Konfigurieren von isolierten privaten VLANs auf Catalyst Switches

Download-Optionen

  • PDF     (533.0 KB)
    Mit Adobe Reader auf verschiedenen Geräten anzeigen
  • ePub     (331.2 KB)
    In verschiedenen Apps auf iPhone, iPad, Android, Sony Reader oder Windows Phone anzeigen
  • Mobi (Kindle)     (250.1 KB)
    Auf einem Kindle-Gerät oder einer Kindle-App auf mehreren Geräten anzeigen
Aktualisiert:12. August 2026
Dokument-ID:40781

Inklusive Sprache

In dem Dokumentationssatz für dieses Produkt wird die Verwendung inklusiver Sprache angestrebt. Für die Zwecke dieses Dokumentationssatzes wird Sprache als „inklusiv“ verstanden, wenn sie keine Diskriminierung aufgrund von Alter, körperlicher und/oder geistiger Behinderung, Geschlechtszugehörigkeit und -identität, ethnischer Identität, sexueller Orientierung, sozioökonomischem Status und Intersektionalität impliziert. Dennoch können in der Dokumentation stilistische Abweichungen von diesem Bemühen auftreten, wenn Text verwendet wird, der in Benutzeroberflächen der Produktsoftware fest codiert ist, auf RFP-Dokumentation basiert oder von einem genannten Drittanbieterprodukt verwendet wird. Hier erfahren Sie mehr darüber, wie Cisco inklusive Sprache verwendet.

Informationen zu dieser Übersetzung

Cisco hat dieses Dokument maschinell übersetzen und von einem menschlichen Übersetzer editieren und korrigieren lassen, um unseren Benutzern auf der ganzen Welt Support-Inhalte in ihrer eigenen Sprache zu bieten. Bitte beachten Sie, dass selbst die beste maschinelle Übersetzung nicht so genau ist wie eine von einem professionellen Übersetzer angefertigte. Cisco Systems, Inc. übernimmt keine Haftung für die Richtigkeit dieser Übersetzungen und empfiehlt, immer das englische Originaldokument (siehe bereitgestellter Link) heranzuziehen.

Einleitung

In diesem Dokument wird die Konfiguration isolierter privater VLANs (PVLANs) auf Cisco Catalyst Switches der Serie 9000 mit Cisco IOS XE Software beschrieben.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

  • VLAN-Konfiguration
  • 802.1Q-Trunking
  • Grundlegende Cisco IOS XE-Befehlszeilenschnittstelle (CLI)

Verwendete Komponenten

Dieses Dokument basiert auf den Software- und Hardwareversionen. PVLAN ist jedoch nicht auf diese Versionen beschränkt. Validieren Sie vor der Bereitstellung die PVLAN-Unterstützung, die Befehlssyntax und die Einschränkungen für die jeweilige Plattform und Cisco IOS XE-Version:

  • Cisco Catalyst Switches der Serie 9300 mit Cisco IOS XE Software, Versionen 17.x und 26.x

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Konventionen

Weitere Informationen zu Dokumentkonventionen finden Sie unter Cisco Technical Tips Conventions (Technische Tipps von Cisco zu Konventionen).

Hintergrundinformationen

In einigen Situationen müssen Sie die Layer-2-Konnektivität zwischen Endgeräten auf einem Switch verhindern, ohne dass die Geräte in verschiedenen IP-Subnetzen platziert werden. PVLANs bieten Layer-2-Isolierung zwischen Ports, die demselben IP-Subnetz angehören. Dieses Design ist nützlich, wenn Hosts ein Standard-Gateway, eine Firewall, einen Load Balancer oder einen gemeinsam genutzten Service erreichen müssen, aber nicht direkt mit anderen isolierten Hosts im gleichen VLAN kommunizieren dürfen. Außerdem hilft es dabei, IP-Subnetze zu schützen.

Ein PVLAN trennt eine Layer-2-Broadcast-Domäne in ein primäres VLAN und ein oder mehrere sekundäre VLANs. Sie können einen bestimmten Satz von Ports innerhalb eines PVLAN zuweisen und dadurch den Zugriff zwischen den Ports auf Layer 2 steuern. Sie können PVLANs und normale VLANs auf demselben Switch konfigurieren.

Es gibt drei Arten von PVLAN-Ports: Promiscuous, isoliert und Gemeinschaft.

PVLAN-Port-Typen

Port-Typ

Beschreibung

Broadcast, unbekanntes Unicast- und Multicast-Verhalten

Promiscuous

Kommuniziert mit allen Ports in der verknüpften PVLAN-Domäne. Dieser Port stellt in der Regel eine Verbindung zu einem Standard-Gateway, einer Firewall, einem Router, einem Load Balancer oder einem gemeinsam genutzten Service her.

Ein Promiscuous-Port kann Datenverkehr von isolierten Ports und Community-Ports empfangen. Broadcast-, unbekannter Unicast- und Multicast-Datenverkehr von einem Promiscuous-Port kann an die entsprechenden sekundären VLAN-Ports weitergeleitet werden. Broadcast-Datenverkehr von sekundären VLAN-Ports kann an den Promiscuous-Port weitergeleitet werden.

