تكوين شبكات VLAN الخاصة المعزولة على مُبدّلات Catalyst

خيارات التنزيل

  • PDF     (545.4 KB)
    عرض باستخدام Adobe Reader على مجموعة متنوعة من الأجهزة
تم التحديث:١٢ أغسطس ٢٠٢٦
معرّف المستند:40781

لغة خالية من التحيز

تسعى مجموعة الوثائق لهذا المنتج جاهدة لاستخدام لغة خالية من التحيز. لأغراض مجموعة الوثائق هذه، يتم تعريف "خالية من التحيز" على أنها لغة لا تعني التمييز على أساس العمر، والإعاقة، والجنس، والهوية العرقية، والهوية الإثنية، والتوجه الجنسي، والحالة الاجتماعية والاقتصادية، والتمييز متعدد الجوانب. قد تكون الاستثناءات موجودة في الوثائق بسبب اللغة التي يتم تشفيرها بشكل ثابت في واجهات المستخدم الخاصة ببرنامج المنتج، أو اللغة المستخدمة بناءً على وثائق RFP، أو اللغة التي يستخدمها منتج الجهة الخارجية المُشار إليه. تعرّف على المزيد حول كيفية استخدام Cisco للغة الشاملة.

حول هذه الترجمة

ترجمت Cisco هذا المستند باستخدام مجموعة من التقنيات الآلية والبشرية لتقديم محتوى دعم للمستخدمين في جميع أنحاء العالم بلغتهم الخاصة. يُرجى ملاحظة أن أفضل ترجمة آلية لن تكون دقيقة كما هو الحال مع الترجمة الاحترافية التي يقدمها مترجم محترف. تخلي Cisco Systems مسئوليتها عن دقة هذه الترجمات وتُوصي بالرجوع دائمًا إلى المستند الإنجليزي الأصلي (الرابط متوفر).

المقدمة

يصف هذا وثيقة كيف أن يشكل يعزل VLANs خاص (PVLANs)، على cisco مادة حفازة 9000 sery مفتاح أن يركض cisco ios XE برمجية.

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

  • VLAN تشكيل
  • توصيل 802.1Q
  • واجهة سطر الأوامر (CLI) الأساسية Cisco IOS XE

المكونات المستخدمة

يستند هذا المستند إلى إصدارات البرامج والمكونات المادية التالية؛ ومع ذلك، لا تقتصر شبكة VLAN على هذه الإصدارات. التحقق من صحة دعم شبكة VLAN الخاصة وصياغة الأوامر والقيود الخاصة بالنظام الأساسي المحدد وإصدار Cisco IOS XE قبل النشر:

  • المحولات Cisco Catalyst 9300 Series Switches التي تعمل ببرنامج Cisco IOS XE Software، الإصدار 17.x و 26.x

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

الاصطلاحات

راجع اصطلاحات تلميحات Cisco التقنية للحصول على مزيد من المعلومات حول اصطلاحات المستندات.

معلومات أساسية

في بعض الحالات، يلزمك منع اتصال الطبقة 2 بين الأجهزة الطرفية على محول ما دون وضع الأجهزة في شبكات IP الفرعية المختلفة. توفر شبكات VLAN الخاصة عزل الطبقة 2 بين المنافذ التي تنتمي إلى شبكة IP الفرعية نفسها. يكون هذا التصميم مفيدا عندما يجب على الأجهزة المضيفة الوصول إلى عبارة افتراضية أو جدار حماية أو موازن تحميل أو خدمة مشتركة، ولكن يجب ألا تتصل مباشرة بالمضيفين المعزولين الآخرين في شبكة VLAN نفسها وتساعد أيضا على الحفاظ على شبكات IP الفرعية.

تقوم شبكة VLAN بفصل مجال بث من الطبقة 2 إلى شبكة VLAN أساسية وشبكة VLAN ثانوية واحدة أو أكثر. يمكنك تخصيص مجموعة معينة من المنافذ داخل شبكة VLAN وبالتالي التحكم في الوصول بين المنافذ في الطبقة 2. يمكنك تكوين شبكات VLAN الخاصة وشبكات VLAN العادية على المحول نفسه.

هناك ثلاثة أنواع من منافذ PVLAN: مختلط، معزول، ومجتمعي.

أنواع منافذ PVLAN

نوع المنفذ

الوصف

الإذاعة، مجهول unicast، و multicast سلوك

مختلط

يتصل بجميع المنافذ في مجال شبكة PVLAN المقترنة. يتصل هذا المنفذ بشكل عام ببوابة افتراضية أو جدار حماية أو موجه أو موازن حمل أو خدمة مشتركة.

يمكن أن يستلم المنفذ المختلطة حركة مرور البيانات من المنافذ المعزولة والمجتمعية. يمكن إعادة توجيه حركة مرور البث والبث الأحادي غير المعروف والبث المتعدد المستمدة من منفذ مختلط إلى منافذ VLAN الثانوية المقترنة. يمكن إعادة توجيه حركة مرور البث من منافذ VLAN الثانوية إلى المنفذ المختلطة.

معزول

الاتصال بالمنافذ المختلطة فقط. هو لا يتصل مع آخر يعزل ميناء في ال نفسه PVLAN.

