comm
Inter-switch-isolated VLAN :
__pvlan_pvlan100_isiv__의미
출력은 PVLAN(pvlan100)이 스위치 3에서 구성되어 있으며 분리된 VLAN, 2개의 커뮤니티 VLAN 및 스위치 간 분리된 VLAN을 포함하지 않음을 보여줍니다. 그러나 스위치 3은 분산 스위치로 작동하므로 출력에는 PVLAN 내의 액세스 인터페이스가 포함되지 않습니다. 동일한 PVLAN에서 스위치 3에서 다른 스위치(스위치 1 및 스위치 2)로 연결하는 pvlan100 트렁크 인터페이스만 보여줍니다.
예를 들면 다음과 같습니다. 여러 EX 시리즈 스위치에 대한 프라이빗 VLAN 구성
보안상의 이유로 브로드캐스트 및 알 수 없는 유니캐스트 트래픽의 흐름을 제한하고 알려진 호스트 간의 통신을 제한하는 것이 유용합니다. EX 시리즈 스위치의 프라이빗 VLAN(PVLAN) 기능을 통해 관리자는 브로드캐스트 도메인을 여러 분리된 브로드캐스트 하위 도메인으로 분할하여 VLAN을 VLAN 내부에 배치할 수 있습니다. PVLAN은 여러 스위치를 포괄할 수 있습니다.
이 예에서는 여러 EX 시리즈 스위치에 대한 PVLAN을 생성하는 방법을 설명합니다. 이 예는 여러 개의 보조 VLAN을 포함하는 하나의 기본 PVLAN을 생성합니다.
PVLAN 인터페이스에서 VoIP(Voice over IP) VLAN 구성은 지원되지 않습니다.
요구 사항
이 예는 다음과 같은 하드웨어 및 소프트웨어 구성 요소를 사용합니다.
EX 시리즈 스위치 3개
Junos OS EX 시리즈 스위치용 릴리스 10.4 이상
PVLAN 구성을 시작하기 전에 필요한 VLAN을 생성하고 구성했는지 확인합니다. EX 시리즈 스위치용 VLAN 구성을 참조하십시오.
개요 및 토폴로지
여러 건물과 VLAN이 있는 대규모 사무실에서 보안상의 이유로 일부 워크그룹이나 다른 엔드포인트를 분리하거나 브로드캐스트 도메인을 분할해야 할 수 있습니다. 이 구성 예는 두 개의 커뮤니티 VLAN(하나는 HR용 및 재무용)을 포함하는 하나의 기본 VLAN과 Interswitch 분리된 VLAN(메일 서버, 백업 서버 및 CVS 서버용)을 포함하는 여러 EX 시리즈 스위치에 걸친 PVLAN을 생성하는 방법을 보여줍니다. PVLAN은 스위치 3개, 액세스 스위치 2개, 분산 스위치 1개로 구성됩니다. PVLAN은 배포 스위치에서 구성된 무차별 포트를 통해 라우터에 연결됩니다.
스위치 1과 스위치 2의 분리된 포트는 동일한 도메인 내에 포함되어 있음에도 불구하고 서로 레이어 2 연결이 없습니다. 프라이빗 VLAN 이해를 참조하십시오.
그림 19 에는 라우터에 연결(무차별 포트를 통해)이 있는 분산 스위치에 연결된 두 개의 액세스 스위치가 있는 이 예의 토폴로지가 표시됩니다.
표 16, 표 17, 표 18 은(는) 예제 토폴로지의 설정을 나열합니다.
| 속성 | 설정 |
|---|---|
VLAN 이름 및 태그 ID |
primary-vlan태그 100 isolation-id태그 50finance-comm태그 300hr-comm태그 400 |
PVLAN 트렁크 인터페이스 |
ge-0/0/0.0, 스위치 1을 스위치 3에 연결 ge-0/0/5.0, 스위치 1을 스위치 2로 연결 |
VLAN의 인터페이스 isolation |
ge-0/0/15.0, 메일 서버 ge-0/0/16.0, 백업 서버 |
VLAN의 인터페이스 finance-com |
ge-0/0/11.0 ge-0/0/12.0 |
VLAN의 인터페이스 hr-comm |
ge-0/0/13.0 ge-0/0/14.0 |
| 속성 | 설정 |
|---|---|
VLAN 이름 및 태그 ID |
primary-vlan태그 100 isolation-id태그 50finance-comm태그 300hr-comm태그 400 |
PVLAN 트렁크 인터페이스 |
ge-0/0/0.0, 스위치 2를 스위치 3에 연결 ge-0/0/5.0, 스위치 2를 스위치 1에 연결 |
VLAN의 인터페이스 isolation |
ge-0/0/17.0,CVS 서버 |
VLAN의 인터페이스 finance-com |
ge-0/0/11.0 ge-0/0/12.0 |
VLAN의 인터페이스 hr-comm |
ge-0/0/13.0 ge-0/0/14.0 |
| 속성 | 설정 |
|---|---|
VLAN 이름 및 태그 ID |
primary-vlan태그 100 isolation-id태그 50finance-comm태그 300hr-comm태그 400 |
PVLAN 트렁크 인터페이스 |
ge-0/0/0.0, 스위치 3을 스위치 1에 연결 ge-0/0/1.0, 스위치 3을 스위치 2에 연결 |
무차별 포트 |
ge-0/0/2은(는) PVLAN을 라우터에 연결합니다. 주:
PVLAN을 다른 스위치 또는 라우터에 연결하는 트렁크 포트를 PVLAN의 멤버로 구성해야 합니다. PVLAN은 이를 무차별 포트로 암묵적으로 구성합니다. |
토폴로지
스위치 1에서 PVLAN 구성
CLI 빠른 구성
여러 스위치에서 PVLAN을 구성할 때 다음과 같은 규칙이 적용됩니다.
기본 VLAN은 태그가 지정된 VLAN이어야 합니다. 기본 VLAN을 먼저 구성하는 것이 좋습니다.
PVLAN 인터페이스에서 VoIP(Voice over IP) VLAN 구성은 지원되지 않습니다.
커뮤니티 VLAN ID를 구성하려면 먼저 기본 VLAN 및 PVLAN 트렁크 포트를 구성해야 합니다.
격리 VLAN ID를 구성하려면 먼저 기본 VLAN 및 PVLAN 트렁크 포트를 구성해야 합니다.
MVRP가 PVLAN 트렁크 포트에 구성되면 보조 VLAN 및 PVLAN 트렁크 포트는 단일 커밋에서 커밋되어야 합니다.
여러 스위치에 걸친 PVLAN을 빠르게 생성하고 구성하려면 다음 명령을 복사하여 스위치 1의 터미널 창에 붙여 넣습니다.
[edit] set vlans finance-comm vlan-id 300 set vlans finance-comm interface ge-0/0/11.0 set vlans finance-comm interface ge-0/0/12.0 set vlans finance-comm primary-vlan pvlan100 set vlans hr-comm vlan-id 400 set vlans hr-comm interface ge-0/0/13.0 set vlans hr-comm interface ge-0/0/14.0 set vlans hr-comm primary-vlan pvlan100 set vlans pvlan100 vlan-id 100 set vlans pvlan100 interface ge-0/0/15.0 set vlans pvlan100 interface ge-0/0/16.0 set vlans pvlan100 interface ge-0/0/0.0 pvlan-trunk set vlans pvlan100 interface ge-0/0/5.0 pvlan-trunk set vlans pvlan100 no-local-switching set vlans pvlan100 isolation-id 50
절차
단계별 절차
표시된 순서대로 아래 구성 단계를 완료합니다. 또한 단일 커밋에서 구성을 커밋하기 전에 모든 단계를 완료합니다. 다음 세 가지 규칙을 위반하여 트리거된 오류 메시지를 방지하는 가장 쉬운 방법입니다.
커뮤니티 VLAN ID를 구성하려면 먼저 기본 VLAN 및 PVLAN 트렁크 포트를 구성해야 합니다.
격리 VLAN ID를 구성하려면 먼저 기본 VLAN 및 PVLAN 트렁크 포트를 구성해야 합니다.
보조 vlan과 PVLAN 트렁크는 단일 커밋에서 커밋되어야 합니다.
여러 스위치에 걸쳐 있는 스위치 1에서 PVLAN을 구성하려면,
기본 VLAN에 대한 VLAN ID를 설정합니다.
[edit vlans] user@switch# set pvlan100 vlan–id 100
이웃 스위치에서 이 VLAN을 연결할 PVLAN 트렁크 인터페이스를 설정합니다.
[edit vlans] user@switch# set pvlan100 interface ge-0/0/0.0 pvlan-trunk user@switch# set pvlan100 interface ge-0/0/5.0 pvlan-trunk
로컬 스위칭이 없도록 기본 VLAN을 설정합니다.
[edit vlans] user@switch# set pvlan100 no-local-switching
스위치를 아우르는 커뮤니티 VLAN의 finance-comm VLAN ID를 설정합니다.
[edit vlans] user@switch# finance-comm vlan-id 300
user@switch# set pvlan100 vlan–id 100
VLAN에 대한 액세스 인터페이스를 finance-comm 구성합니다.
[edit vlans] user@switch# set finance-comm interface interfacege-0/0/11.0
user@switch# set finance-comm interface ge-0/0/12.0
이 보조 커뮤니티 VLAN의 기본 VLAN finance-comm 을 설정합니다.