Isoliert

Kommunikation nur über Promiscuous-Ports Er kommuniziert nicht mit anderen isolierten Ports im selben PVLAN.

Broadcast-, unbekannter Unicast- und Multicast-Datenverkehr von einem isolierten Port wird nur an die zugehörigen Promiscuous-Ports weitergeleitet. Er wird nicht an andere isolierte Ports oder Community-Ports weitergeleitet. Broadcast-Datenverkehr von anderen isolierten Ports wird nicht von einem isolierten Port empfangen.

Gemeinschaft

Kommunikation mit Ports in derselben Community und mit Promiscuous-Ports

Broadcast-, unbekannter Unicast- und Multicast-Datenverkehr von einem Community-Port wird an andere Ports im gleichen Community-VLAN und an zugehörige Promiscuous-Ports weitergeleitet. Er wird nicht an isolierte Ports oder Ports in anderen Community-VLANs weitergeleitet.

PVLAN-VLAN-Typen

VLAN-Typ

Beschreibung

Primäres VLAN

Übertragung von Datenverkehr von Promiscuous-Ports und Zuordnung zu sekundären VLANs

Isoliertes VLAN

Sekundäres VLAN für die Host-Isolierung. Isolierte Ports in diesem VLAN können auf Layer 2 nicht miteinander kommunizieren.
note-icon

Anmerkung: PVLANs steuern die Layer-2-Weiterleitung innerhalb derselben primären VLAN-Domäne. Isolierte Ports verbleiben im gleichen IP-Subnetz wie das primäre VLAN, aber der Layer-2-Datenverkehr zwischen isolierten Hosts wird blockiert. Dies schließt Broadcast-Datenverkehr wie Address Resolution Protocol (ARP) zwischen isolierten Hosts ein. Isolierte Hosts können weiterhin das Standard-Gateway oder andere Dienste, die über einen zugehörigen Promiscuous-Port verbunden sind, auflösen und erreichen.

Regeln und Einschränkungen

In diesem Abschnitt finden Sie einige Regeln und Einschränkungen, die Sie bei der Implementierung von PVLANs beachten müssen.

  • PVLANs dürfen die VLANs 1 oder 1002–1005 nicht enthalten.

  • PVLANs werden im transparenten Modus für VTP 1, 2 und 3 unterstützt. Private VLANS werden im Servermodus mit VTP 3 ebenfalls unterstützt.

  • Konfigurieren Sie Layer 3-VLAN-Schnittstellen (SVIs) nur für primäre VLANs.

  • Sie können ein VLAN nur als PVLAN festlegen, wenn diesem VLAN derzeit keine Zugriffsports zugewiesen sind. Entfernen Sie alle Ports im entsprechenden VLAN, bevor Sie es als PVLAN konfigurieren.

note-icon

Anmerkung: Ausführliche PVLAN-Einschränkungen, einschließlich plattformspezifischer Einschränkungen und EtherChannel-Unterstützung mit PVLAN-Trunk-Modi, finden Sie in den Private VLAN Restrictions im Cisco IOS XE VLAN Configuration Guide for the target Catalyst Platform: Catalyst Serie 9500, Einschränkungen für private VLANs und Catalyst Serie 9300, Einschränkungen für private VLANs

Konfigurieren

Beispiel 1: Isoliertes PVLAN auf einem Cisco IOS XE-Switch

  • Host 1 wird mit TenGigabitEthernet1/1/7 verbunden.
  • Host 2 wird mit TenGigabitEthernet1/1/8 verbunden.
  • Eine Firewall, ein Router oder ein gemeinsam genutzter Service wird mit TenGigabitEthernet1/1/5 verbunden.
  • VLAN 100 ist das primäre VLAN.
  • VLAN 101 ist das isolierte VLAN.
  • Isolated-Hosts verwenden 10.1.1.1 als Standard-Gateway.

Host

Switch

Schnittstelle

VLAN-Rolle

IP-Adresse

Host 1

9300-2

TE1/01/07

Isoliert, VLAN 101

10.1.1.99/24

Host 2

9300-2

TE1/01/08

Isoliert, VLAN 101

10.1.1.100/24

Gateway

9300-2

Te1/1/5

Promiscuous

10.1.1.1/24

Netzwerkdiagramm

PVLAN TopologyPVLAN-Topologie

Schritt 1: Konfiguration des transparenten VTP-Modus

9300-2#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
9300-2(config)#vtp mode transparent
Setting device to VTP Transparent mode for VLANS.
9300-2(config)#end

Schritt 2: Konfigurieren der primären und isolierten VLANs

9300-2#configure terminal Enter configuration commands, one per line. End with CNTL/Z. 9300-2(config)#vlan 100 9300-2(config-vlan)#name PVLAN_PRIMARY_100 9300-2(config-vlan)#private-vlan primary 9300-2(config-vlan)#private-vlan association 101 9300-2(config-vlan)#exit 9300-2(config)# 9300-2(config)#vlan 101 9300-2(config-vlan)#name PVLAN_ISOLATED_101 9300-2(config-vlan)#private-vlan isolated 9300-2(config-vlan)#exit 9300-2(config)#end
note-icon

Anmerkung: Der Befehl private-vlan association <vlan-id> wird verwendet, um das isolierte VLAN an das primäre VLAN zu binden.