تتم إعادة توجيه حركة مرور البث والبث الأحادي غير المعروف والبث المتعدد المستمدة من منفذ معزول فقط نحو المنافذ المختلطة المقترنة. ولا تتم إعادة توجيهها إلى المنافذ المعزولة أو منافذ المجتمع الأخرى. لا يستلم بث حركة مرور من آخر ميناء يعزل بميناء.

مجتمع

الاتصال بالمنافذ في المجتمع نفسه ومع المنافذ المختلطة.

تتم إعادة توجيه حركة مرور البث والبث الأحادي غير المعروف والبث المتعدد المستمدة من منفذ مجتمع إلى المنافذ الأخرى في شبكة VLAN المجتمعية نفسها وإلى المنافذ المختلطة المقترنة. ولا تتم إعادة توجيهها إلى المنافذ أو المنافذ المعزولة في شبكات VLAN المجتمعية الأخرى.

أنواع شبكة VLAN الخاصة

نوع شبكة VLAN

الوصف

شبكة VLAN الأساسية

حمل حركة المرور من المنافذ والخرائط المختلطة إلى شبكات VLAN الثانوية.

شبكة VLAN المعزولة

شبكة VLAN الثانوية المستخدمة لعزل المضيف. ميناء يعزل في هذا VLAN يستطيع لا يتصل مع بعضهم بعضا في طبقة 2.
note-icon

ملاحظة: تقوم شبكات VLAN الخاصة بإعادة توجيه الطبقة 2 ضمن مجال شبكة VLAN الأساسية نفسها. يبقى ميناء يعزل في ال نفسه ip subnet بما أن ال VLAN أساسي، غير أن طبقة 2 منعت حركة مرور بين مضيف معزول. وهذا يتضمن حركة مرور البث مثل بروتوكول تحليل العنوان (ARP)، بين الأجهزة المضيفة المعزولة. لا يزال بإمكان الأجهزة المضيفة المعزولة حل البوابة الافتراضية أو الخدمات الأخرى المتصلة من خلال منفذ مختلط مرتبط والوصول إليها.

القواعد والحدود

يوفر هذا القسم بعض القواعد والقيود التي يجب عليك مراقبتها عند تنفيذ شبكات VLAN الخاصة.

  • لا يمكن أن تتضمن شبكات VLAN الخاصة شبكات VLAN رقم 1 أو 1002-1005.

  • VLANs ساندت في أسلوب شفاف ل VTP 1، 2 و 3. VLANs خاص أيضا ساندت على نادل أسلوب مع VTP 3.

  • شكلت طبقة 3 VLAN قارن (SVIs) فقط ل VLANs أساسي.

  • أنت يستطيع فقط عينت VLAN ك PVLAN إن أن VLAN يتلقى ما من منفذ تعيين حالي ميناء. أزلت أي ميناء في أن VLAN قبل أن أنت تجعل ال VLAN PVLAN.

note-icon

ملاحظة: للحصول على قيود مفصلة لشبكة VLAN، بما في ذلك القيود الخاصة بالنظام الأساسي ودعم EtherChannel مع أوضاع خط اتصال PVLAN، ارجع إلى قيود شبكة VLAN الخاصة في دليل تكوين Cisco IOS XE VLAN لمنصة العمل المستهدفة Catalyst: مادة حفازة 9500 sery، تقييد ل VLANs خاص و مادة حفازة 9300 sery، تقييد ل VLANs خاص

التكوين

مثال 1: شبكة PVLAN المعزولة على محول Cisco IOS XE

  • يتصل المضيف 1 ب TenGigabitEthernet1/1/7.
  • يتصل المضيف 2 ب TenGigabitEthernet1/1/8.
  • يتصل جدار الحماية أو الموجه أو الخدمة المشتركة ب TenGigabitEthernet1/1/5.
  • VLAN 100 هي شبكة VLAN الأساسية.
  • VLAN 101 هي شبكة VLAN المعزولة.
  • تستخدم البيئات المضيفة المعزولة 10.1.1.1 كبوابة افتراضية.

مضيف

تبديل

الواجهة

دور VLAN

عنوان IP

المضيف 1

9300-2

TE1/1/7

معزول، VLAN 101

10.1.1.99/24

المضيف 2

9300-2

TE1/1/8

معزول، VLAN 101

10.1.1.100/24

البوابة

9300-2

TE1/1/5

مختلط

10.1.1.1/24

الرسم التخطيطي للشبكة

PVLAN Topologyمخطط شبكة VLAN الخاصة

خطوة 1. شكلت VTP أسلوب شفاف

9300-2#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
9300-2(config)#vtp mode transparent
Setting device to VTP Transparent mode for VLANS.
9300-2(config)#end

الخطوة 2. تكوين شبكات VLAN الأساسية والمعزولة

9300-2#configure terminal Enter configuration commands, one per line. End with CNTL/Z. 9300-2(config)#vlan 100 9300-2(config-vlan)#name PVLAN_PRIMARY_100 9300-2(config-vlan)#private-vlan primary 9300-2(config-vlan)#private-vlan association 101 9300-2(config-vlan)#exit 9300-2(config)# 9300-2(config)#vlan 101 9300-2(config-vlan)#name PVLAN_ISOLATED_101 9300-2(config-vlan)#private-vlan isolated 9300-2(config-vlan)#exit 9300-2(config)#end
note-icon

ملاحظة: يتم إستخدام الأمر private-vlan association <vlan-id>لربط شبكة VLAN المعزولة بشبكة VLAN الأساسية.