[edit vlans] user@switch# set vlans finance-comm primary-vlan pvlan100
스위치를 아우르는 HR 커뮤니티 VLAN에 VLAN ID를 설정합니다.
[edit vlans] user@switch# hr-comm vlan-id 400
VLAN에 대한 액세스 인터페이스를 hr-comm 구성합니다.
[edit vlans] user@switch# set hr-comm interface ge-0/0/13.0 user@switch# set hr-comm interface ge-0/0/14.0
이 보조 커뮤니티 VLAN의 기본 VLAN hr-comm 을 설정합니다.
[edit vlans] user@switch# set vlans hr-comm primary-vlan pvlan100
스위치 간 분리 ID를 설정하여 스위치를 아우르는 스위치 간 분리 도메인을 생성합니다.
[edit vlans] user@switch# set pvlan100 isolation-id 50
주:분리된 포트를 구성하려면 이를 기본 VLAN의 멤버 중 하나로 포함하지만 커뮤니티 VLAN 중 하나에 속하는 것으로 구성하지는 않습니다.
결과
구성 결과를 확인합니다.
[edit]
user@switch# show
vlans {
finance-comm {
vlan-id 300;
interface {
ge-0/0/11.0;
ge-0/0/12.0;
}
primary-vlan pvlan100;
}
hr-comm {
vlan-id 400;
interface {
ge-0/0/13.0;
ge-0/0/14.0;
}
primary-vlan pvlan100;
}
pvlan100 {
vlan-id 100;
interface {
ge-0/0/15.0;
ge-0/0/16.0;
ge-0/0/0.0 {
pvlan-trunk;
}
ge-0/0/5.0 {
pvlan-trunk;
}
}
no-local-switching;
isolation-id 50;
}
}
스위치 2에서 PVLAN 구성
CLI 빠른 구성
여러 스위치에 걸친 프라이빗 VLAN을 빠르게 생성하고 구성하려면 다음 명령을 복사하여 스위치 2의 터미널 창에 붙여 넣습니다.
스위치 2의 구성은 스위치 간 분리 도메인의 인터페이스를 제외하고 스위치 1의 구성과 동일합니다. 스위치 2의 경우, 인터페이스는 입니다 ge-0/0/17.0.
[edit] set vlans finance-comm vlan-id 300 set vlans finance-comm interface ge-0/0/11.0 set vlans finance-comm interface ge-0/0/12.0 set vlans finance-comm primary-vlan pvlan100 set vlans hr-comm vlan-id 400 set vlans hr-comm interface ge-0/0/13.0 set vlans hr-comm interface ge-0/0/14.0 set vlans hr-comm primary-vlan pvlan100 set vlans pvlan100 vlan-id 100 set vlans pvlan100 interface ge-0/0/17.0 set vlans pvlan100 interface ge-0/0/0.0 pvlan-trunk set vlans pvlan100 interface ge-0/0/5.0 pvlan-trunk set vlans pvlan100 no-local-switching set vlans pvlan100 isolation-id 50
절차
단계별 절차
여러 스위치를 아우르는 스위치 2에서 PVLAN을 구성하려면 다음을 수행합니다.
스위치를 아우르는 커뮤니티 VLAN의 finance-comm VLAN ID를 설정합니다.
[edit vlans] user@switch# finance-comm vlan-id 300
user@switch# set pvlan100 vlan–id 100
VLAN에 대한 액세스 인터페이스를 finance-comm 구성합니다.
[edit vlans] user@switch# set finance-comm interface ge-0/0/11.0
user@switch# set finance-comm interface ge-0/0/12.0
이 보조 커뮤니티 VLAN의 기본 VLAN finance-comm 을 설정합니다.
[edit vlans] user@switch# set vlans finance-comm primary-vlan pvlan100
스위치를 아우르는 HR 커뮤니티 VLAN에 VLAN ID를 설정합니다.
[edit vlans] user@switch# hr-comm vlan-id 400
VLAN에 대한 액세스 인터페이스를 hr-comm 구성합니다.
[edit vlans] user@switch# set hr-comm interface ge-0/0/13.0 user@switch# set hr-comm interface ge-0/0/14.0
이 보조 커뮤니티 VLAN의 기본 VLAN hr-comm 을 설정합니다.
[edit vlans] user@switch# set vlans hr-comm primary-vlan pvlan100
기본 VLAN에 대한 VLAN ID를 설정합니다.
[edit vlans] user@switch# set pvlan100 vlan–id 100
이웃 스위치에서 이 VLAN을 연결할 PVLAN 트렁크 인터페이스를 설정합니다.
[edit vlans] user@switch# set pvlan100 interface ge-0/0/0.0 pvlan-trunk user@switch# set pvlan100 interface ge-0/0/5.0 pvlan-trunk
로컬 스위칭이 없도록 기본 VLAN을 설정합니다.
[edit vlans] user@switch# set pvlan100 no-local-switching
스위치 간 분리 ID를 설정하여 스위치를 아우르는 스위치 간 분리 도메인을 생성합니다.
[edit vlans] user@switch# set pvlan100 isolation-id 50
주:분리된 포트를 구성하려면 이를 기본 VLAN의 멤버 중 하나로 포함하지만 커뮤니티 VLAN 중 하나에 속하는 것으로 구성하지는 않습니다.
결과
구성 결과를 확인합니다.
[edit]
user@switch# show
vlans {
finance-comm {
vlan-id 300;
interface {
ge-0/0/11.0;
ge-0/0/12.0;
}
primary-vlan pvlan100;
}
hr-comm {
vlan-id 400;
interface {
ge-0/0/13.0;
ge-0/0/14.0;
}
primary-vlan pvlan100;
}
pvlan100 {
vlan-id 100;
interface {
ge-0/0/15.0;
ge-0/0/16.0;
ge-0/0/0.0 {
pvlan-trunk;
}
ge-0/0/5.0 {
pvlan-trunk;
}
ge-0/0/17.0;
}
no-local-switching;
isolation-id 50;
}
}
스위치 3에서 PVLAN 구성
CLI 빠른 구성
스위치 3이 이 PVLAN의 분산 스위치로 작동하도록 빠르게 구성하려면 다음 명령을 복사하여 스위치 3의 터미널 창에 붙여 넣습니다.
인터페이스 ge-0/0/2.0은 PVLAN을 라우터에 연결하는 트렁크 포트입니다.
[edit] set vlans finance-comm vlan-id 300 set vlans finance-comm primary-vlan pvlan100 set vlans hr-comm vlan-id 400 set vlans hr-comm primary-vlan pvlan100 set vlans pvlan100 vlan-id 100 set vlans pvlan100 interface ge-0/0/0.0 pvlan-trunk set vlans pvlan100 interface ge-0/0/1.0 pvlan-trunk set vlans pvlan100 no-local-switching set vlans pvlan100 isolation-id 50
절차
단계별 절차
스위치 3이 이 PVLAN의 배포 스위치로 작동하도록 구성하려면 다음 절차를 따르십시오.
스위치를 아우르는 커뮤니티 VLAN의 finance-comm VLAN ID를 설정합니다.
[edit vlans] user@switch# finance-comm vlan-id 300
[edit vlans] user@switch# set pvlan100 vlan–id 100
이 보조 커뮤니티 VLAN의 기본 VLAN finance-comm을 설정합니다.
[edit vlans] user@switch# set vlans finance-comm primary-vlan pvlan100
스위치를 아우르는 HR 커뮤니티 VLAN에 VLAN ID를 설정합니다.
[edit vlans] user@switch# hr-comm vlan-id 400
이 보조 커뮤니티 VLAN의 기본 VLAN hr-comm을 설정합니다.
[edit vlans] user@switch# set vlans hr-comm primary-vlan pvlan100
기본 VLAN에 대한 VLAN ID를 설정합니다.
[edit vlans] user@switch# set pvlan100 vlan–id 100
이웃 스위치에서 이 VLAN을 연결할 PVLAN 트렁크 인터페이스를 설정합니다.
[edit vlans] user@switch# set pvlan100 interface ge-0/0/0.0 pvlan-trunk user@switch# set pvlan100 interface ge-0/0/5.0 pvlan-trunk
로컬 스위칭이 없도록 기본 VLAN을 설정합니다.
[edit vlans] user@switch# set pvlan100 no-local-switching
스위치 간 분리 ID를 설정하여 스위치를 아우르는 스위치 간 분리 도메인을 생성합니다.
[edit vlans] user@switch# set pvlan100 isolation-id 50
주:분리된 포트를 구성하려면 이를 기본 VLAN의 멤버 중 하나로 포함하지만 커뮤니티 VLAN 중 하나에 속하는 것으로 구성하지는 않습니다.
결과
구성 결과를 확인합니다.
[edit]
user@switch# show
vlans {
finance-comm {
vlan-id 300;
primary-vlan pvlan100;
}
hr-comm {
vlan-id 400;
primary-vlan pvlan100;
}
pvlan100 {
vlan-id 100;
interface {
ge-0/0/0.0 {
pvlan-trunk;
}
ge-0/0/1.0 {
pvlan-trunk;
}
ge-0/0/2.0;
}
no-local-switching;
isolation-id 50;
}
}
확인
구성이 제대로 작동하는지 확인하려면 다음 작업을 수행하십시오.
