網(wǎng)絡(luò)故障診斷與排除（H3C）（第2版）（微課版） 課件 3.3 1 Private VLAN的概念

PrivateVLAN的概念根據(jù)802.1q規(guī)定，交換機(jī)最多可以劃分4094個VLAN，在某些情況下4094個VLAN并不夠用。例如，很多運營商采用LAN接入小區(qū)寬帶，基于用戶安全和管理計費方面的考慮，運營商一般要求接入用戶相互隔離，VLAN則是天然的隔離手段。對于運營商的設(shè)備來說，如果每個用戶分配一個VLAN，4094個VLAN遠(yuǎn)遠(yuǎn)不夠用，而且每個VLAN需要配置三層接口，將耗費大量的IP地址。如果有一種技術(shù)能夠?qū)崿F(xiàn)接入層用戶相互隔離，又能將接入層的VLANID屏蔽掉，只可見匯聚層的VLANID，為了解決這個問題，PrivateVLAN技術(shù)產(chǎn)生了。PrivateVLAN的概念PrivateVLAN（私有VLAN）采用二層VLAN結(jié)構(gòu)，它在同一臺設(shè)備上配置PrimaryVLAN和SecondaryVLAN兩類VLAN，即能夠保證接入用戶之間相互隔離，又能將接入的VLANID屏蔽掉，從而節(jié)省了VLAN資源。PrivateVLAN的概念PrimaryVLAN：用于連接上行設(shè)備，一個PrimaryVLAN可以和多個SecondaryVLAN相對應(yīng)。上行連接的設(shè)備只需知道PrimaryVLAN，而不必關(guān)心SecondaryVLAN，PrimaryVLAN下面的SecondaryVLAN對上行設(shè)備不可見。SecondaryVLAN：用于連接用戶，SecondaryVLAN之間二層報文互相隔離。如果希望實現(xiàn)同一PrimaryVLAN下SecondaryVLAN用戶之間報文的互通，可以通過配置上行設(shè)備的本地代理ARP功能來實現(xiàn)三層報文的互通。PrivateVLAN的概念PrivateVLAN的功能利用了Hybrid的端口靈活性和VLAN間的MAC地址同步來實現(xiàn)。Hybrid類型的端口在轉(zhuǎn)發(fā)數(shù)據(jù)時，可以根據(jù)需要進(jìn)行多個VLAN數(shù)據(jù)流量的發(fā)送和接收，也可以根據(jù)需要決定發(fā)送數(shù)據(jù)幀時是否攜帶802.1q標(biāo)簽。因為Hybrid端口比較靈活，所以可以用于交換機(jī)之間的連接，也可以用于連接計算機(jī)。PrivateVLAN的基本原理如圖所示，SW2的G0/10、G0/20和G0/24端口都為Hybrid端口類型，G0/10端口允許VLAN10和VLAN100的數(shù)據(jù)幀通過，G0/20端口允許VLAN20和VLAN100的數(shù)據(jù)幀通過，G0/24端口允許VLAN10、VLAN20和VLAN100的數(shù)據(jù)幀通過，配置完成后，PC1可以和SW1互通，PC2也可以和SW1互通，但是PC1和PC2之間不通。PrivateVLAN的基本原理這個例子存在一個較為嚴(yán)重的問題，若PC1發(fā)送ARP請求到G0/10端口解析SW1（網(wǎng)關(guān)）的MAC地址。首先，PC1的MAC地址被學(xué)習(xí)到SW2的VLAN10中，SW2沒有SW1的MAC地址表項，只能在VLAN10中廣播域內(nèi)廣播；其次，SW1的G0/24端口收到SW2的廣播，返回ARP請求到達(dá)SW2的G0/24端口（源MAC：MAC_SW1，目的MAC：MAC_PC1），SW1的的MAC地址被學(xué)習(xí)到SW2的VLAN100中；最后，SW2會以“MAC_PC1+VLAN100”為條件去查找MAC地址表，由于找不到相應(yīng)的表項，該報文會在VLAN100內(nèi)廣播，最終從G0/10和G0/20端口發(fā)送出去，PC1和PC2都收到了SW1的MAC地址。這種方式每次上行和下行轉(zhuǎn)發(fā)報文都要通過廣播才能到達(dá)目的地。當(dāng)端口較多時，這種方式會占用大量的帶寬資源，大大降低了交換機(jī)的轉(zhuǎn)發(fā)性能，而且很不安全。PrivateVLAN的基本原理通過MAC地址同步可以解決這個問題，PrivateVLAN的MAC地址同步機(jī)制為：

SecondaryVLAN到PrimaryVLAN的同步，即下行端口在SecondaryVLAN內(nèi)學(xué)習(xí)到MAC地址都同步到PrimaryVLAN內(nèi)，而出端口則保持不變。

PrimaryVLAN到SecondaryVLAN的同步，即上行端口在PrimaryVLAN學(xué)習(xí)到的MAC地址同步到所有的SecondaryVLAN內(nèi)，而出端口保持不變。當(dāng)PrimaryVLAN下面配置了很多SecondaryVLAN，MA