الخطوة 3. تكوين منافذ المضيف المعزولة

9300-2#configure terminal Enter configuration commands, one per line. End with CNTL/Z. 9300-2(config)#interface TenGigabitEthernet1/1/7 9300-2(config-if)#description Isolated Host 1 9300-2(config-if)#switchport 9300-2(config-if)#switchport mode private-vlan host 9300-2(config-if)#switchport private-vlan host-association 100 101 9300-2(config-if)#spanning-tree portfast 9300-2(config-if)#exit 9300-2(config)# 9300-2(config)#interface TenGigabitEthernet1/1/8 9300-2(config-if)#description Isolated Host 2 9300-2(config-if)#switchport 9300-2(config-if)#switchport mode private-vlan host 9300-2(config-if)#switchport private-vlan host-association 100 101 9300-2(config-if)#spanning-tree portfast 9300-2(config-if)#exit 9300-2(config)#end

الخطوة 4. تكوين المنفذ المختلطة

9300-2#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
9300-2(config)#interface TenGigabitEthernet1/1/5
9300-2(config-if)#description Firewall Router or Shared Service
9300-2(config-if)#switchport
9300-2(config-if)#switchport mode private-vlan promiscuous
9300-2(config-if)#switchport private-vlan mapping 100 101
9300-2(config-if)#exit
9300-2(config)#end

تكوين الطبقة 3

توفر شبكات VLAN الخاصة عملية عزل للطبقة 2 داخل شبكة IP الفرعية نفسها. لا يزال الاتصال بالطبقة 3 مطلوبا عندما تحتاج الأجهزة المضيفة المعزولة إلى الوصول إلى الشبكات خارج الشبكة الفرعية المحلية، مثل الإنترنت أو خدمات مركز البيانات أو الشبكات الموجهة نحو الخادم.

هناك طريقتان مشتركتان لتوفير اتصال الطبقة 3 لمضيفات PVLAN المعزولة:

  1. شكلت ال VLAN أساسي يحول قارن فعلي (SVI) على المفتاح.
  2. توصيل البوابة الافتراضية مباشرة بمنفذ مختلط.
note-icon

ملاحظة: أخترت واحد طبقة 3 مدخل طريقة ل PVLAN subnet. أستخدم إما VLAN SVI الأساسي على المحول أو بوابة خارجية متصلة بمنفذ مختلط.

الطريقة 1: تكوين VLAN SVI الأساسي

أستخدم هذه الطريقة عندما يوفر محول Cisco IOS XE البوابة الافتراضية للمضيفين المعزولين.

في تصميم شبكة VLAN الخاصة، يجب تكوين الطبقة 3 SVI فقط لشبكة VLAN الأساسية. ال VLAN يعزل VLAN ثانوي ولا يزود طبقة 3 مدخل خدمة.

في هذا المثال:

  • VLAN 100 هي شبكة VLAN الأساسية.

  • VLAN 101 هي شبكة VLAN الثانوية المعزولة.

  • يزود قارن VLAN100 التقصير مدخل.

  • تستخدم الأجهزة المضيفة في شبكة VLAN المعزولة 101 10.1.1.1/24 as البوابة الافتراضية الخاصة بها.

9300-2#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
9300-2(config)#interface Vlan100
9300-2(config-if)#description Primary PVLAN Gateway
9300-2(config-if)#ip address 10.1.1.1 255.255.255.0
9300-2(config-if)#private-vlan mapping 101
9300-2(config-if)#no shutdown
9300-2(config-if)#exit
9300-2(config)#end

النقاط الرئيسية

  • شكلت ال SVI فقط ل ال VLAN أساسي.
  • يترجم ال VLAN ثانوي معزول إلى ال VLAN SVI أساسي مع خاص-VLAN يخطط أمر.
  • لا يشكل ال VLAN يعزل كSVI لبوابة خدمة:
  • يبقى المضيفون المعزولون في ال نفسه ip subnet بما أن ال VLAN SVI أساسي.
  • يمكن للمضيفين المعزولين الوصول إلى شبكة VLAN SVI الأساسية.
  • لا يمكن للمضيفين المعزولين الاتصال مباشرة بالمضيفين المعزولين الآخرين في الطبقة 2.
note-icon

ملاحظة: قم بتكوين الطبقة 3 SVI فقط لشبكات VLAN الأساسية. تكون واجهات VLAN لشبكات VLAN المجتمعية والمعزولة غير نشطة مع تكوين شبكة VLAN المعزولة أو المجتمعية.

الطريقة 2: توصيل البوابة بمنفذ مختلط

أستخدم هذه الطريقة عندما يوفر جهاز خارجي البوابة الافتراضية للمضيفين المعزولين. يمكن أن يكون الجهاز الخارجي جهاز موجه أو جدار حماية أو جهاز بوابة آخر من الطبقة 3.

في هذا التصميم، لا يحتاج المحول Cisco IOS XE switch إلى SVI للشبكة الفرعية للشبكة المحلية الظاهرية (VLAN). وبدلا من ذلك، تتصل البوابة الخارجية بمنفذ مختلط. يخطط المنفذ المختلطة شبكة VLAN الأساسية لشبكة VLAN الثانوية المعزولة، والتي تتيح للمضيفين المعزولين الوصول إلى البوابة الخارجية.