Schritt 3: Konfigurieren isolierter Host-Ports

9300-2#configure terminal Enter configuration commands, one per line. End with CNTL/Z. 9300-2(config)#interface TenGigabitEthernet1/1/7 9300-2(config-if)#description Isolated Host 1 9300-2(config-if)#switchport 9300-2(config-if)#switchport mode private-vlan host 9300-2(config-if)#switchport private-vlan host-association 100 101 9300-2(config-if)#spanning-tree portfast 9300-2(config-if)#exit 9300-2(config)# 9300-2(config)#interface TenGigabitEthernet1/1/8 9300-2(config-if)#description Isolated Host 2 9300-2(config-if)#switchport 9300-2(config-if)#switchport mode private-vlan host 9300-2(config-if)#switchport private-vlan host-association 100 101 9300-2(config-if)#spanning-tree portfast 9300-2(config-if)#exit 9300-2(config)#end

Schritt 4: Konfigurieren des Promiscuous-Ports

9300-2#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
9300-2(config)#interface TenGigabitEthernet1/1/5
9300-2(config-if)#description Firewall Router or Shared Service
9300-2(config-if)#switchport
9300-2(config-if)#switchport mode private-vlan promiscuous
9300-2(config-if)#switchport private-vlan mapping 100 101
9300-2(config-if)#exit
9300-2(config)#end

Layer-3-Konfiguration

PVLANs bieten Layer-2-Isolierung innerhalb desselben IP-Subnetzes. Eine Layer-3-Anbindung ist weiterhin erforderlich, wenn isolierte Hosts Netzwerke außerhalb des lokalen Subnetzes erreichen müssen, z. B. das Internet, Rechenzentrumsdienste oder Upstream-geroutete Netzwerke.

Es gibt zwei gängige Methoden für die Bereitstellung von Layer-3-Verbindungen für isolierte PVLAN-Hosts:

  1. Konfigurieren Sie die primäre VLAN Switched Virtual Interface (SVI) auf dem Switch.
  2. Schließen Sie das Standard-Gateway direkt an einen Promiscuous-Port an.
note-icon

Anmerkung: Wählen Sie eine Layer-3-Gateway-Methode für ein PVLAN-Subnetz aus. Verwenden Sie entweder die primäre VLAN-SVI auf dem Switch oder ein externes Gateway, das mit einem Promiscuous-Port verbunden ist.

Methode 1: Konfigurieren der primären VLAN-SVI

Verwenden Sie diese Methode, wenn der Cisco IOS XE-Switch das Standard-Gateway für die isolierten Hosts bereitstellt.

In einem PVLAN-Design muss die Layer-3-SVI nur für das primäre VLAN konfiguriert werden. Das isolierte VLAN ist ein sekundäres VLAN und bietet keinen Layer-3-Gateway-Service.

In diesem Beispiel:

  • VLAN 100 ist das primäre VLAN.

  • VLAN 101 ist das isolierte sekundäre VLAN.

  • Schnittstelle Vlan100 stellt das Standard-Gateway bereit.

  • Hosts im isolierten VLAN 101 verwenden 10.1.1.1/24 as als Standard-Gateway.

9300-2#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
9300-2(config)#interface Vlan100
9300-2(config-if)#description Primary PVLAN Gateway
9300-2(config-if)#ip address 10.1.1.1 255.255.255.0
9300-2(config-if)#private-vlan mapping 101
9300-2(config-if)#no shutdown
9300-2(config-if)#exit
9300-2(config)#end

Wichtigste Punkte

  • Konfigurieren Sie die SVI nur für das primäre VLAN.
  • Ordnen Sie das isolierte sekundäre VLAN der primären VLAN-SVI mithilfe des Befehls private-vlan mapping zu.
  • Konfigurieren Sie das isolierte VLAN nicht als SVI für den Gateway-Service:
  • Isolierte Hosts verbleiben im gleichen IP-Subnetz wie die primäre VLAN-SVI.
  • Isolierte Hosts können die primäre VLAN-SVI erreichen.
  • Isolierte Hosts können nicht direkt mit anderen isolierten Hosts auf Layer 2 kommunizieren.
note-icon

Anmerkung: Konfigurieren Sie die Layer-3-SVI nur für primäre VLANs. VLAN-Schnittstellen für isolierte und Community-VLANs sind bei einer isolierten oder Community-VLAN-Konfiguration inaktiv.

Methode 2: Verbinden des Gateways mit einem Promiscuous-Port

Verwenden Sie diese Methode, wenn ein externes Gerät das Standard-Gateway für die isolierten Hosts bereitstellt. Das externe Gerät kann ein Router, eine Firewall oder ein anderes Layer-3-Gateway-Gerät sein.

Bei diesem Design ist für den Cisco IOS XE Switch keine SVI für das PVLAN-Subnetz erforderlich. Stattdessen wird das externe Gateway mit einem Promiscuous-Port verbunden. Der Promiscuous-Port ordnet das primäre VLAN dem isolierten sekundären VLAN zu, sodass isolierte Hosts das externe Gateway erreichen können.