- 스위치 1에서 기본 VLAN 및 보조 VLAN이 생성되었는지 확인
- 스위치 2에서 기본 VLAN 및 보조 VLAN이 생성되었는지 확인
- 스위치 3에서 기본 VLAN 및 보조 VLAN이 생성되었는지 확인
스위치 1에서 기본 VLAN 및 보조 VLAN이 생성되었는지 확인
목적
여러 스위치에 걸친 PVLAN 구성이 스위치 1에서 제대로 작동하는지 확인합니다.
실행
명령을 사용합니다.show vlans extensive
user@switch> show vlans extensive
VLAN: __pvlan_pvlan100_ge-0/0/15.0__, Created at: Thu Sep 16 23:15:27 2010
Internal index: 5, Admin State: Enabled, Origin: Static
Private VLAN Mode: Isolated, Primary VLAN: pvlan100
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 1 (Active = 1)
ge-0/0/0.0*, tagged, trunk, pvlan-trunk
ge-0/0/5.0*, tagged, trunk, pvlan-trunk
ge-0/0/15.0*, untagged, access
VLAN: __pvlan_pvlan100_ge-0/0/16.0__, Created at: Thu Sep 16 23:15:27 2010
Internal index: 6, Admin State: Enabled, Origin: Static
Private VLAN Mode: Isolated, Primary VLAN: pvlan100
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 1 (Active = 1)
ge-0/0/0.0*, tagged, trunk, pvlan-trunk
ge-0/0/5.0*, tagged, trunk, pvlan-trunk
ge-0/0/16.0*, untagged, access
VLAN: __pvlan_pvlan100_isiv__, Created at: Thu Sep 16 23:15:27 2010
802.1Q Tag: 50, Internal index: 7, Admin State: Enabled, Origin: Static
Private VLAN Mode: Inter-switch-isolated, Primary VLAN: pvlan100
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 0 (Active = 0)
ge-0/0/0.0*, tagged, trunk, pvlan-trunk
ge-0/0/5.0*, tagged, trunk, pvlan-trunk
VLAN: default, Created at: Thu Sep 16 03:03:18 2010
Internal index: 2, Admin State: Enabled, Origin: Static
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 0 (Active = 0), Untagged 0 (Active = 0)
VLAN: finance-comm, Created at: Thu Sep 16 23:15:27 2010
802.1Q Tag: 300, Internal index: 8, Admin State: Enabled, Origin: Static
Private VLAN Mode: Community, Primary VLAN: pvlan100
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 2 (Active = 2)
ge-0/0/0.0*, tagged, trunk, pvlan-trunk
ge-0/0/5.0*, tagged, trunk, pvlan-trunk
ge-0/0/11.0*, untagged, access
ge-0/0/12.0*, untagged, access
VLAN: hr-comm, Created at: Thu Sep 16 23:15:27 2010
802.1Q Tag: 400, Internal index: 9, Admin State: Enabled, Origin: Static
Private VLAN Mode: Community, Primary VLAN: pvlan100
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 2 (Active = 2)
ge-0/0/0.0*, tagged, trunk, pvlan-trunk
ge-0/0/5.0*, tagged, trunk, pvlan-trunk
ge-0/0/13.0*, untagged, access
ge-0/0/14.0*, untagged, access
VLAN: pvlan100, Created at: Thu Sep 16 23:15:27 2010
802.1Q Tag: 100, Internal index: 4, Admin State: Enabled, Origin: Static
Private VLAN Mode: Primary
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 6 (Active = 6)
ge-0/0/0.0*, tagged, trunk, pvlan-trunk
ge-0/0/5.0*, tagged, trunk, pvlan-trunk
ge-0/0/11.0*, untagged, access
ge-0/0/12.0*, untagged, access
ge-0/0/13.0*, untagged, access
ge-0/0/14.0*, untagged, access
ge-0/0/15.0*, untagged, access
ge-0/0/16.0*, untagged, access
Secondary VLANs: Isolated 2, Community 2, Inter-switch-isolated 1
Isolated VLANs :
__pvlan_pvlan100_ge-0/0/15.0__
__pvlan_pvlan100_ge-0/0/16.0__
Community VLANs :
finance-comm
hr-comm
Inter-switch-isolated VLAN :
__pvlan_pvlan100_isiv__의미
출력 결과, 스위치 1에서 PVLAN이 생성되었으며 이 PVLAN에 두 개의 분리된 VLAN, 2개의 커뮤니티 VLAN 및 스위칭 분리된 VLAN이 포함되어 있음을 보여줍니다. 및 Inter-switch-isolated 필드가 pvlan-trunk 존재하면 이 PVLAN이 하나 이상의 스위치에 걸쳐 있음을 나타냅니다.
스위치 2에서 기본 VLAN 및 보조 VLAN이 생성되었는지 확인
목적
여러 스위치에 걸친 PVLAN 구성이 스위치 2에서 제대로 작동하는지 확인합니다.
실행
명령을 사용합니다.show vlans extensive
user@switch> show vlans extensive
VLAN: __pvlan_pvlan100_ge-0/0/17.0__, Created at: Thu Sep 16 23:19:22 2010
Internal index: 5, Admin State: Enabled, Origin: Static
Private VLAN Mode: Isolated, Primary VLAN: pvlan100
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 1 (Active = 1)
ge-0/0/0.0*, tagged, trunk, pvlan-trunk
ge-0/0/5.0*, tagged, trunk, pvlan-trunk
ge-0/0/17.0*, untagged, access
VLAN: __pvlan_pvlan100_isiv__, Created at: Thu Sep 16 23:19:22 2010
802.1Q Tag: 50, Internal index: 6, Admin State: Enabled, Origin: Static
Private VLAN Mode: Inter-switch-isolated, Primary VLAN: pvlan100
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 0 (Active = 0)
ge-0/0/0.0*, tagged, trunk, pvlan-trunk
ge-0/0/5.0*, tagged, trunk, pvlan-trunk
VLAN: default, Created at: Thu Sep 16 03:03:18 2010
Internal index: 2, Admin State: Enabled, Origin: Static
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 0 (Active = 0), Untagged 0 (Active = 0)
VLAN: finance-comm, Created at: Thu Sep 16 23:19:22 2010
802.1Q Tag: 300, Internal index: 7, Admin State: Enabled, Origin: Static
Private VLAN Mode: Community, Primary VLAN: pvlan100
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 2 (Active = 2)
ge-0/0/0.0*, tagged, trunk, pvlan-trunk
ge-0/0/5.0*, tagged, trunk, pvlan-trunk
ge-0/0/11.0*, untagged, access
ge-0/0/12.0*, untagged, access
VLAN: hr-comm, Created at: Thu Sep 16 23:19:22 2010
802.1Q Tag: 400, Internal index: 8, Admin State: Enabled, Origin: Static
Private VLAN Mode: Community, Primary VLAN: pvlan100
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 2 (Active = 2)
ge-0/0/0.0*, tagged, trunk, pvlan-trunk
ge-0/0/5.0*, tagged, trunk, pvlan-trunk
ge-0/0/13.0*, untagged, access
ge-0/0/14.0*, untagged, access
VLAN: pvlan100, Created at: Thu Sep 16 23:19:22 2010
802.1Q Tag: 100, Internal index: 4, Admin State: Enabled, Origin: Static
Private VLAN Mode: Primary
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 5 (Active = 5)
ge-0/0/0.0*, tagged, trunk, pvlan-trunk
ge-0/0/5.0*, tagged, trunk, pvlan-trunk
ge-0/0/11.0*, untagged, access
ge-0/0/12.0*, untagged, access
ge-0/0/13.0*, untagged, access
ge-0/0/14.0*, untagged, access
ge-0/0/17.0*, untagged, access
Secondary VLANs: Isolated 1, Community 2, Inter-switch-isolated 1
Isolated VLANs :
__pvlan_pvlan100_ge-0/0/17.0__
Community VLANs :
finance-comm
hr-comm
Inter-switch-isolated VLAN :
__pvlan_pvlan100_isiv__의미
출력 결과, 스위치 1에서 PVLAN이 생성되었으며 이 PVLAN에 두 개의 분리된 VLAN, 2개의 커뮤니티 VLAN 및 스위칭 분리된 VLAN이 포함되어 있음을 보여줍니다. 및 Inter-switch-isolated 필드가 pvlan-trunk 존재하면 이 PVLAN이 하나 이상의 스위치에 걸쳐 있음을 나타냅니다. 이 출력을 스위치 1의 출력과 비교하면 두 스위치 모두 동일한 PVLAN(pvlan100)에 속한다는 것을 알 수 있습니다.
스위치 3에서 기본 VLAN 및 보조 VLAN이 생성되었는지 확인
목적
여러 스위치에 걸친 PVLAN 구성이 스위치 3에서 제대로 작동하는지 확인합니다.