في هذا المثال:

  • VLAN 100 هي شبكة VLAN الأساسية.
  • VLAN 101 هي شبكة VLAN الثانوية المعزولة.
  • تتصل البوابة الخارجية ب TenGigabitEthernet1/1/5.
  • عنوان IP للعبارة الخارجية هو 10.1.1.1/24.
  • تستخدم البيئات المضيفة المعزولة 10.1.1.1 كبوابة افتراضية لها.
9300-2#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
9300-2(config)#interface TenGigabitEthernet1/1/5
9300-2(config-if)#description Firewall Router or Shared Service
9300-2(config-if)#switchport
9300-2(config-if)#switchport mode private-vlan promiscuous
9300-2(config-if)#switchport private-vlan mapping 100 101
9300-2(config-if)#exit
9300-2(config)#end

النقاط الرئيسية

  • لا يتطلب SVI على المحول للشبكة الفرعية لشبكة VLAN الخاصة عندما تتصل البوابة مباشرة بمنفذ مختلط.
  • يجب أن تستخدم واجهة العبارة الخارجية عنوان IP في الشبكة الفرعية نفسها الخاصة بالمضيفين المعزولين.
  • يجب أن يقوم المنفذ المختلطة بتعيين شبكة VLAN الأساسية لشبكة VLAN المعزولة.
  • يمكن للمضيفين المعزولين الوصول إلى البوابة الخارجية من خلال المنفذ المختلطة.
  • لا تزال البيئات المضيفة المعزولة غير قادرة على الاتصال مباشرة ببعضها البعض.

التحقق

تحقق من اقتران شبكة VLAN الخاصة باستخدام الأمر show vlan private-vlan:

9300-2#show vlan private-vlan

Primary Secondary Type              Ports
------- --------- ----------------- ------------------------------------------
100     101       isolated          Te1/1/5, Te1/1/7, Te1/1/8
note-icon

ملاحظة: في إخراج show vlan private-vlan، يحدد العمود النوع نوع شبكة VLAN الثانوية، مثل المعزولة أو المجتمع. لا يحدد الدور التشغيلي لكل واجهة مدرجة في عمود المنافذ. يسرد عمود المنافذ الواجهات المرتبطة بزوج شبكات VLAN الأساسية والثانوية، بما في ذلك منافذ المضيف المعزولة والمنافذ المختلطة المعينة على شبكة VLAN الثانوية تلك.

تحقق من حالة تشغيل المنفذ المضيف باستخدام الأمر show interface <interface-id> switchport، في هذا السيناريو TenGigabitEthernet1/1/7 و TenGigabitEthernet1/1/8:

9300-2#show interface TenGigabitEthernet1/1/7 switchport
Name: Te1/1/7
Switchport: Enabled
Administrative Mode: private-vlan host
Operational Mode: private-vlan host
Administrative Trunking Encapsulation: dot1q
Operational Trunking Encapsulation: native
Negotiation of Trunking: Off
Access Mode VLAN: 1 (default)
Trunking Native Mode VLAN: 1 (default)
Administrative Native VLAN tagging: enabled
Voice VLAN: none
Administrative private-vlan host-association: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Administrative private-vlan mapping: none 
Administrative private-vlan trunk native VLAN: none
Administrative private-vlan trunk Native VLAN tagging: enabled
Administrative private-vlan trunk encapsulation: dot1q
Administrative private-vlan trunk normal VLANs: none
Administrative private-vlan trunk associations: none
Administrative private-vlan trunk mappings: none
Operational private-vlan: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Trunking VLANs Enabled: ALL
Pruning VLANs Enabled: 2-1001
Capture Mode Disabled
Capture VLANs Allowed: ALL

Protected: false
Unknown unicast blocked: disabled
Unknown multicast blocked: disabled
Vepa Enabled: false
App Interface: false
Appliance trust: none

9300-2#show interface TenGigabitEthernet1/1/8 switchport
Name: Te1/1/8
Switchport: Enabled
Administrative Mode: private-vlan host
Operational Mode: private-vlan host
Administrative Trunking Encapsulation: dot1q
Operational Trunking Encapsulation: native
Negotiation of Trunking: Off
Access Mode VLAN: 1 (default)
Trunking Native Mode VLAN: 1 (default)
Administrative Native VLAN tagging: enabled
Voice VLAN: none
Administrative private-vlan host-association: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Administrative private-vlan mapping: none 
Administrative private-vlan trunk native VLAN: none
Administrative private-vlan trunk Native VLAN tagging: enabled
Administrative private-vlan trunk encapsulation: dot1q
Administrative private-vlan trunk normal VLANs: none
Administrative private-vlan trunk associations: none
Administrative private-vlan trunk mappings: none
Operational private-vlan: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Trunking VLANs Enabled: ALL
Pruning VLANs Enabled: 2-1001
Capture Mode Disabled
Capture VLANs Allowed: ALL

Protected: false
Unknown unicast blocked: disabled
Unknown multicast blocked: disabled
Vepa Enabled: false
App Interface: false
Appliance trust: none

تحقق من حالة تشغيل المنفذ المختلطة، في هذه الحالة TenGigabitEthernet1/1/5:

9300-2#show interface TenGigabitEthernet1/1/5 switchport
Name: Te1/1/5
Switchport: Enabled
Administrative Mode: private-vlan promiscuous
Operational Mode: private-vlan promiscuous
Administrative Trunking Encapsulation: dot1q
Operational Trunking Encapsulation: native
Negotiation of Trunking: Off
Access Mode VLAN: 1 (default)
Trunking Native Mode VLAN: 1 (default)
Administrative Native VLAN tagging: enabled
Voice VLAN: none
Administrative private-vlan host-association: none 
Administrative private-vlan mapping: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Administrative private-vlan trunk native VLAN: none
Administrative private-vlan trunk Native VLAN tagging: enabled
Administrative private-vlan trunk encapsulation: dot1q
Administrative private-vlan trunk normal VLANs: none
Administrative private-vlan trunk associations: none
Administrative private-vlan trunk mappings: none
Operational private-vlan: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Trunking VLANs Enabled: ALL
Pruning VLANs Enabled: 2-1001
Capture Mode Disabled
Capture VLANs Allowed: ALL

Protected: false
Unknown unicast blocked: disabled
Unknown multicast blocked: disabled
Vepa Enabled: false
App Interface: false
Appliance trust: none

الآن، تحقق من أنه يمكن للمضيفين المعزولين الوصول إلى البوابة 10.1.1.1/24 ولكن لا يمكنهم إختبار الاتصال بين بعضهم البعض 10.1.1.99/24 و 10.1.1.100/24 

سلوك المرور

المصدر

الوجهة

النتيجة المتوقعة

المضيف 1

المضيف 2

فشل

المضيف 2

المضيف 1

فشل

المضيف 1

البوابة الافتراضية

ينجحون

المضيف 2

البوابة الافتراضية

ينجحون

منفذ مختلط

البيئات المضيفة المعزولة

ينجحون
نتائج حركة المرور 
Host1#ping 10.1.1.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.1, timeout is 2 seconds:
.!!!!
Success rate is 80 percent (4/5), round-trip min/avg/max = 1/1/1 ms

Host1#ping 10.1.1.99 
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.99, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms

Host1#ping 10.1.1.100
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.100, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)

Host2#ping 10.1.1.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.1, timeout is 2 seconds:
.!!!!
Success rate is 80 percent (4/5), round-trip min/avg/max = 1/1/1 ms

Host2#ping 10.1.1.99
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.99, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)

Host2#ping 10.1.1.100
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.100, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms

أثناء التحقق من جدول عناوين MAC، يمكنك ملاحظة إدخالين محظورين. من المتوقع أن تكون هذه الإدخالات لمضيفي PVLAN المعزولين. هم يمثلون الطبقة 2 عملية عزل قاعدة في ال VLAN ثانوي، المفتاح يمنع أن هذا {upper}mac address من يكون استعملت ل مباشرة يعزل إلى معزول.

تظهر عناوين MAC للمضيف المعزول مرتين لأن إعادة توجيه شبكة VLAN الخاصة تستخدم كلا من شبكة VLAN الأساسية وسياق شبكة VLAN الثانوية:

  • في شبكة VLAN الثانوية 101، يتم حظر MAC لإعادة توجيه شبكة VLAN المعزولة المباشرة.
  • في شبكة VLAN الأساسية 100، يتوفر MAC لإعادة توجيه شبكة VLAN الخاصة من خلال المسار المختلطة.
9300-2#show mac address-table dynamic 
          Mac Address Table
-------------------------------------------

Vlan    Mac Address       Type        Ports
----    -----------       --------    -----
   1    000c.000c.000c    DYNAMIC     Te1/1/3
   1    f87a.41a8.c1b5    DYNAMIC     Te1/1/1
   1    f87a.41a8.c1ba    DYNAMIC     Te1/1/6
   1    f87a.41a8.c1d1    DYNAMIC     Te1/1/6
 101 000a.000a.000a BLOCKED Te1/1/7 101 000b.000b.000b BLOCKED Te1/1/8 100 000a.000a.000a DYNAMIC pv Te1/1/7 100 000b.000b.000b DYNAMIC pv Te1/1/8 100 9077.ee3c.7b02 DYNAMIC Te1/1/5
Total Mac Addresses for this criterion: 9

مثال 2: PVLAN عبر محولات Cisco IOS XE متعددة

  • SW1 و SW2 هما محولات Catalyst 9000 Cisco IOS XE switches.

  • لم يتم تكوين SVI للشبكة الفرعية لشبكة VLAN الخاصة.

  • توفر البوابة الخارجية اتصال الطبقة 3.

  • عنوان IP للعبارة الخارجية هو 10.1.1.1/24.

  • تتصل البوابة الخارجية بمنفذ مختلط على SW2.

  • VLAN 100 هي شبكة VLAN الأساسية.

  • VLAN 101 هي شبكة VLAN الثانوية المعزولة.

  • VLAN 102 هو شبكة VLAN الثانوية المجتمعية.

  • يتصل SW1 و SW2 من خلال خط اتصال 802. 1Q قياسي.

  • يمكن للمضيفين المعزولين الوصول إلى البوابة المختلطة فقط.

  • يمكن لمضيفي المجتمع في شبكة VLAN 102 الاتصال ببعضهم البعض ومع البوابة المختلطة.

  • لا يمكن للمضيفين المعزولين الاتصال بمضيفي المجتمع.