In diesem Beispiel:

  • VLAN 100 ist das primäre VLAN.
  • VLAN 101 ist das isolierte sekundäre VLAN.
  • Das externe Gateway wird mit TenGigabitEthernet1/1/5 verbunden.
  • Die IP-Adresse des externen Gateways lautet 10.1.1.1/24.
  • Isolated-Hosts verwenden 10.1.1.1 als Standard-Gateway.
9300-2#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
9300-2(config)#interface TenGigabitEthernet1/1/5
9300-2(config-if)#description Firewall Router or Shared Service
9300-2(config-if)#switchport
9300-2(config-if)#switchport mode private-vlan promiscuous
9300-2(config-if)#switchport private-vlan mapping 100 101
9300-2(config-if)#exit
9300-2(config)#end

Wichtigste Punkte

  • Wenn das Gateway direkt mit einem Promiscuous-Port verbunden wird, ist auf dem Switch für das PVLAN-Subnetz keine SVI erforderlich.
  • Die externe Gateway-Schnittstelle muss eine IP-Adresse im gleichen Subnetz wie die isolierten Hosts verwenden.
  • Der Promiscuous Port muss das primäre VLAN dem isolierten VLAN zuordnen.
  • Isolierte Hosts können das externe Gateway über den Promiscuous-Port erreichen.
  • Isolierte Hosts können weiterhin nicht direkt miteinander kommunizieren.

Verifizierung

Überprüfen Sie die PVLAN-Zuordnung mit dem Befehl show vlan private-vlan:

9300-2#show vlan private-vlan

Primary Secondary Type              Ports
------- --------- ----------------- ------------------------------------------
100     101       isolated          Te1/1/5, Te1/1/7, Te1/1/8
note-icon

Anmerkung: In der Ausgabe von show vlan private-vlan gibt die Spalte Type den sekundären VLAN-Typ an, z. B. isolation oder community. Die Rolle der einzelnen Schnittstellen, die in der Spalte "Ports" aufgeführt sind, wird nicht angegeben. In der Spalte "Ports" sind die Schnittstellen aufgeführt, die dem primären und sekundären VLAN-Paar zugeordnet sind, einschließlich der diesem sekundären VLAN zugeordneten isolierten Host-Ports und Promiscuous-Ports.

Überprüfen Sie mit dem Befehl show interface <interface-id> switchport den Betriebsstatus des Host-Ports. Verwenden Sie hierzu die folgenden Szenarien: TenGigabitEthernet1/1/7 und TenGigabitEthernet1/1/8:

9300-2#show interface TenGigabitEthernet1/1/7 switchport
Name: Te1/1/7
Switchport: Enabled
Administrative Mode: private-vlan host
Operational Mode: private-vlan host
Administrative Trunking Encapsulation: dot1q
Operational Trunking Encapsulation: native
Negotiation of Trunking: Off
Access Mode VLAN: 1 (default)
Trunking Native Mode VLAN: 1 (default)
Administrative Native VLAN tagging: enabled
Voice VLAN: none
Administrative private-vlan host-association: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Administrative private-vlan mapping: none 
Administrative private-vlan trunk native VLAN: none
Administrative private-vlan trunk Native VLAN tagging: enabled
Administrative private-vlan trunk encapsulation: dot1q
Administrative private-vlan trunk normal VLANs: none
Administrative private-vlan trunk associations: none
Administrative private-vlan trunk mappings: none
Operational private-vlan: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Trunking VLANs Enabled: ALL
Pruning VLANs Enabled: 2-1001
Capture Mode Disabled
Capture VLANs Allowed: ALL

Protected: false
Unknown unicast blocked: disabled
Unknown multicast blocked: disabled
Vepa Enabled: false
App Interface: false
Appliance trust: none

9300-2#show interface TenGigabitEthernet1/1/8 switchport
Name: Te1/1/8
Switchport: Enabled
Administrative Mode: private-vlan host
Operational Mode: private-vlan host
Administrative Trunking Encapsulation: dot1q
Operational Trunking Encapsulation: native
Negotiation of Trunking: Off
Access Mode VLAN: 1 (default)
Trunking Native Mode VLAN: 1 (default)
Administrative Native VLAN tagging: enabled
Voice VLAN: none
Administrative private-vlan host-association: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Administrative private-vlan mapping: none 
Administrative private-vlan trunk native VLAN: none
Administrative private-vlan trunk Native VLAN tagging: enabled
Administrative private-vlan trunk encapsulation: dot1q
Administrative private-vlan trunk normal VLANs: none
Administrative private-vlan trunk associations: none
Administrative private-vlan trunk mappings: none
Operational private-vlan: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Trunking VLANs Enabled: ALL
Pruning VLANs Enabled: 2-1001
Capture Mode Disabled
Capture VLANs Allowed: ALL

Protected: false
Unknown unicast blocked: disabled
Unknown multicast blocked: disabled
Vepa Enabled: false
App Interface: false
Appliance trust: none

Überprüfen Sie den Betriebsstatus des Promiscuous-Ports, in diesem Fall TenGigabitEthernet1/1/5:

9300-2#show interface TenGigabitEthernet1/1/5 switchport
Name: Te1/1/5
Switchport: Enabled
Administrative Mode: private-vlan promiscuous
Operational Mode: private-vlan promiscuous
Administrative Trunking Encapsulation: dot1q
Operational Trunking Encapsulation: native
Negotiation of Trunking: Off
Access Mode VLAN: 1 (default)
Trunking Native Mode VLAN: 1 (default)
Administrative Native VLAN tagging: enabled
Voice VLAN: none
Administrative private-vlan host-association: none 
Administrative private-vlan mapping: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Administrative private-vlan trunk native VLAN: none
Administrative private-vlan trunk Native VLAN tagging: enabled
Administrative private-vlan trunk encapsulation: dot1q
Administrative private-vlan trunk normal VLANs: none
Administrative private-vlan trunk associations: none
Administrative private-vlan trunk mappings: none
Operational private-vlan: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Trunking VLANs Enabled: ALL
Pruning VLANs Enabled: 2-1001
Capture Mode Disabled
Capture VLANs Allowed: ALL

Protected: false
Unknown unicast blocked: disabled
Unknown multicast blocked: disabled
Vepa Enabled: false
App Interface: false
Appliance trust: none

Stellen Sie nun sicher, dass die isolierten Hosts das Gateway 10.1.1.1/24 erreichen können, jedoch keine Pings zwischen den Hosts 10.1.1.99/24 und 10.1.1.100/24 senden können. 

Datenverkehrsverhalten

Quelle

Ziel

Erwartetes Ergebnis

Host 1

Host 2

Fehlschläge

Host 2

Host 1

Fehlschläge

Host 1

Default gateway (Standardgateway)

Erfolg

Host 2

Default gateway (Standardgateway)

Erfolg

Promiscuous-Port

Isolierte Hosts

Erfolg
Datenverkehrsergebnisse 
Host1#ping 10.1.1.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.1, timeout is 2 seconds:
.!!!!
Success rate is 80 percent (4/5), round-trip min/avg/max = 1/1/1 ms

Host1#ping 10.1.1.99 
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.99, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms

Host1#ping 10.1.1.100
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.100, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)

Host2#ping 10.1.1.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.1, timeout is 2 seconds:
.!!!!
Success rate is 80 percent (4/5), round-trip min/avg/max = 1/1/1 ms

Host2#ping 10.1.1.99
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.99, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)

Host2#ping 10.1.1.100
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.100, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms

Beim Überprüfen der MAC-Adresstabelle können Sie zwei BLOCKIERTE Einträge beobachten. Diese Einträge werden für isolierte PVLAN-Hosts erwartet. Sie stellen die Layer-2-Isolationsregel im sekundären VLAN dar. Der Switch verhindert, dass diese MAC-Adressen für die direkte Weiterleitung von isolierten an isolierte Geräte verwendet werden.

Die MAC-Adressen des isolierten Hosts werden zweimal angezeigt, da für die PVLAN-Weiterleitung der primäre VLAN-Kontext und der sekundäre VLAN-Kontext verwendet werden:

  • Im sekundären VLAN 101 wird die MAC für die direkte, isolierte VLAN-Weiterleitung blockiert.
  • Im primären VLAN 100 ist die MAC für die PVLAN-Weiterleitung über den Promiscuous-Pfad verfügbar.
9300-2#show mac address-table dynamic 
          Mac Address Table
-------------------------------------------

Vlan    Mac Address       Type        Ports
----    -----------       --------    -----
   1    000c.000c.000c    DYNAMIC     Te1/1/3
   1    f87a.41a8.c1b5    DYNAMIC     Te1/1/1
   1    f87a.41a8.c1ba    DYNAMIC     Te1/1/6
   1    f87a.41a8.c1d1    DYNAMIC     Te1/1/6
 101 000a.000a.000a BLOCKED Te1/1/7 101 000b.000b.000b BLOCKED Te1/1/8 100 000a.000a.000a DYNAMIC pv Te1/1/7 100 000b.000b.000b DYNAMIC pv Te1/1/8 100 9077.ee3c.7b02 DYNAMIC Te1/1/5
Total Mac Addresses for this criterion: 9

Beispiel 2: PVLAN für mehrere Cisco IOS XE-Switches

  • SW1 und SW2 sind Catalyst 9000 Cisco IOS XE Switches.

  • Für das PVLAN-Subnetz ist keine SVI konfiguriert.

  • Ein externes Gateway bietet Layer-3-Anbindung.

  • Die IP-Adresse des externen Gateways lautet 10.1.1.1/24.

  • Das externe Gateway wird mit einem Promiscuous-Port an SW2 verbunden.

  • VLAN 100 ist das primäre VLAN.

  • VLAN 101 ist das isolierte sekundäre VLAN.

  • VLAN 102 ist das sekundäre VLAN der Community.

  • SW1 und SW2 werden über einen 802.1Q-Standard-Trunk verbunden.

  • Isolierte Hosts können nur das Promiscuous Gateway erreichen.

  • Community-Hosts in VLAN 102 können miteinander und mit dem Promiscuous Gateway kommunizieren.

  • Isolierte Hosts können nicht mit Community-Hosts kommunizieren.