실행
명령을 사용합니다.show vlans extensive
user@switch> show vlans extensive
VLAN: __pvlan_pvlan100_isiv__, Created at: Thu Sep 16 23:22:40 2010
802.1Q Tag: 50, Internal index: 5, Admin State: Enabled, Origin: Static
Private VLAN Mode: Inter-switch-isolated, Primary VLAN: pvlan100
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 0 (Active = 0)
ge-0/0/0.0*, tagged, trunk, pvlan-trunk
ge-0/0/1.0*, tagged, trunk, pvlan-trunk
VLAN: default, Created at: Thu Sep 16 03:03:18 2010
Internal index: 2, Admin State: Enabled, Origin: Static
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 0 (Active = 0), Untagged 0 (Active = 0)
VLAN: finance-comm, Created at: Thu Sep 16 23:22:40 2010
802.1Q Tag: 300, Internal index: 6, Admin State: Enabled, Origin: Static
Private VLAN Mode: Community, Primary VLAN: pvlan100
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 0 (Active = 0)
ge-0/0/0.0*, tagged, trunk, pvlan-trunk
ge-0/0/1.0*, tagged, trunk, pvlan-trunk
VLAN: hr-comm, Created at: Thu Sep 16 23:22:40 2010
802.1Q Tag: 400, Internal index: 7, Admin State: Enabled, Origin: Static
Private VLAN Mode: Community, Primary VLAN: pvlan100
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 0 (Active = 0)
ge-0/0/0.0*, tagged, trunk, pvlan-trunk
ge-0/0/1.0*, tagged, trunk, pvlan-trunk
VLAN: pvlan100, Created at: Thu Sep 16 23:22:40 2010
802.1Q Tag: 100, Internal index: 4, Admin State: Enabled, Origin: Static
Private VLAN Mode: Primary
Protocol: Port Mode, Mac aging time: 300 seconds
Number of interfaces: Tagged 2 (Active = 2), Untagged 0 (Active = 0)
ge-0/0/0.0*, tagged, trunk, pvlan-trunk
ge-0/0/1.0*, tagged, trunk, pvlan-trunk
Secondary VLANs: Isolated 0, Community 2, Inter-switch-isolated 1
Community VLANs :
finance-comm
hr-comm
Inter-switch-isolated VLAN :
__pvlan_pvlan100_isiv__의미
출력은 PVLAN(pvlan100)이 스위치 3에서 구성되며 두 개의 분리된 VLAN, 2개의 커뮤니티 VLAN 및 스위치 간 분리된 VLAN을 포함하고 있음을 보여줍니다. 그러나 스위치 3은 분산 스위치로 작동하므로 출력에는 PVLAN 내의 액세스 인터페이스가 포함되지 않습니다. 동일한 PVLAN에서 스위치 3에서 다른 스위치(스위치 1 및 스위치 2)로 연결하는 pvlan100 인터페이스만 pvlan-trunk 보여줍니다.
예를 들면 다음과 같습니다. QFX 시리즈 스위치에서 보조 VLAN 트렁크 포트 및 무차별 액세스 포트를 사용한 PVLAN 구성
이 예는 프라이빗 VLAN 구성의 일부로 보조 VLAN 트렁크 포트 및 무차별 액세스 포트를 구성하는 방법을 보여줍니다. 보조 VLAN 트렁크 포트는 보조 VLAN 트래픽을 전달합니다.
이 예에서는 ELS(Enhanced Layer 2 Software) 구성 스타일을 지원하지 않는 스위치에 Junos OS 사용합니다. ELS에 대한 자세한 내용은 Enhanced Layer 2 소프트웨어 CLI 사용을 참조하십시오.
주어진 프라이빗 VLAN의 경우, 보조 VLAN 트렁크 포트는 하나의 보조 VLAN에 대해서만 트래픽을 전송할 수 있습니다. 그러나 보조 VLAN 트렁크 포트는 각 보조 VLAN이 다른 프라이빗(기본) VLAN의 멤버인 한 여러 개의 보조 VLAN에 대한 트래픽을 전송할 수 있습니다. 예를 들어, 보조 VLAN 트렁크 포트는 기본 VLAN pvlan100의 일부인 커뮤니티 VLAN의 트래픽을 전송하고 기본 VLAN pvlan400의 일부인 분리된 VLAN에 대한 트래픽을 전송할 수도 있습니다.
보조 VLAN 트래픽을 전송하도록 트렁크 포트를 구성하려면 단계 12 와 interface 스위치 1의 예시 구성에 표시된 대로 분리된 문과 13 문을 사용합니다.
트래픽이 보조 VLAN 트렁크 포트에서 송신되면 일반적으로 보조 포트가 의 멤버인 기본 VLAN 태그를 전달합니다. 보조 VLAN 트렁크 포트에서 송신되는 트래픽이 보조 VLAN 태그를 유지하려면 extend-secondary-vlan-id 문을 사용합니다.
무차별 액세스 포트는 태그 없는 트래픽을 전송하며 단 하나의 기본 VLAN의 멤버가 될 수 있습니다. 무차별 액세스 포트에서 수신되는 트래픽은 무차별 액세스 포트가 의 멤버인 기본 VLAN의 멤버인 보조 VLAN의 포트로 전달됩니다. 이 트래픽은 보조 VLAN 포트가 트렁크 포트인 경우 보조 VLAN 포트에서 송신할 때 적절한 보조 VLAN 태그를 전달합니다.
액세스 포트가 무차별이 도록 구성하려면 스위치 2에 대한 구성 예제의 단계에 12 표시된 대로 무차별 문을 사용합니다.
트래픽이 보조 VLAN 포트에서 수신되고 무차별 액세스 포트에서 송신되면 트래픽은 송신에 태그가 지정되지 않습니다. 태그가 지정된 트래픽이 무차별 액세스 포트에서 수신되면 트래픽은 폐기됩니다.
요구 사항
이 예는 다음과 같은 하드웨어 및 소프트웨어 구성 요소를 사용합니다.
QFX 디바이스 2개
Junos OS 12.2 이상 QFX 시리즈
개요 및 토폴로지
그림 20 은(는) 이 예에서 사용되는 토폴로지 를 보여줍니다. 스위치 1에는 여러 개의 기본 및 보조 프라이빗 VLAN이 포함되며, 기본 VLAN pvlan100 및 pvlan400의 구성원인 보조 VLAN을 전송하도록 구성된 2개의 보조 VLAN 트렁크 포트도 포함되어 있습니다.
스위치 2에는 동일한 프라이빗 VLAN이 포함됩니다. 이 그림은 무차별 액세스 포트 또는 무차별 트렁크 포트로 구성된 스위치 2의 xe-0/0/0을 보여줍니다. 여기에 포함된 구성 예는 이 포트를 무차별 액세스 포트로 구성합니다.
이 그림은 또한 스위치 1의 보조 VLAN 트렁크 포트에서 수신된 후 트래픽이 흐르는 방법을 보여줍니다.
표 19표 20 두 스위치의 예제 토폴로지 설정을 나열합니다.
| 컴포넌트 | 설명 |
|---|---|
pvlan100, ID 100 |
기본 VLAN |
pvlan400, ID 400 |
기본 VLAN |
comm300, ID 300 |
커뮤니티 VLAN, pvlan100의 구성원 |
comm600, ID 600 |
커뮤니티 VLAN, pvlan400의 구성원 |
isolation-vlan-id 200 |
분리된 VLAN을 위한 VLAN ID, pvlan100의 멤버 |
isolation–vlan-id 500 |
분리된 VLAN을 위한 VLAN ID, pvlan400의 멤버 |
xe-0/0/0.0 |
기본 VLAN pvlan100 및 pvlan400에 대한 보조 VLAN 트렁크 포트 |
xe-0/0/1.0 |
기본 VLAN pvlan100 및 pvlan400용 PVLAN 트렁크 포트 |
xe-0/0/2.0 |
pvlan100을 위한 분리형 액세스 포트 |
xe-0/0/3.0 |
comm300을 위한 커뮤니티 액세스 포트 |
xe-0/0/5.0 |
pvlan400을 위한 분리형 액세스 포트 |
xe-0/0/6.0 |
comm600을 위한 커뮤니티 트렁크 포트 |
| 컴포넌트 | 설명 |
|---|---|
pvlan100, ID 100 |
기본 VLAN |
pvlan400, ID 400 |
기본 VLAN |
comm300, ID 300 |
커뮤니티 VLAN, pvlan100의 구성원 |
comm600, ID 600 |
커뮤니티 VLAN, pvlan400의 구성원 |
isolation-vlan-id 200 |
분리된 VLAN을 위한 VLAN ID, pvlan100의 멤버 |
isolation–vlan-id 500 |
분리된 VLAN을 위한 VLAN ID, pvlan400의 멤버 |
xe-0/0/0.0 |
기본 VLAN pvlan100에 대한 무차별 액세스 포트 |
xe-0/0/1.0 |
기본 VLAN pvlan100 및 pvlan400용 PVLAN 트렁크 포트 |
xe-0/0/2.0 |
분리된 VLAN, pvlan100의 멤버를 위한 보조 트렁크 포트 |
xe-0/0/3.0 |
comm300을 위한 커뮤니티 액세스 포트 |
xe-0/0/5.0 |
pvlan400을 위한 분리형 액세스 포트 |
xe-0/0/6.0 |
comm600을 위한 커뮤니티 액세스 포트 |
스위치 1에서 PVLAN 구성
CLI 빠른 구성
스위치 1에서 PVLAN을 빠르게 생성하고 구성하려면 다음 명령을 복사하여 스위치 터미널 창에 붙여 넣습니다.
