基于PVLAN的工作原理的設(shè)計(jì)方案-技術(shù)方案

精品文檔-下載后可編輯基于PVLAN的工作原理的設(shè)計(jì)方案-技術(shù)方案導(dǎo)讀：本文介紹的是PVLAN的結(jié)構(gòu)，工作原理和應(yīng)用場(chǎng)景及配置等三個(gè)方面對(duì)PVLAN技術(shù)進(jìn)行了深入的分析，為PVLAN在實(shí)際中正確應(yīng)用奠定了基礎(chǔ)。一種VLAN技術(shù)，用于保證接入層用戶的二層隔離，用戶只能同網(wǎng)關(guān)進(jìn)行通信，并通過(guò)網(wǎng)關(guān)與其他用戶實(shí)現(xiàn)三層通信。

引言

隨著網(wǎng)絡(luò)的迅速發(fā)展，網(wǎng)絡(luò)用戶通信的安全性要求越來(lái)越高；傳統(tǒng)的解決方法是給每個(gè)客戶分配一個(gè)VLAN和相關(guān)的IP子網(wǎng)，通過(guò)使用VLAN,每個(gè)客戶被從第2層隔離開(kāi)，可以防止任何惡意的行為和Ethernet的信息探聽(tīng)。然而，這種分配每個(gè)客戶單一VLAN和IP子網(wǎng)的模型造成了以下局限：交換機(jī)固有的VLAN數(shù)目的限制；復(fù)雜的STP:對(duì)于每個(gè)VLAN,每個(gè)相關(guān)的Span?

ningTree的拓?fù)涠夹枰芾?；IP地址的緊缺：IP子網(wǎng)的劃分勢(shì)必造成一些IP地址的浪費(fèi)；路由的限制：每個(gè)子網(wǎng)都需要相應(yīng)的默認(rèn)網(wǎng)關(guān)的配置。為了解決以上問(wèn)題，一種VLAN技術(shù)--專(zhuān)用VLAN（PrivateVLAN）應(yīng)運(yùn)而生。

1PVLAN基本結(jié)構(gòu)

PrivateVLAN是能夠?yàn)橄嗤琕LAN內(nèi)不同端口提供隔離的VLAN.PVLAN可以將一個(gè)VLAN的二層廣播域劃分成多個(gè)子域，每個(gè)子域都由一對(duì)VLAN組成：

PrimaryVLAN（主VLAN）和SecondaryVLAN（輔助VLAN），如圖1所示。

PrimaryVLAN:是PVLAN的VLAN,每個(gè)PVLAN中只有一個(gè)主VLAN.SecondaryVLAN:是PVLAN中的子VLAN,并且映射到一個(gè)主VLAN.每臺(tái)接入設(shè)備都連接到輔助VLAN.輔助VLAN有以下兩種類(lèi)型：

IsolatedVLAN:同一個(gè)隔離VLAN中的端口互相不能進(jìn)行二層通信，一個(gè)私有VLAN域中只有一個(gè)隔離VLAN.

CommunityVLAN:同一個(gè)團(tuán)體VLAN中的端口可以進(jìn)行二層通信，但是不能與其他團(tuán)體VLAN中的端口進(jìn)行二層通信，一個(gè)私有VLAN中可以有多個(gè)團(tuán)體VLAN.

PVLAN各組成之間通信關(guān)系如圖2所示。

在PrivateVLAN的概念中，有三種交換機(jī)端口類(lèi)型：

Isolatedport:屬于IsolatedPVLAN,只能和Promis?

cuousport通信，Isolatedport彼此不能交換流量；Communityport:屬于CommunityPVLAN,可以和Promiscuousport通信，彼此可以交換流量；Promiscuousport:與路由器或第3層交換機(jī)接口相連，它收到的流量可以發(fā)往Isolatedport和Communityport.

而代表一個(gè)PrivateVLAN整體的是PrimaryVLAN.