مضيف

تبديل

الواجهة

دور PVLAN

اقتران VLAN

عنوان IP

البوابة الافتراضية

المضيف 3

SW1 / 9300-1

TenGigabitEthernet1/1/3

مضيف المجتمع

شبكة VLAN الأساسية 100 وشبكة VLAN المجتمعية 102

10.1.1.97/24

10.1.1.1

المضيف 4

SW2 / 9300-2

TenGigabitEthernet1/1/3

مضيف المجتمع

شبكة VLAN الأساسية 100 وشبكة VLAN المجتمعية 102

10.1.1.98/24

10.1.1.1

المضيف 1

SW2 / 9300-2

شبكة إيثرنت بسرعة 1/1/7 من TenGigabit

مضيف معزول

شبكة VLAN الأساسية 100، شبكة VLAN المعزولة 101

10.1.1.99/24

10.1.1.1

المضيف 2

SW2 / 9300-2

TenGigabitEthernet1/1/8

مضيف معزول

شبكة VLAN الأساسية 100، شبكة VLAN المعزولة 101

10.1.1.100/24

10.1.1.1

البوابة الخارجية

SW2 / 9300-2

TenGigabitEthernet1/1/5

مخلط (جهاز مواجهة للعبارة)

تم تعيين شبكة VLAN الأساسية 100 على شبكات VLAN أرقام 101 و 102

10.1.1.1/24

غير قابل للتطبيق

الرسم التخطيطي للشبكة

PVLAN Across SwitchesPVLAN عبر المحولات

شبكة VLAN وخطة الواجهة

في المثال التالي

الواجهة

دور

SW1

TenGigabitEthernet1/1/3

مضيف المجتمع، شبكة VLAN 102

SW1

TenGigabitEthernet1/1/6

خط الاتصال إلى SW2

SW2

TenGigabitEthernet1/1/3

مضيف المجتمع، شبكة VLAN 102

SW2

شبكة إيثرنت بسرعة 1/1/7 من TenGigabit

مضيف معزول، VLAN 101

SW2

TenGigabitEthernet1/1/8

مضيف معزول، VLAN 101

SW2

TenGigabitEthernet1/1/6

خط الاتصال إلى SW1

SW2

TenGigabitEthernet1/1/5

المنفذ المختلطة إلى البوابة الخارجية 10.1.1.1/24
note-icon

ملاحظة: يمكن نقل شبكات VLAN الخاصة عبر محولات متعددة باستخدام هذه الطرق منافذ خطوط الاتصال القياسية، أو منافذ خطوط اتصال شبكات VLAN الخاصة المعزولة أو منافذ خطوط اتصال شبكات VLAN الخاصة المختلطة. يرجى الرجوع إلى دليل وثائق شبكات VLAN الخاصة عبر محولات متعددة للحصول على مزيد من المعلومات.

SW1 - 9300-1 - تشغيل التكوين SW2 - 9300-2 - تشغيل التكوين 
9300-1#show running-config
Building configuration...

Current configuration : 17988 bytes
!
! Last configuration change at 17:39:58 UTC Tue Aug 11 2026
!
version 26.1
service timestamps debug datetime msec
service timestamps log datetime msec
!
hostname 9300-1
!
!
vtp mode transparent
!
!         
!         
vlan 100 name PVLAN_PRIMARY_100 private-vlan primary private-vlan association 101,102
!
vlan 101 name PVLAN_ISOLATED_101 private-vlan isolated
!
vlan 102 name PVLAN_COMMUNITY_102 private-vlan community
!
!
interface TenGigabitEthernet1/1/3
 description Community Host VLAN 102
 switchport private-vlan host-association 100 102 switchport mode private-vlan host
 spanning-tree portfast
!
interface TenGigabitEthernet1/1/6
 description Trunk to SW2
 switchport trunk allowed vlan 100-102
 switchport mode trunk
!
!
end
 
9300-2#show running-config 
Building configuration...

Current configuration : 10980 bytes
!
! Last configuration change at 17:36:32 UTC Tue Aug 11 2026
!
version 17.12
service timestamps debug datetime msec
service timestamps log datetime msec
!
hostname 9300-2
!
!
vtp mode transparent
!
!
!
vlan 100 name PVLAN_PRIMARY_100 private-vlan primary private-vlan association 101,102
!
vlan 101 name PVLAN_ISOLATED_101 private-vlan isolated
!
vlan 102 name PVLAN_COMMUNITY_102 private-vlan community
!
!
interface TenGigabitEthernet1/1/3
 description Community Host VLAN 102
 switchport private-vlan host-association 100 102 switchport mode private-vlan host
 spanning-tree portfast
!
interface TenGigabitEthernet1/1/5
 description External Gateway 10.1.1.1/24
 switchport private-vlan mapping 100 101-102 switchport mode private-vlan promiscuous
!
interface TenGigabitEthernet1/1/6
 description Trunk to SW1
 switchport trunk allowed vlan 100-102
 switchport mode trunk
!
interface TenGigabitEthernet1/1/7
 description Isolated Host 1
 switchport private-vlan host-association 100 101
 switchport mode private-vlan host
 spanning-tree portfast
!
interface TenGigabitEthernet1/1/8
 description Isolated Host 2
 switchport private-vlan host-association 100 101
 switchport mode private-vlan host
 spanning-tree portfast
!
!
end
note-icon

ملاحظة: في هذا مثال، بما أن كلا مفتاح يستعمل VTP في أسلوب شفاف PVLANs ينبغي كنت شكلت يدويا على كل مفتاح.

note-icon

ملاحظة: VLANs خاص ساندت في أسلوب شفاف ل VTP 1، 2 و 3. VLANs خاص أيضا ساندت على نادل أسلوب مع VTP 3.