[edit] set interfaces xe-0/0/0 unit 0 family ethernet-switching port-mode trunk set interfaces xe-0/0/1 unit 0 family ethernet-switching port-mode trunk set interfaces xe-0/0/1 unit 0 family ethernet-switching vlan members pvlan100 set interfacesxe-0/0/1 unit 0 family ethernet-switching vlan members pvlan400 set interfaces xe-0/0/2 unit 0 family ethernet-switching port-mode access set interfaces xe-0/0/3 unit 0 family ethernet-switching port-mode access set interfaces xe-0/0/5 unit 0 family ethernet-switching port-mode access set interfaces xe-0/0/6 unit 0 family ethernet-switching port-mode trunk set vlans pvlan100 vlan-id 100 set vlans pvlan400 vlan-id 400 set vlans pvlan100 pvlan set vlans pvlan400 pvlan set vlans pvlan100 interface xe-0/0/1.0 pvlan-trunk set vlans pvlan400 interface xe-0/0/1.0 pvlan-trunk set vlans comm300 vlan-id 300 set vlans comm300 primary-vlan pvlan100 set vlans comm300 interface xe-0/0/3.0 set vlans comm600 vlan-id 600 set vlans comm600 primary-vlan pvlan400 set vlans comm600 interface xe-0/0/6.0 set vlans pvlan100 pvlan isolation-vlan-id 200 set vlans pvlan400 pvlan isolation-vlan-id 500 set vlans pvlan100 interface xe-0/0/0.0 isolated set vlans pvlan400 interface xe-0/0/0.0 isolated set vlans comm600 interface xe-0/0/0.0 set vlans pvlan100 interface xe-0/0/2.0 isolated set vlans pvlan400 interface xe-0/0/5.0 isolated
절차
단계별 절차
프라이빗 VLAN 및 보조 VLAN 트렁크 포트를 구성하려면 다음을 수행합니다.
인터페이스 및 포트 모드를 구성합니다.
[edit interfaces] user@switch# set xe-0/0/0 unit 0 family ethernet-switching port-mode trunk user@switch# set xe-0/0/1 unit 0 family ethernet-switching port-mode trunk user@switch# set xe-0/0/1 unit 0 family ethernet-switching vlan members pvlan100 user@switch# set xe-0/0/1 unit 0 family ethernet-switching vlan members pvlan400 user@switch# set xe-0/0/2 unit 0 family ethernet-switching port-mode access user@switch# set xe-0/0/3 unit 0 family ethernet-switching port-mode access user@switch# set xe-0/0/5 unit 0 family ethernet-switching port-mode access user@switch# set xe-0/0/6 unit 0 family ethernet-switching port-mode access
기본 VLAN을 생성합니다.
[edit vlans] user@switch# set pvlan100 vlan-id 100 user@switch# set pvlan400 vlan-id 400
주:기본 VLAN은 디바이스 하나에만 존재하더라도 항상 태그가 지정된 VLAN이어야 합니다.
기본 VLAN을 프라이빗으로 구성합니다.
[edit vlans] user@switch# set pvlan100 pvlan user@switch# set pvlan400 pvlan
스위치 간에 프라이빗 VLAN 트래픽을 전달하도록 PVLAN 트렁크 포트를 구성합니다.
[edit vlans] user@switch# set pvlan100 interface xe-0/0/1.0 pvlan-trunk user@switch# set pvlan400 interface xe-0/0/1.0 pvlan-trunk
VLAN ID 300으로 보조 VLAN comm300을 생성합니다.
[edit vlans] user@switch# set comm300 vlan-id 300
comm300에 대한 기본 VLAN을 구성합니다.
[edit vlans] user@switch# set comm300 primary-vlan pvlan100
comm300의 인터페이스를 구성합니다.
[edit vlans] user@switch# set comm300 interface xe-0/0/3.0
VLAN ID 600을 사용하여 보조 VLAN comm600을 생성합니다.
[edit vlans] user@switch# set comm600 vlan-id 600
comm600에 대한 기본 VLAN을 구성합니다.
[edit vlans] user@switch# set comm600 primary-vlan pvlan400
comm600의 인터페이스를 구성합니다.
[edit vlans] user@switch# set comm600 interface xe-0/0/6.0
스위치 간 분리된 VLAN을 구성합니다.
[edit vlans] user@switch# set pvlan100 pvlan isolation-vlan-id 200 user@switch# set pvlan400 pvlan isolation-vlan-id 500
주:분리된 VLAN을 전달하도록 보조 VLAN 트렁크 포트를 구성할 때, isolation-vlan-id도 구성해야 합니다. 분리된 VLAN이 하나의 스위치에만 존재하는 경우에도 마찬가지입니다.
트렁크 포트 xe-0/0/0을 활성화하여 기본 VLAN에 대한 보조 VLAN을 전송할 수 있습니다.
[edit vlans] user@switch# set pvlan100 interface xe-0/0/0.0 isolated user@switch# set pvlan400 interface xe-0/0/0.0 isolated
comm600(Pvlan400의 구성원)을 전달하도록 트렁크 포트 xe-0/0/0을 구성합니다.
[edit vlans] user@switch# set comm600 interface xe-0/0/0.0
주:xe-0/0/0을 명시적으로 구성하여 분리된 VLAN 트래픽(태그 200 및 500)을 전송할 필요는 없습니다. xe-0/0/0.0을 포함한 Pvlan100 및 pvlan400의 모든 분리된 포트는 구성
isolation-vlan-id 200및isolation-vlan-id 500구성할 때 생성된 분리된 VLAN에 자동으로 포함되기 때문입니다.분리할 xe-0/0/2 및 xe-0/0/6을 구성합니다.
[edit vlans] user@switch# set pvlan100 interface xe-0/0/2.0 isolated user@switch# set pvlan400 interface xe-0/0/5.0 isolated
결과
스위치 1에서 구성 결과를 확인합니다.
[edit]
user@switch# show
interfaces {
xe-0/0/0 {
unit 0 {
family ethernet-switching {
port-mode trunk;
vlan {
members pvlan100;
members pvlan400;
}
}
}
}
xe-0/0/1 {
unit 0 {
family ethernet-switching {
port-mode trunk;
vlan {
members pvlan100;
members pvlan400;
}
}
}
}
xe-0/0/2 {
unit 0 {
family ethernet-switching {
port-mode access;
}
}
}
xe-0/0/3 {
unit 0 {
family ethernet-switching {
port-mode access;
}
}
}
xe-0/0/5 {
unit 0 {
family ethernet-switching {
port-mode access;
}
}
}
xe-0/0/6 {
unit 0 {
family ethernet-switching {
port-mode trunk;
}
}
}
}
vlans {
comm300 {
vlan-id 300;
interface {
xe-0/0/3.0;
}
primary-vlan pvlan100;
}
comm600 {
vlan-id 600;
interface {
xe-0/0/6.0;
}
primary-vlan pvlan400;
}
pvlan100 {
vlan-id 100;
interface {
xe-0/0/0.0;
xe-0/0/2.0;
xe-0/0/3.0;
xe-0/0/1.0 {
pvlan-trunk;
}
}
no-local-switching;
isolation-id 200;
}
pvlan400 {
vlan-id 400;
interface {
xe-0/0/0.0;
xe-0/0/5.0;
xe-0/0/6.0;
xe-0/0/1.0 {
pvlan-trunk;
}
}
no-local-switching;
isolation-id 500;
}
}
스위치 2에서 PVLAN 구성
스위치 2의 구성은 스위치 1의 구성과 거의 동일합니다. 가장 중요한 차이점은 스위치 2의 xe-0/0/0이 쇼와 같이 무차별 트렁크 포트 또는 무차별 액세스 포트로 그림 20 구성된다는 것입니다. 다음 구성에서 xe-0/0/0은 기본 VLAN pvlan100에 대한 무차별 액세스 포트로 구성됩니다.
트래픽이 VLAN 지원 포트에서 수신되고 무차별 액세스 포트에서 송신되는 경우, VLAN 태그는 송신에서 삭제되고 해당 시점에서 트래픽에 태그가 지정되지 않습니다. 예를 들어, 스위치 1에서 xe-0/0/0.0에 구성된 보조 VLAN 트렁크 포트의 comm600 수신 트래픽은 보조 VLAN을 통해 전달될 때 태그 600을 전달합니다. 스위치 2에서 xe-0/0/0.0에서 송신되면 이 예와 같이 xe-0/0/0.0을 무차별 액세스 포트로 구성하는 경우 태그가 지정되지 않습니다. xe-0/0/0.0을 무차별 트렁크 포트(포트 모드 트렁크)로 구성하는 경우, comm600의 트래픽은 송신 시 기본 VLAN 태그(400)를 전달합니다.
CLI 빠른 구성
스위치 2에서 PVLAN을 빠르게 생성하고 구성하려면 다음 명령을 복사하여 스위치 터미널 창에 붙여 넣습니다.