前面兩類(lèi)VLAN需要和它綁定在一起，同時(shí)它還包括Promiscuousport.

2PVLAN的工作機(jī)制

VLAN是根據(jù)目標(biāo)MAC地址、VLAN及交換機(jī)端口三項(xiàng)動(dòng)態(tài)學(xué)習(xí)得到這個(gè)表進(jìn)行數(shù)據(jù)交換的。PVLAN采用兩層VLAN隔離技術(shù)，只有上層VLAN全局可見(jiàn)，下層VLAN相互隔離。它是通過(guò)主VLAN和各輔助VLAN之間的MAC地址表同步技術(shù)來(lái)實(shí)現(xiàn)的。

如圖3所示，設(shè)置PVLAN,Vlan10是PrimaryVLAN,映射SecondaryVLAN是2和3;端口配置如圖3所示。

經(jīng)過(guò)這個(gè)配置，交換機(jī)內(nèi)部會(huì)形成一個(gè)Vlan?端口映射的表項(xiàng)，見(jiàn)表1.

MAC地址同步技術(shù)有兩步：

（1）SecondaryVLAN學(xué)到的地址同步到PrimaryVLAN中，出接口不變通過(guò)這個(gè)同步，此時(shí)SWB的MAC地址表由：

此時(shí)，從SWA過(guò)來(lái)的所有單播數(shù)據(jù)幀，在SWB都知道了明確的MAC地址和出接口了，那么下行的單播就不會(huì)單播變廣播了，而會(huì)匹配表項(xiàng)直接單播發(fā)送。

（2）PrimaryVLAN學(xué)到的地址同步到SecondaryVLAN中，出接口不變?cè)冢?/p>

此時(shí)，只要PCA上有確切的SWA的MAC地址，它再去pingSWA,數(shù)據(jù)包在SWB上就有明確的MAC地址和出接口了，那么上行的單播就不會(huì)單播變廣播了。這樣不管用戶的數(shù)據(jù)是上行還是下行，數(shù)據(jù)傳輸都盡量避免了廣播。

3PVLAN的應(yīng)用實(shí)例及配置步驟

PVLAN的應(yīng)用對(duì)于保證接入網(wǎng)絡(luò)的數(shù)據(jù)通信的安全性是非常有效的，用戶只需與自己的默認(rèn)網(wǎng)關(guān)連接。

一個(gè)PVLAN不需要多個(gè)VLAN和IP子網(wǎng)就提供了具備第2層數(shù)據(jù)通信安全性的連接。所有的用戶都接入PVLAN,從而實(shí)現(xiàn)了所有用戶與默認(rèn)網(wǎng)關(guān)的連接，而與PVLAN內(nèi)的其他用戶沒(méi)有任何訪問(wèn)。PVLAN功能可以保證同一個(gè)VLAN中的各個(gè)端口相互之間不能通信，但可以穿過(guò)Trunk端口。這樣即使同一VLAN中的用戶，相互之間也不會(huì)受到廣播的影響。

實(shí)例應(yīng)用背景：

要求：主機(jī)A、B、C為一組，要能夠互相通信，并且可以和網(wǎng)關(guān)、服務(wù)器Z進(jìn)行通信，但不能與主Vlan100里的其余主機(jī)通信；主機(jī)D、E為一組，他們之間不能互相通信，但是可以和網(wǎng)關(guān)、計(jì)費(fèi)服務(wù)器Z進(jìn)行通信，同樣也不能與主Vlan100里其余主機(jī)通信；根據(jù)要求，利用PVLAN技術(shù)，可設(shè)計(jì)網(wǎng)絡(luò)拓?fù)淙鐖D4所示。

配置步驟如下：

（1）創(chuàng)建各VLAN并聲明VLAN類(lèi)型；

（2）關(guān)聯(lián)主VLAN與各輔助VLAN;

（3）給各VLAN劃分端口；

（4）輔助VLAN映射主VLAN