التحقق

SW1 - 9300-1 - الحالة SW2 - 9300-2 - الحالة 
9300-1#show vlan private-vlan

Primary Secondary Type              Ports
------- --------- ----------------- ------------------------------------------
100     101       isolated          
100     102       community Te1/1/3

9300-1#show interfaces trunk

Port           Mode             Encapsulation  Status        Native vlan  
Te1/1/6        on               802.1q         trunking      1

Port           Vlans allowed on trunk
Te1/1/6 100-102

Port           Vlans allowed and active in management domain
Te1/1/6 100-102

Port           Vlans in spanning tree forwarding state and not pruned
Te1/1/6 100-102

9300-1#show interface TenGigabitEthernet1/1/3 switchport
Name: Te1/1/3
Switchport: Enabled
Administrative Mode: private-vlan host
Operational Mode: private-vlan host
Administrative Trunking Encapsulation: dot1q
Operational Trunking Encapsulation: native
Negotiation of Trunking: Off
Access Mode VLAN: 1 (default)
Trunking Native Mode VLAN: 1 (default)
Administrative Native VLAN tagging: enabled
Voice VLAN: none
Administrative private-vlan host-association: 100 (PVLAN_PRIMARY_100) 102 (PVLAN_COMMUNITY_102) 
Administrative private-vlan mapping: none 
Administrative private-vlan trunk native VLAN: none
Administrative private-vlan trunk Native VLAN tagging: enabled
Administrative private-vlan trunk encapsulation: dot1q
Administrative private-vlan trunk normal VLANs: none
Administrative private-vlan trunk associations: none
Administrative private-vlan trunk mappings: none
Operational private-vlan: 100 (PVLAN_PRIMARY_100) 102 (PVLAN_COMMUNITY_102) 
Trunking VLANs Enabled: ALL
Pruning VLANs Enabled: 2-1001
Capture Mode Disabled
Capture VLANs Allowed: ALL

Protected: false
Unknown unicast blocked: disabled
Unknown multicast blocked: disabled
Vepa Enabled: false
App Interface: false
Appliance trust: none
 
9300-2#show vlan private-vlan

Primary Secondary Type              Ports
------- --------- ----------------- ------------------------------------------
100     101       isolated          Te1/1/5, Te1/1/7, Te1/1/8
100     102       community         Te1/1/3, Te1/1/5

9300-2#show interfaces trunk

Port           Mode             Encapsulation  Status        Native vlan  
Te1/1/6        on               802.1q         trunking      1

Port           Vlans allowed on trunk
Te1/1/6 100-102

Port           Vlans allowed and active in management domain
Te1/1/6 100-102

Port           Vlans in spanning tree forwarding state and not pruned
Te1/1/6 100-102

9300-2#show interface TenGigabitEthernet1/1/5 switchport
Name: Te1/1/5
Switchport: Enabled
Administrative Mode: private-vlan promiscuous
Operational Mode: private-vlan promiscuous
Administrative Trunking Encapsulation: dot1q
Operational Trunking Encapsulation: native
Negotiation of Trunking: Off
Access Mode VLAN: 1 (default)
Trunking Native Mode VLAN: 1 (default)
Administrative Native VLAN tagging: enabled
Voice VLAN: none
Administrative private-vlan host-association: none 
Administrative private-vlan mapping: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 102 (PVLAN_COMMUNITY_102) 
Administrative private-vlan trunk native VLAN: none
Administrative private-vlan trunk Native VLAN tagging: enabled
Administrative private-vlan trunk encapsulation: dot1q
Administrative private-vlan trunk normal VLANs: none
Administrative private-vlan trunk associations: none
Administrative private-vlan trunk mappings: none
Operational private-vlan: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 102 (PVLAN_COMMUNITY_102) 
Trunking VLANs Enabled: ALL
Pruning VLANs Enabled: 2-1001
Capture Mode Disabled
Capture VLANs Allowed: ALL

Protected: false
Unknown unicast blocked: disabled
Unknown multicast blocked: disabled
Vepa Enabled: false
App Interface: false
Appliance trust: none

9300-2#show interface TenGigabitEthernet1/1/3 switchport
Name: Te1/1/3
Switchport: Enabled
Administrative Mode: private-vlan host
Operational Mode: private-vlan host
Administrative Trunking Encapsulation: dot1q
Operational Trunking Encapsulation: native
Negotiation of Trunking: Off
Access Mode VLAN: 1 (default)
Trunking Native Mode VLAN: 1 (default)
Administrative Native VLAN tagging: enabled
Voice VLAN: none
Administrative private-vlan host-association: 100 (PVLAN_PRIMARY_100) 102 (PVLAN_COMMUNITY_102) 
Administrative private-vlan mapping: none 
Administrative private-vlan trunk native VLAN: none
Administrative private-vlan trunk Native VLAN tagging: enabled
Administrative private-vlan trunk encapsulation: dot1q
Administrative private-vlan trunk normal VLANs: none
Administrative private-vlan trunk associations: none
Administrative private-vlan trunk mappings: none
Operational private-vlan: 100 (PVLAN_PRIMARY_100) 102 (PVLAN_COMMUNITY_102) 
Trunking VLANs Enabled: ALL
Pruning VLANs Enabled: 2-1001
Capture Mode Disabled
Capture VLANs Allowed: ALL