[edit] set interfaces xe-0/0/0 unit 0 family ethernet-switching port-mode access set interfaces xe-0/0/1 unit 0 family ethernet-switching port-mode trunk set interfaces xe-0/0/1 unit 0 family ethernet-switching vlan members pvlan100 set interfaces xe-0/0/1 unit 0 family ethernet-switching vlan members pvlan400 set interfaces xe-0/0/2 unit 0 family ethernet-switching port-mode trunk set interfaces xe-0/0/3 unit 0 family ethernet-switching port-mode access set interfaces xe-0/0/5 unit 0 family ethernet-switching port-mode access set interfaces xe-0/0/6 unit 0 family ethernet-switching port-mode access set vlans pvlan100 vlan-id 100 set vlans pvlan400 vlan-id 400 set vlans pvlan100 pvlan set vlans pvlan400 pvlan set vlans pvlan100 interface xe-0/0/1.0 pvlan-trunk set vlans pvlan400 interface xe-0/0/1.0 pvlan-trunk set vlans comm300 vlan-id 300 set vlans comm300 primary-vlan pvlan100 set vlans comm300 interface xe-0/0/3.0 set vlans comm600 vlan-id 600 set vlans comm600 primary-vlan pvlan400 set vlans comm600 interface xe-0/0/6.0 set vlans pvlan100 pvlan isolation-vlan-id 200 set vlans pvlan400 pvlan isolation-vlan-id 500 set vlans pvlan100 interface xe-0/0/0.0 promiscuous set vlans pvlan100 interface xe-0/0/2.0 isolated set vlans pvlan400 interface xe-0/0/5.0 isolated
절차
단계별 절차
프라이빗 VLAN 및 보조 VLAN 트렁크 포트를 구성하려면 다음을 수행합니다.
인터페이스 및 포트 모드를 구성합니다.
[edit interfaces] user@switch# set xe-0/0/0 unit 0 family ethernet-switching port-mode access
user@switch# set xe-0/0/1 unit 0 family ethernet-switching port-mode trunk user@switch# set xe-0/0/1 unit 0 family ethernet-switching vlan members pvlan100 user@switch# set xe-0/0/1 unit 0 family ethernet-switching vlan members pvlan400 user@switch# set xe-0/0/2 unit 0 family ethernet-switching port-mode trunk user@switch# set xe-0/0/3 unit 0 family ethernet-switching port-mode access user@switch# set xe-0/0/5 unit 0 family ethernet-switching port-mode access user@switch# set xe-0/0/6 unit 0 family ethernet-switching port-mode access
기본 VLAN을 생성합니다.
[edit vlans] user@switch# set pvlan100 vlan-id 100 user@switch# set pvlan400 vlan-id 400
기본 VLAN을 프라이빗으로 구성합니다.
[edit vlans] user@switch# set pvlan100 pvlan user@switch# set pvlan400 pvlan
스위치 간에 프라이빗 VLAN 트래픽을 전달하도록 PVLAN 트렁크 포트를 구성합니다.
[edit vlans] user@switch# set pvlan100 interface xe-0/0/1.0 pvlan-trunk user@switch# set pvlan400 interface xe-0/0/1.0 pvlan-trunk
VLAN ID 300으로 보조 VLAN comm300을 생성합니다.
[edit vlans] user@switch# set comm300 vlan-id 300
comm300에 대한 기본 VLAN을 구성합니다.
[edit vlans] user@switch# set comm300 primary-vlan pvlan100
comm300의 인터페이스를 구성합니다.
[edit vlans] user@switch# set comm300 interface xe-0/0/3.0
VLAN ID 600을 사용하여 보조 VLAN comm600을 생성합니다.
[edit vlans] user@switch# set comm600 vlan-id 600
comm600에 대한 기본 VLAN을 구성합니다.
[edit vlans] user@switch# set comm600 primary-vlan pvlan400
comm600의 인터페이스를 구성합니다.
[edit vlans] user@switch# set comm600 interface xe-0/0/6.0
-
스위치 간 분리된 VLAN을 구성합니다.
[edit vlans] user@switch# set pvlan100 pvlan isolation-vlan-id 200 user@switch# set pvlan400 pvlan isolation-vlan-id 500
pvlan100에 대해 무차별적이 도록 액세스 포트 xe-0/0/0을 구성합니다.
[edit vlans] user@switch# set pvlan100 interface xe-0/0/0.0 promiscuous
주:무차별 액세스 포트는 하나의 기본 VLAN 중 하나일 수 있습니다.
분리할 xe-0/0/2 및 xe-0/0/6을 구성합니다.
[edit vlans] user@switch# set pvlan100 interface xe-0/0/2.0 isolated user@switch# set pvlan400 interface xe-0/0/5.0 isolated
결과
스위치 2에서 구성 결과를 확인합니다.
[edit]
user@switch# show
interfaces {
xe-0/0/0 {
unit 0 {
family ethernet-switching {
port-mode access;
vlan {
members pvlan100;
}
}
}
}
xe-0/0/1 {
unit 0 {
family ethernet-switching {
port-mode trunk;
vlan {
members pvlan100;
members pvlan400;
}
}
}
}
xe-0/0/2 {
unit 0 {
family ethernet-switching {
port-mode trunk;
}
}
}
xe-0/0/3 {
unit 0 {
family ethernet-switching {
port-mode access;
}
}
}
xe-0/0/5 {
unit 0 {
family ethernet-switching {
port-mode access;
}
}
}
xe-0/0/6 {
unit 0 {
family ethernet-switching {
port-mode access;
}
}
}
vlans {
comm300 {
vlan-id 300;
interface {
xe-0/0/3.0;
}
primary-vlan pvlan100;
}
comm600 {
vlan-id 600;
interface {
xe-0/0/6.0;
}
primary-vlan pvlan400;
}
pvlan100 {
vlan-id 100;
interface {
xe-0/0/0.0;
xe-0/0/2.0;
xe-0/0/3.0;
xe-0/0/1.0 {
pvlan-trunk;
}
}
no-local-switching;
isolation-id 200;
}
pvlan400 {
vlan-id 400;
interface {
xe-0/0/5.0;
xe-0/0/6.0;
xe-0/0/1.0 {
pvlan-trunk;
}
}
no-local-switching;
isolation-id 500;
}
}
확인
구성이 제대로 작동하는지 확인하려면 다음 작업을 수행하십시오.
프라이빗 VLAN 및 보조 VLAN이 생성되었는지 확인
목적
스위치 1에서 기본 VLAN 및 보조 VLAN이 올바르게 생성되었는지 확인합니다.
실행
명령을 사용합니다.show vlans
user@switch> show vlans private-vlan Name Role Tag Interfaces pvlan100 Primary 100 xe-0/0/0.0, xe-0/0/1.0, xe-0/0/2.0, xe-0/0/3.0 __iso_pvlan100__ Isolated 200 xe-0/0/2.0 comm300 Community 300 xe-0/0/3.0 pvlan400 Primary 400 xe-0/0/0.0, xe-0/0/1.0, xe-0/0/5.0, xe-0/0/6.0 __iso_pvlan400__ Isolated 500 xe-0/0/5.0 comm600 Community 600 xe-0/0/6.0
의미
출력은 프라이빗 VLAN이 생성되었고 연결된 인터페이스 및 보조 VLAN을 식별한다는 것을 보여줍니다.
이더넷 스위칭 테이블 항목 확인
목적
이더넷 스위칭 테이블 항목이 기본 VLAN pvlan100에 대해 생성되었는지 확인합니다.
실행
pvlan100에 대한 이더넷 스위칭 테이블 항목을 표시합니다.
user@switch> show ethernet-switching table vlan pvlan100 private-vlan Ethernet-switching table: 0 unicast entries pvlan100 * Flood - All-members pvlan100 00:10:94:00:00:02 Learn xe-0/0/2.0 __iso_pvlan100__ * Flood - All-members __iso_pvlan100__ 00:10:94:00:00:02 Replicated - xe-0/0/2.0
프라이빗 VLAN이 스위치에서 작동하는지 확인
목적
프라이빗 VLAN(PVLAN)을 생성하고 구성한 후, 해당 VLAN이 제대로 설정되었는지 확인합니다.
실행
1차 및 2차 VLAN 구성을 성공적으로 생성했는지 확인하기 위해 다음을 수행합니다.