Host

Switch

Schnittstelle

PVLAN-Rolle

VLAN-Zuordnung

IP-Adresse

Standardgateway

Host 3

SW1/9300-1

10GbE1/1/3

Community-Host

Primäres VLAN 100, Community-VLAN 102

10.1.1.97/24

10.1.1.1

Host 4

SW2/9300-2

10GbE1/1/3

Community-Host

Primäres VLAN 100, Community-VLAN 102

10.1.1.98/24

10.1.1.1

Host 1

SW2/9300-2

10GbE1/1/7

Isolierter Host

Primäres VLAN 100, isoliertes VLAN 101

10.1.1.99/24

10.1.1.1

Host 2

SW2/9300-2

10GbE1/1/8

Isolierter Host

Primäres VLAN 100, isoliertes VLAN 101

10.1.1.100/24

10.1.1.1

Externes Gateway

SW2/9300-2

10GbE1/1/5

Promiscuous (Gateway-Gerät)

Primäres VLAN 100 den VLANs 101 und 102 zugeordnet

10.1.1.1/24

Nicht zutreffend

Netzwerkdiagramm

PVLAN Across SwitchesPVLAN für alle Switches

VLAN- und Schnittstellenplan

"Slot0:"

Schnittstelle

Rolle

SW1

10GbE1/1/3

Community-Host, VLAN 102

SW1

10GbE1/1/6

Trunk zu SW2

SW2

10GbE1/1/3

Community-Host, VLAN 102

SW2

10GbE1/1/7

Isolierter Host, VLAN 101

SW2

10GbE1/1/8

Isolierter Host, VLAN 101

SW2

10GbE1/1/6

Trunk zu SW1

SW2

10GbE1/1/5

Promiscuous-Port zum externen Gateway 10.1.1.1/24
note-icon

Anmerkung: Private VLANs können mit diesen Methoden über mehrere Switches hinweg genutzt werden: Standard-Trunk-Ports, isolierte private VLAN-Trunk-Ports oder Promiscuous Private VLAN-Trunk-Ports. Weitere Informationen finden Sie im Dokumentationshandbuch zu Private VLANs Across Multiple Switches.

SW1 - 9300-1 - Ausführen der Konfiguration SW2 - 9300-2 - Ausführen der Konfiguration 
9300-1#show running-config
Building configuration...

Current configuration : 17988 bytes
!
! Last configuration change at 17:39:58 UTC Tue Aug 11 2026
!
version 26.1
service timestamps debug datetime msec
service timestamps log datetime msec
!
hostname 9300-1
!
!
vtp mode transparent
!
!         
!         
vlan 100 name PVLAN_PRIMARY_100 private-vlan primary private-vlan association 101,102
!
vlan 101 name PVLAN_ISOLATED_101 private-vlan isolated
!
vlan 102 name PVLAN_COMMUNITY_102 private-vlan community
!
!
interface TenGigabitEthernet1/1/3
 description Community Host VLAN 102
 switchport private-vlan host-association 100 102 switchport mode private-vlan host
 spanning-tree portfast
!
interface TenGigabitEthernet1/1/6
 description Trunk to SW2
 switchport trunk allowed vlan 100-102
 switchport mode trunk
!
!
end
 
9300-2#show running-config 
Building configuration...

Current configuration : 10980 bytes
!
! Last configuration change at 17:36:32 UTC Tue Aug 11 2026
!
version 17.12
service timestamps debug datetime msec
service timestamps log datetime msec
!
hostname 9300-2
!
!
vtp mode transparent
!
!
!
vlan 100 name PVLAN_PRIMARY_100 private-vlan primary private-vlan association 101,102
!
vlan 101 name PVLAN_ISOLATED_101 private-vlan isolated
!
vlan 102 name PVLAN_COMMUNITY_102 private-vlan community
!
!
interface TenGigabitEthernet1/1/3
 description Community Host VLAN 102
 switchport private-vlan host-association 100 102 switchport mode private-vlan host
 spanning-tree portfast
!
interface TenGigabitEthernet1/1/5
 description External Gateway 10.1.1.1/24
 switchport private-vlan mapping 100 101-102 switchport mode private-vlan promiscuous
!
interface TenGigabitEthernet1/1/6
 description Trunk to SW1
 switchport trunk allowed vlan 100-102
 switchport mode trunk
!
interface TenGigabitEthernet1/1/7
 description Isolated Host 1
 switchport private-vlan host-association 100 101
 switchport mode private-vlan host
 spanning-tree portfast
!
interface TenGigabitEthernet1/1/8
 description Isolated Host 2
 switchport private-vlan host-association 100 101
 switchport mode private-vlan host
 spanning-tree portfast
!
!
end
note-icon

Anmerkung: Da in diesem Beispiel beide Switches VTP im transparenten Modus verwenden, müssen die PVLANs auf jedem Switch manuell konfiguriert werden.

note-icon

Anmerkung: Private VLANs werden im transparenten Modus für VTP 1, 2 und 3 unterstützt. Private VLANs werden im Servermodus mit VTP 3 ebenfalls unterstützt.