Protected: false
Unknown unicast blocked: disabled
Unknown multicast blocked: disabled
Vepa Enabled: false
App Interface: false
Appliance trust: none

9300-2#show interface TenGigabitEthernet1/1/7 switchport
Name: Te1/1/7
Switchport: Enabled
Administrative Mode: private-vlan host
Operational Mode: private-vlan host
Administrative Trunking Encapsulation: dot1q
Operational Trunking Encapsulation: native
Negotiation of Trunking: Off
Access Mode VLAN: 1 (default)
Trunking Native Mode VLAN: 1 (default)
Administrative Native VLAN tagging: enabled
Voice VLAN: none
Administrative private-vlan host-association: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Administrative private-vlan mapping: none 
Administrative private-vlan trunk native VLAN: none
Administrative private-vlan trunk Native VLAN tagging: enabled
Administrative private-vlan trunk encapsulation: dot1q
Administrative private-vlan trunk normal VLANs: none
Administrative private-vlan trunk associations: none
Administrative private-vlan trunk mappings: none
Operational private-vlan: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Trunking VLANs Enabled: ALL
Pruning VLANs Enabled: 2-1001
Capture Mode Disabled
Capture VLANs Allowed: ALL

Protected: false
Unknown unicast blocked: disabled
Unknown multicast blocked: disabled
Vepa Enabled: false
App Interface: false
Appliance trust: none

9300-2#show interface TenGigabitEthernet1/1/8 switchport
Name: Te1/1/8
Switchport: Enabled
Administrative Mode: private-vlan host
Operational Mode: private-vlan host
Administrative Trunking Encapsulation: dot1q
Operational Trunking Encapsulation: native
Negotiation of Trunking: Off
Access Mode VLAN: 1 (default)
Trunking Native Mode VLAN: 1 (default)
Administrative Native VLAN tagging: enabled
Voice VLAN: none
Administrative private-vlan host-association: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Administrative private-vlan mapping: none 
Administrative private-vlan trunk native VLAN: none
Administrative private-vlan trunk Native VLAN tagging: enabled
Administrative private-vlan trunk encapsulation: dot1q
Administrative private-vlan trunk normal VLANs: none
Administrative private-vlan trunk associations: none
Administrative private-vlan trunk mappings: none
Operational private-vlan: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Trunking VLANs Enabled: ALL
Pruning VLANs Enabled: 2-1001
Capture Mode Disabled
Capture VLANs Allowed: ALL

Protected: false
Unknown unicast blocked: disabled
Unknown multicast blocked: disabled
Vepa Enabled: false
App Interface: false
Appliance trust: none

سلوك المرور

المصدر

الوجهة

النتيجة المتوقعة

مضيف SW2 المعزول على TE1/1/7

مضيف SW2 المعزول على TE1/1/8

فشل

مضيف SW2 المعزول على TE1/1/7

مضيف مجتمع SW1 على TE1/1/3

فشل

مضيف SW2 المعزول على TE1/1/7

البوابة الخارجية 10.1.1.1

ينجحون

مضيف مجتمع SW1 على TE1/1/3

مضيف مجتمع SW2 على TE1/1/3

ينجحون

مضيف مجتمع SW1 على TE1/1/3

البوابة الخارجية 10.1.1.1

ينجحون

مضيف مجتمع SW2 على TE1/1/3

مضيف SW2 المعزول على TE1/1/7

فشل

 

Host4#ping 10.1.1.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host4#ping 10.1.1.98
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.98, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host4#ping 8.8.8.8  
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 8.8.8.8, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host4#ping 10.1.1.99
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.99, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
Host4#ping 10.1.1.100
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.100, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)

Host3#ping 10.1.1.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host3#ping 10.1.1.97
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.97, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host3#ping 8.8.8.8  
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 8.8.8.8, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host3#ping 10.1.1.99 
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.99, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
Host3#ping 10.1.1.100
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.100, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)

Host1#ping 10.1.1.1  
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host1#ping 8.8.8.8 
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 8.8.8.8, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host1#ping 10.1.1.100
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.100, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
Host1#ping 10.1.1.97 
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.97, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
Host1#ping 10.1.1.98
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.98, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)

Host2#ping 10.1.1.1 
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host2#ping 8.8.8.8 
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 8.8.8.8, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host2#ping 10.1.1.99
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.99, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
Host2#ping 10.1.1.97
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.97, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
Host2#ping 10.1.1.98
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.98, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
note-icon

ملاحظة: تعتمد قابلية الوصول إلى الإنترنت على توجيه الخادم وتنفيذ تصميم NAT. يتم تضمينه فقط لإظهار أن البوابة الخارجية توفر اتصال موجه.

معلومات ذات صلة

محفوظات المراجعة

المراجعة تاريخ النشر التعليقات
5.0
12-Aug-2026
إعادة الاعتماد - محتوى فني محدث.
4.0
12-Sep-2024
تم تحديث SEO والتنسيق.
3.0
13-Sep-2023
تمت إزالة الارتباطات المقطوعة من قسم "المعلومات ذات الصلة".
2.0
26-Jun-2023
تقويم
1.0
24-Feb-2003
الإصدار الأولي
TAC Authored

تمت المساهمة بواسطة مهندسو Cisco

  • Cisco TAC Engineers

هل كان هذا المستند مفيدًا؟

Feedbackالتعليقات

اتصل بنا