단일 스위치의 PVLAN의 경우 명령을 사용합니다
show configuration vlans.user@switch> show configuration vlans community1 { interface { interface a; interface b; } primary-vlan pvlan; } community2 { interface { interface d; interface e; } primary-vlan pvlan; } pvlan { vlan-id 1000; interface { isolated1; isolated2; trunk1; trunk2; } no-local-switching; }여러 스위치에 걸친 PVLAN의 show vlans
extensive경우 명령을 사용합니다.user@switch> show vlans extensive VLAN: COM1, Created at: Tue May 11 18:16:05 2010 802.1Q Tag: 100, Internal index: 3, Admin State: Enabled, Origin: Static Private VLAN Mode: Community, Primary VLAN: primary Protocol: Port Mode, Mac aging time: 300 seconds Number of interfaces: Tagged 3 (Active = 3), Untagged 1 (Active = 1) ge-0/0/20.0*, tagged, trunk ge-0/0/22.0*, tagged, trunk, pvlan-trunk ge-0/0/23.0*, tagged, trunk, pvlan-trunk ge-0/0/7.0*, untagged, access VLAN: __pvlan_primary_ge-0/0/0.0__, Created at: Tue May 11 18:16:05 2010 Internal index: 5, Admin State: Enabled, Origin: Static Private VLAN Mode: Isolated, Primary VLAN: primary Protocol: Port Mode, Mac aging time: 300 seconds Number of interfaces: Tagged 3 (Active = 3), Untagged 1 (Active = 1) ge-0/0/20.0*, tagged, trunk ge-0/0/22.0*, tagged, trunk, pvlan-trunk ge-0/0/23.0*, tagged, trunk, pvlan-trunk ge-0/0/0.0*, untagged, access VLAN: __pvlan_primary_ge-0/0/2.0__, Created at: Tue May 11 18:16:05 2010 Internal index: 6, Admin State: Enabled, Origin: Static Private VLAN Mode: Isolated, Primary VLAN: primary Protocol: Port Mode, Mac aging time: 300 seconds Number of interfaces: Tagged 3 (Active = 3), Untagged 1 (Active = 0) ge-0/0/20.0*, tagged, trunk ge-0/0/22.0*, tagged, trunk, pvlan-trunk ge-0/0/23.0*, tagged, trunk, pvlan-trunk ge-0/0/2.0, untagged, access VLAN: __pvlan_primary_isiv__, Created at: Tue May 11 18:16:05 2010 802.1Q Tag: 50, Internal index: 7, Admin State: Enabled, Origin: Static Private VLAN Mode: Inter-switch-isolated, Primary VLAN: primary Protocol: Port Mode, Mac aging time: 300 seconds Number of interfaces: Tagged 3 (Active = 3), Untagged 0 (Active = 0) ge-0/0/20.0*, tagged, trunk ge-0/0/22.0*, tagged, trunk, pvlan-trunk ge-0/0/23.0*, tagged, trunk, pvlan-trunk VLAN: community2, Created at: Tue May 11 18:16:05 2010 802.1Q Tag: 20, Internal index: 8, Admin State: Enabled, Origin: Static Private VLAN Mode: Community, Primary VLAN: primary Protocol: Port Mode, Mac aging time: 300 seconds Number of interfaces: Tagged 3 (Active = 3), Untagged 2 (Active = 2) ge-0/0/20.0*, tagged, trunk ge-0/0/22.0*, tagged, trunk, pvlan-trunk ge-0/0/23.0*, tagged, trunk, pvlan-trunk ge-0/0/1.0*, untagged, access ge-1/0/6.0*, untagged, access VLAN: primary, Created at: Tue May 11 18:16:05 2010 802.1Q Tag: 10, Internal index: 2, Admin State: Enabled, Origin: Static Private VLAN Mode: Primary Protocol: Port Mode, Mac aging time: 300 seconds Number of interfaces: Tagged 3 (Active = 3), Untagged 5 (Active = 4) ge-0/0/20.0*, tagged, trunk ge-0/0/22.0*, tagged, trunk, pvlan-trunk ge-0/0/23.0*, tagged, trunk, pvlan-trunk ge-0/0/0.0*, untagged, access ge-0/0/1.0*, untagged, access ge-0/0/2.0, untagged, access ge-0/0/7.0*, untagged, access ge-1/0/6.0*, untagged, access Secondary VLANs: Isolated 2, Community 2, Inter-switch-isolated 1 Isolated VLANs : __pvlan_primary_ge-0/0/0.0__ __pvlan_primary_ge-0/0/2.0__ Community VLANs : COM1 community2 Inter-switch-isolated VLAN : __pvlan_primary_isiv__
명령을 사용하여 단일 스위치에서
show vlansextensivePVLAN에 대한 VLAN 정보 및 링크 상태를 보거나 여러 스위치에 걸친 PVLAN을 볼 수 있습니다.단일 스위치의 PVLAN의 경우:
user@switch> show vlans pvlan extensive VLAN: pvlan, Created at: time 802.1Q Tag: vlan-id, Internal index: index-number, Admin State: Enabled, Origin: Static Private VLAN Mode: Primary Protocol: Port Mode Number of interfaces: Tagged 2 (Active = 0), Untagged 6 (Active = 0) trunk1, tagged, trunk interface a, untagged, access interface b, untagged, access interface c, untagged, access interface d, untagged, access interface e, untagged, access interface f, untagged, access trunk2, tagged, trunk Secondary VLANs: Isolated 2, Community 2 Isolated VLANs : __pvlan_pvlan_isolated1__ __pvlan_pvlan_isolated2__ Community VLANs : community1 community2여러 스위치에 걸친 PVLAN의 경우:
user@switch> show vlans extensive VLAN: COM1, Created at: Tue May 11 18:16:05 2010 802.1Q Tag: 100, Internal index: 3, Admin State: Enabled, Origin: Static Private VLAN Mode: Community, Primary VLAN: primary Protocol: Port Mode, Mac aging time: 300 seconds Number of interfaces: Tagged 3 (Active = 3), Untagged 1 (Active = 1) ge-0/0/20.0*, tagged, trunk ge-0/0/22.0*, tagged, trunk, pvlan-trunk ge-0/0/23.0*, tagged, trunk, pvlan-trunk ge-0/0/7.0*, untagged, access VLAN: __pvlan_primary_ge-0/0/0.0__, Created at: Tue May 11 18:16:05 2010 Internal index: 5, Admin State: Enabled, Origin: Static Private VLAN Mode: Isolated, Primary VLAN: primary Protocol: Port Mode, Mac aging time: 300 seconds Number of interfaces: Tagged 3 (Active = 3), Untagged 1 (Active = 1) ge-0/0/20.0*, tagged, trunk ge-0/0/22.0*, tagged, trunk, pvlan-trunk ge-0/0/23.0*, tagged, trunk, pvlan-trunk ge-0/0/0.0*, untagged, access VLAN: __pvlan_primary_ge-0/0/2.0__, Created at: Tue May 11 18:16:05 2010 Internal index: 6, Admin State: Enabled, Origin: Static Private VLAN Mode: Isolated, Primary VLAN: primary Protocol: Port Mode, Mac aging time: 300 seconds Number of interfaces: Tagged 3 (Active = 3), Untagged 1 (Active = 0) ge-0/0/20.0*, tagged, trunk ge-0/0/22.0*, tagged, trunk, pvlan-trunk ge-0/0/23.0*, tagged, trunk, pvlan-trunk ge-0/0/2.0, untagged, access VLAN: __pvlan_primary_isiv__, Created at: Tue May 11 18:16:05 2010 802.1Q Tag: 50, Internal index: 7, Admin State: Enabled, Origin: Static Private VLAN Mode: Inter-switch-isolated, Primary VLAN: primary Protocol: Port Mode, Mac aging time: 300 seconds Number of interfaces: Tagged 3 (Active = 3), Untagged 0 (Active = 0) ge-0/0/20.0*, tagged, trunk ge-0/0/22.0*, tagged, trunk, pvlan-trunk ge-0/0/23.0*, tagged, trunk, pvlan-trunk VLAN: community2, Created at: Tue May 11 18:16:05 2010 802.1Q Tag: 20, Internal index: 8, Admin State: Enabled, Origin: Static Private VLAN Mode: Community, Primary VLAN: primary Protocol: Port Mode, Mac aging time: 300 seconds Number of interfaces: Tagged 3 (Active = 3), Untagged 2 (Active = 2) ge-0/0/20.0*, tagged, trunk ge-0/0/22.0*, tagged, trunk, pvlan-trunk ge-0/0/23.0*, tagged, trunk, pvlan-trunk ge-0/0/1.0*, untagged, access ge-1/0/6.0*, untagged, access VLAN: primary, Created at: Tue May 11 18:16:05 2010 802.1Q Tag: 10, Internal index: 2, Admin State: Enabled, Origin: Static Private VLAN Mode: Primary Protocol: Port Mode, Mac aging time: 300 seconds Number of interfaces: Tagged 3 (Active = 3), Untagged 5 (Active = 4) ge-0/0/20.0*, tagged, trunk ge-0/0/22.0*, tagged, trunk, pvlan-trunk ge-0/0/23.0*, tagged, trunk, pvlan-trunk ge-0/0/0.0*, untagged, access ge-0/0/1.0*, untagged, access ge-0/0/2.0, untagged, access ge-0/0/7.0*, untagged, access ge-1/0/6.0*, untagged, access Secondary VLANs: Isolated 2, Community 2, Inter-switch-isolated 1 Isolated VLANs : __pvlan_primary_ge-0/0/0.0__ __pvlan_primary_ge-0/0/2.0__ Community VLANs : COM1 community2 Inter-switch-isolated VLAN : __pvlan_primary_isiv__
show ethernet-switching table명령을 사용하여 VLAN에서 MAC 학습에 대한 로그를 볼 수 있습니다.user@switch> show ethernet-switching table Ethernet-switching table: 8 entries, 1 learned VLAN MAC address Type Age Interfaces default * Flood - All-members pvlan * Flood - All-members pvlan MAC1 Replicated - interface a pvlan MAC2 Replicated - interface c pvlan MAC3 Replicated - isolated2 pvlan MAC4 Learn 0 trunk1 __pvlan_pvlan_isolated1__ * Flood - All-members __pvlan_pvlan_isolated1__ MAC4 Replicated - trunk1 __pvlan_pvlan_isolated2__ * Flood - All-members __pvlan_pvlan_isolated2__ MAC3 Learn 0 isolated2 __pvlan_pvlan_isolated2__ MAC4 Replicated - trunk1 community1 * Flood - All-members community1 MAC1 Learn 0 interface a community1 MAC4 Replicated - trunk1 community2 * Flood - All-members community2 MAC2 Learn 0 interface c community2 MAC4 Replicated - trunk1
여러 스위치에 걸쳐 PVLAN을 구성한 경우, 모든 스위치에서 동일한 명령을 사용하여 해당 스위치에서 MAC 학습 로그를 확인할 수 있습니다.