Verifizierung

SW1 - 9300-1 - Status SW2 - 9300-2 - Status 
9300-1#show vlan private-vlan

Primary Secondary Type              Ports
------- --------- ----------------- ------------------------------------------
100     101       isolated          
100     102       community Te1/1/3

9300-1#show interfaces trunk

Port           Mode             Encapsulation  Status        Native vlan  
Te1/1/6        on               802.1q         trunking      1

Port           Vlans allowed on trunk
Te1/1/6 100-102

Port           Vlans allowed and active in management domain
Te1/1/6 100-102

Port           Vlans in spanning tree forwarding state and not pruned
Te1/1/6 100-102

9300-1#show interface TenGigabitEthernet1/1/3 switchport
Name: Te1/1/3
Switchport: Enabled
Administrative Mode: private-vlan host
Operational Mode: private-vlan host
Administrative Trunking Encapsulation: dot1q
Operational Trunking Encapsulation: native
Negotiation of Trunking: Off
Access Mode VLAN: 1 (default)
Trunking Native Mode VLAN: 1 (default)
Administrative Native VLAN tagging: enabled
Voice VLAN: none
Administrative private-vlan host-association: 100 (PVLAN_PRIMARY_100) 102 (PVLAN_COMMUNITY_102) 
Administrative private-vlan mapping: none 
Administrative private-vlan trunk native VLAN: none
Administrative private-vlan trunk Native VLAN tagging: enabled
Administrative private-vlan trunk encapsulation: dot1q
Administrative private-vlan trunk normal VLANs: none
Administrative private-vlan trunk associations: none
Administrative private-vlan trunk mappings: none
Operational private-vlan: 100 (PVLAN_PRIMARY_100) 102 (PVLAN_COMMUNITY_102) 
Trunking VLANs Enabled: ALL
Pruning VLANs Enabled: 2-1001
Capture Mode Disabled
Capture VLANs Allowed: ALL

Protected: false
Unknown unicast blocked: disabled
Unknown multicast blocked: disabled
Vepa Enabled: false
App Interface: false
Appliance trust: none
 
9300-2#show vlan private-vlan

Primary Secondary Type              Ports
------- --------- ----------------- ------------------------------------------
100     101       isolated          Te1/1/5, Te1/1/7, Te1/1/8
100     102       community         Te1/1/3, Te1/1/5

9300-2#show interfaces trunk

Port           Mode             Encapsulation  Status        Native vlan  
Te1/1/6        on               802.1q         trunking      1

Port           Vlans allowed on trunk
Te1/1/6 100-102

Port           Vlans allowed and active in management domain
Te1/1/6 100-102

Port           Vlans in spanning tree forwarding state and not pruned
Te1/1/6 100-102

9300-2#show interface TenGigabitEthernet1/1/5 switchport
Name: Te1/1/5
Switchport: Enabled
Administrative Mode: private-vlan promiscuous
Operational Mode: private-vlan promiscuous
Administrative Trunking Encapsulation: dot1q
Operational Trunking Encapsulation: native
Negotiation of Trunking: Off
Access Mode VLAN: 1 (default)
Trunking Native Mode VLAN: 1 (default)
Administrative Native VLAN tagging: enabled
Voice VLAN: none
Administrative private-vlan host-association: none 
Administrative private-vlan mapping: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 102 (PVLAN_COMMUNITY_102) 
Administrative private-vlan trunk native VLAN: none
Administrative private-vlan trunk Native VLAN tagging: enabled
Administrative private-vlan trunk encapsulation: dot1q
Administrative private-vlan trunk normal VLANs: none
Administrative private-vlan trunk associations: none
Administrative private-vlan trunk mappings: none
Operational private-vlan: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 102 (PVLAN_COMMUNITY_102) 
Trunking VLANs Enabled: ALL
Pruning VLANs Enabled: 2-1001
Capture Mode Disabled
Capture VLANs Allowed: ALL

Protected: false
Unknown unicast blocked: disabled
Unknown multicast blocked: disabled
Vepa Enabled: false
App Interface: false
Appliance trust: none

9300-2#show interface TenGigabitEthernet1/1/3 switchport
Name: Te1/1/3
Switchport: Enabled
Administrative Mode: private-vlan host
Operational Mode: private-vlan host
Administrative Trunking Encapsulation: dot1q
Operational Trunking Encapsulation: native
Negotiation of Trunking: Off
Access Mode VLAN: 1 (default)
Trunking Native Mode VLAN: 1 (default)
Administrative Native VLAN tagging: enabled
Voice VLAN: none
Administrative private-vlan host-association: 100 (PVLAN_PRIMARY_100) 102 (PVLAN_COMMUNITY_102) 
Administrative private-vlan mapping: none 
Administrative private-vlan trunk native VLAN: none
Administrative private-vlan trunk Native VLAN tagging: enabled
Administrative private-vlan trunk encapsulation: dot1q
Administrative private-vlan trunk normal VLANs: none
Administrative private-vlan trunk associations: none
Administrative private-vlan trunk mappings: none
Operational private-vlan: 100 (PVLAN_PRIMARY_100) 102 (PVLAN_COMMUNITY_102) 
Trunking VLANs Enabled: ALL
Pruning VLANs Enabled: 2-1001
Capture Mode Disabled
Capture VLANs Allowed: ALL

Protected: false
Unknown unicast blocked: disabled
Unknown multicast blocked: disabled
Vepa Enabled: false
App Interface: false
Appliance trust: none

9300-2#show interface TenGigabitEthernet1/1/7 switchport
Name: Te1/1/7
Switchport: Enabled
Administrative Mode: private-vlan host
Operational Mode: private-vlan host
Administrative Trunking Encapsulation: dot1q
Operational Trunking Encapsulation: native
Negotiation of Trunking: Off
Access Mode VLAN: 1 (default)
Trunking Native Mode VLAN: 1 (default)
Administrative Native VLAN tagging: enabled
Voice VLAN: none
Administrative private-vlan host-association: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Administrative private-vlan mapping: none 
Administrative private-vlan trunk native VLAN: none
Administrative private-vlan trunk Native VLAN tagging: enabled
Administrative private-vlan trunk encapsulation: dot1q
Administrative private-vlan trunk normal VLANs: none
Administrative private-vlan trunk associations: none
Administrative private-vlan trunk mappings: none
Operational private-vlan: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Trunking VLANs Enabled: ALL
Pruning VLANs Enabled: 2-1001
Capture Mode Disabled
Capture VLANs Allowed: ALL

Protected: false
Unknown unicast blocked: disabled
Unknown multicast blocked: disabled
Vepa Enabled: false
App Interface: false
Appliance trust: none

9300-2#show interface TenGigabitEthernet1/1/8 switchport
Name: Te1/1/8
Switchport: Enabled
Administrative Mode: private-vlan host
Operational Mode: private-vlan host
Administrative Trunking Encapsulation: dot1q
Operational Trunking Encapsulation: native
Negotiation of Trunking: Off
Access Mode VLAN: 1 (default)
Trunking Native Mode VLAN: 1 (default)
Administrative Native VLAN tagging: enabled
Voice VLAN: none
Administrative private-vlan host-association: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Administrative private-vlan mapping: none 
Administrative private-vlan trunk native VLAN: none
Administrative private-vlan trunk Native VLAN tagging: enabled
Administrative private-vlan trunk encapsulation: dot1q
Administrative private-vlan trunk normal VLANs: none
Administrative private-vlan trunk associations: none
Administrative private-vlan trunk mappings: none
Operational private-vlan: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Trunking VLANs Enabled: ALL
Pruning VLANs Enabled: 2-1001
Capture Mode Disabled
Capture VLANs Allowed: ALL

Protected: false
Unknown unicast blocked: disabled
Unknown multicast blocked: disabled
Vepa Enabled: false
App Interface: false
Appliance trust: none

Datenverkehrsverhalten

Quelle

Ziel

Erwartetes Ergebnis

SW2 isolierter Host auf Te1/1/7

SW2 isolierter Host auf Te1/1/8

Fehlschläge

SW2 isolierter Host auf Te1/1/7

SW1 Community Host auf Te1/1/3

Fehlschläge

SW2 isolierter Host auf Te1/1/7

Externes Gateway 10.1.1.1

Erfolg

SW1 Community Host auf Te1/1/3

SW2-Community-Host auf Te1/1/3

Erfolg

SW1 Community Host auf Te1/1/3

Externes Gateway 10.1.1.1

Erfolg

SW2-Community-Host auf Te1/1/3

SW2 isolierter Host auf Te1/1/7

Fehlschläge

 

Host4#ping 10.1.1.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host4#ping 10.1.1.98
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.98, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host4#ping 8.8.8.8  
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 8.8.8.8, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host4#ping 10.1.1.99
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.99, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
Host4#ping 10.1.1.100
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.100, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)

Host3#ping 10.1.1.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host3#ping 10.1.1.97
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.97, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host3#ping 8.8.8.8  
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 8.8.8.8, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host3#ping 10.1.1.99 
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.99, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
Host3#ping 10.1.1.100
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.100, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)

Host1#ping 10.1.1.1  
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host1#ping 8.8.8.8 
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 8.8.8.8, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host1#ping 10.1.1.100
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.100, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
Host1#ping 10.1.1.97 
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.97, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
Host1#ping 10.1.1.98
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.98, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)

Host2#ping 10.1.1.1 
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host2#ping 8.8.8.8 
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 8.8.8.8, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host2#ping 10.1.1.99
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.99, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
Host2#ping 10.1.1.97
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.97, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
Host2#ping 10.1.1.98
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.98, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
note-icon

Anmerkung: Die Erreichbarkeit des Internets hängt vom Upstream-Routing und der Implementierung des NAT-Designs ab. Es ist nur enthalten, um zu zeigen, dass das externe Gateway geroutete Verbindungen bereitstellt.

Zugehörige Informationen

Revisionsverlauf

Überarbeitung Veröffentlichungsdatum Kommentare
5.0
12-Aug-2026
Rezertifizierung - Aktualisierter technischer Inhalt.
4.0
12-Sep-2024
SEO und Formatierung aktualisiert.
3.0
13-Sep-2023
Fehlerhafte Links aus dem Abschnitt "Verwandte Informationen" entfernt.
2.0
26-Jun-2023
Rezertifizierung
1.0
24-Feb-2003
Erstveröffentlichung
TAC Authored

Beiträge von Cisco Ingenieuren

  • Cisco TAC Engineers

War dieses Dokument hilfreich?

FeedbackFeedback

Cisco kontaktieren