의미
단일 스위치의 PVLAN에 대한 출력 디스플레이에서 기본 VLAN에 두 개의 커뮤니티 도메인(community1 및) 분리된 포트 2개와 community2트렁크 포트 2개가 포함되어 있음을 알 수 있습니다. 단일 스위치의 PVLAN에는 기본 VLAN에 대한 태그(1000)가 하나만 있습니다.
여러 스위치를 아우르는 PVLAN에는 여러 태그가 포함되어 있습니다.
커뮤니티 도메인 COM1 은 태그 100으로 식별됩니다.
커뮤니티 도메인 community2 은 태그 20으로 식별됩니다.
스위치 간 분리 도메인은 태그 50로 식별됩니다.
기본 VLAN primary 은 태그 10으로 식별됩니다.
또한 여러 스위치를 아우르는 PVLAN의 경우 트렁크 인터페이스가 로 pvlan-trunk식별됩니다.
QFX 스위치의 프라이빗 VLAN 문제 해결
프라이빗 VLAN 구성의 문제를 해결하려면 다음 정보를 사용합니다.
프라이빗 VLAN의 제한 사항
프라이빗 VLAN 구성에는 다음과 같은 제약 조건이 적용됩니다.
IGMP 스누핑은 프라이빗 VLAN에서 지원되지 않습니다.
라우팅된 VLAN 인터페이스는 프라이빗 VLAN에서 지원되지 않습니다.
동일한 기본 VLAN에서 보조 VLAN 간의 라우팅은 지원되지 않습니다.
기본 VLAN을 보조 VLAN으로 변경하려면 먼저 기본 VLAN으로 변경하고 변경을 커밋해야 합니다. 예를 들어, 다음 절차를 따릅니다.
기본 VLAN을 일반 VLAN으로 변경합니다.
구성을 커밋합니다.
일반 VLAN을 보조 VLAN으로 변경합니다.
구성을 커밋합니다.
보조 VLAN을 기본 VLAN으로 변경하려면 동일한 커밋 시퀀스를 따릅니다. 즉, 보조 VLAN을 정상적인 VLAN으로 만들고 해당 변경을 커밋한 다음 일반 VLAN을 기본 VLAN으로 변경합니다.
프라이빗 VLAN을 통한 포워딩
문제
설명
분리된 VLAN 또는 커뮤니티 VLAN 태그가 지정된 트래픽이 PVLAN 트렁크 포트에서 수신되면 MAC 주소는 기본 VLAN에서 학습됩니다. 즉, show ethernet-switching table 명령의 출력은 MAC 주소가 기본 VLAN에서 학습되어 보조 VLAN으로 복제된다는 것을 보여줍니다. 이러한 동작은 포워딩 결정에 영향을 미치지 않습니다.
보조 VLAN 태그가 있는 패킷이 무차별 포트에서 수신되면 허용되고 전달됩니다.
패킷이 PVLAN 트렁크 포트에서 수신되고 아래에 나열된 두 가지 조건을 모두 충족하면 누락됩니다.
패킷에는 커뮤니티 VLAN 태그가 있습니다.
패킷은 분리된 VLAN에서 학습된 유니캐스트 MAC 주소 또는 멀티캐스트 그룹 MAC 주소 전달됩니다.
패킷이 PVLAN 트렁크 포트에서 수신되고 아래에 나열된 두 가지 조건을 모두 충족하면 누락됩니다.
패킷에는 분리된 VLAN 태그가 있습니다.
패킷은 커뮤니티 VLAN에서 학습된 유니캐스트 MAC 주소 또는 멀티캐스트 그룹 MAC 주소 전달됩니다.
기본 VLAN 태그가 있는 패킷이 보조(격리 또는 커뮤니티) VLAN 포트에 의해 수신되면 보조 포트는 패킷을 전달합니다.
한 디바이스에서 커뮤니티 VLAN을 구성하고 두 번째 디바이스에서 다른 커뮤니티 VLAN을 구성하고 두 커뮤니티 VLAN 모두 동일한 VLAN ID를 사용하는 경우 VLAN 중 하나에 대한 트래픽을 다른 VLAN으로 전달할 수 있습니다. 예를 들어, 다음 구성을 가정합니다.
스위치 1의 커뮤니티 VLAN comm1은 VLAN ID 50을 가지고 있으며 기본 VLAN pvlan100의 멤버입니다.
스위치 2의 커뮤니티 VLAN comm2에는 VLAN ID 50도 있으며 기본 VLAN pvlan200의 멤버입니다.
기본 VLAN pvlan100은 두 스위치 모두에 존재합니다.
comm1의 트래픽이 스위치 1에서 스위치 2로 전송되면 comm2에 참여하는 포트로 전송됩니다. (예상대로 트래픽도 comm1의 포트로 전달됩니다.)
솔루션
이것은 예상되는 동작입니다.
프라이빗 VLAN을 통한 송신 방화벽 필터
문제
설명
출력 방향으로 방화벽 필터를 기본 VLAN에 적용하는 경우 다음과 같이 트래픽이 기본 VLAN 태그 또는 분리된 VLAN 태그로 송신될 때 기본 VLAN의 멤버인 보조 VLAN에도 필터가 적용됩니다.
보조 VLAN 트렁크 포트에서 무차별 포트(트렁크 또는 액세스)로 전달되는 트래픽
분리된 VLAN을 PVLAN 트렁크 포트로 전달하는 보조 VLAN 트렁크 포트에서 전달된 트래픽입니다.
무차별 포트(트렁크 또는 액세스)에서 보조 VLAN 트렁크 포트로 전달되는 트래픽
PVLAN 트렁크 포트에서 전달된 트래픽입니다. 보조 VLAN 트렁크 포트로
커뮤니티 포트에서 무차별 포트(트렁크 또는 액세스)로 전달되는 트래픽
출력 방향으로 방화벽 필터를 기본 VLAN에 적용하는 경우 아래와 같이 커뮤니티 VLAN 태그로 송신되는 트래픽에는 필터 가 적용되지 않습니다 .
커뮤니티 트렁크 포트에서 PVLAN 트렁크 포트로 전달되는 트래픽
커뮤니티 VLAN을 PVLAN 트렁크 포트로 전달하는 보조 VLAN 트렁크 포트에서 전달되는 트래픽
무차별 포트(트렁크 또는 액세스)에서 커뮤니티 트렁크 포트로 전달되는 트래픽
PVLAN 트렁크 포트에서 전달된 트래픽입니다. 커뮤니티 트렁크 포트로
출력 방향으로 방화벽 필터를 커뮤니티 VLAN에 적용하면 다음과 같은 동작이 적용됩니다.
이 필터는 무차별 포트(트렁크 또는 액세스)에서 커뮤니티 트렁크 포트로 전달되는 트래픽에 적용됩니다(트래픽이 커뮤니티 VLAN 태그로 송신되기 때문).
이 필터는 커뮤니티 포트에서 PVLAN 트렁크 포트로 전달되는 트래픽에 적용됩니다(트래픽이 커뮤니티 VLAN 태그로 송신되기 때문).
이 필터는 커뮤니티 포트에서 무차별 포트로 전달되는 트래픽에 적용되지 않습니다 (트래픽이 기본 VLAN 태그로 송신되거나 태그가 지정되지 않았기 때문).
솔루션
이것은 예상되는 동작입니다. 방화벽 필터를 출력 방향으로 프라이빗 VLAN에 적용하는 경우에만 발생하며, 입력 방향으로 프라이빗 VLAN에 방화벽 필터를 적용하는 경우에만 발생하지 않습니다.
프라이빗 VLAN을 통한 송신 포트 미러링
문제
설명
송신에서 프라이빗 VLAN(PVLAN) 트래픽을 미러링하는 포트 미러링 구성을 생성하면 미러링된 트래픽(분석기 시스템으로 전송되는 트래픽)은 송신 VLAN 대신 수신 VLAN의 VLAN 태그를 가집니다. 예를 들어, 다음 PVLAN 구성을 가정합니다.
기본 VLAN pvlan100 및 pvlan400을 전송하는 무차별 트렁크 포트입니다.
보조 VLAN 분리200을 전송하는 분리형 액세스 포트입니다. 이 VLAN은 기본 VLAN pvlan100의 멤버입니다.
보조 VLAN comm300을 전달하는 커뮤니티 포트입니다. 이 VLAN은 또한 기본 VLAN pvlan100의 멤버입니다.
분석기 시스템에 연결하는 출력 인터페이스(모니터 인터페이스). 이 인터페이스는 미러링된 트래픽을 분석기로 전달합니다.
pvlan100에 대한 패킷이 무차별 트렁크 포트에 들어가서 분리된 액세스 포트에서 나가는 경우, 원래 패킷은 액세스 포트에서 나가기 때문에 송신에 태그가 지정되지 않습니다. 그러나 미러 카피는 분석기로 전송되면 pvlan100에 대한 태그를 유지합니다.
또 다른 예는 다음과 같습니다. comm300에 대한 패킷이 커뮤니티 포트에서 수신되고 무차별 트렁크 포트에서 송신되면 원래 패킷은 예상대로 송신 시 pvlan100에 대한 태그를 전달합니다. 그러나 미러링된 카피는 분석기로 전송될 때 comm300에 대한 태그를 유지합니다.
솔루션
이것은 예상되는 동작입니다.