Einführung

Mit einem Virtual Local Area Network (VLAN) können Sie ein Local Area Network (LAN) logisch in verschiedene Broadcast-Domänen segmentieren. In Szenarien, in denen sensible Daten in einem Netzwerk übertragen werden können, können VLANs erstellt werden, um die Sicherheit zu erhöhen, indem eine Übertragung in ein bestimmtes VLAN bezeichnet wird. Nur Benutzer, die zu einem VLAN gehören, können auf die Daten in diesem VLAN zugreifen und diese bearbeiten. VLANs können auch zur Leistungssteigerung verwendet werden, da Broadcasts und Multicasts nicht mehr an unnötige Ziele gesendet werden müssen.

Hinweis: Um zu erfahren, wie Sie die VLAN-Einstellungen auf Ihrem Switch über das webbasierte Dienstprogramm konfigurieren, klicken Sie hier. CLI-basierte Anweisungen erhalten Sie hier.

Eine private VLAN-Domäne besteht aus einem oder mehreren VLAN-Paaren. Das primäre VLAN bildet die Domäne. und jedes VLAN-Paar bildet eine Subdomäne. Die VLANs in einem Paar werden als primäres VLAN und sekundäres VLAN bezeichnet. Alle VLAN-Paare innerhalb eines privaten VLANs verfügen über dasselbe primäre VLAN. Die sekundäre VLAN-ID unterscheidet eine Subdomäne von einer anderen.

Eine private VLAN-Domäne verfügt nur über ein primäres VLAN. Jeder Port in einer privaten VLAN-Domäne ist Mitglied des primären VLAN. Das primäre VLAN ist die gesamte private VLAN-Domäne.

Sekundäre VLANs ermöglichen die Isolierung zwischen Ports innerhalb derselben privaten VLAN-Domäne. Die folgenden beiden Typen sind sekundäre VLANs innerhalb eines primären VLANs:

- Isolated VLANs - Ports innerhalb eines isolierten VLAN können auf Layer-2-Ebene nicht direkt miteinander kommunizieren.

- Community-VLANs - Ports innerhalb eines Community-VLAN können miteinander kommunizieren, jedoch nicht mit Ports in anderen Community-VLANs oder in isolierten VLANs auf Layer-2-Ebene kommunizieren.

Innerhalb einer privaten VLAN-Domäne gibt es drei separate Portbezeichnungen. Jede Portbezeichnung verfügt über eigene eindeutige Regeln, die die Kommunikation eines Endpunkts mit anderen verbundenen Endpunkten innerhalb derselben privaten VLAN-Domäne regeln. Es folgen die drei Portbezeichnungen:

- Promiscuous - Ein Promiscuous-Port kann mit allen Ports desselben privaten VLAN kommunizieren. Diese Ports verbinden Server und Router.

- Community (Host) - Community-Ports können eine Gruppe von Ports definieren, die Teil derselben Layer-2-Domäne sind. Sie werden auf Layer 2 von anderen Communitys und von isolierten Ports isoliert. Diese Ports verbinden Host-Ports.

- Isolated (Host) - Ein isolierter Port verfügt über eine vollständige Layer-2-Isolierung von den anderen isolierten und Community-Ports innerhalb desselben privaten VLAN. Diese Ports verbinden Host-Ports.

Hostdatenverkehr wird über isolierte und Community-VLANs gesendet, während Server- und Router-Datenverkehr über das primäre VLAN gesendet wird.

Ziel

Ein privates VLAN bietet Layer-2-Isolierung zwischen Ports. Das bedeutet, dass auf der Ebene des Bridging-Datenverkehrs, im Gegensatz zum IP-Routing, Ports, die dieselbe Broadcast-Domäne teilen, nicht miteinander kommunizieren können. Die Ports in einem privaten VLAN können sich an einer beliebigen Stelle im Layer-2-Netzwerk befinden, d. h. sie müssen sich nicht auf demselben Switch befinden. Das private VLAN ist so konzipiert, dass es nicht getaggten oder priorisierten Datenverkehr empfängt und nicht getaggten Datenverkehr überträgt.

Dieser Artikel enthält Anweisungen zum Konfigurieren privater VLAN-Einstellungen auf einem Switch.

Hinweis: Klicken Sie hier, um das private VLAN mithilfe des webbasierten Dienstprogramms des Switches zu konfigurieren.

Anwendbare Geräte

- Serie Sx300

- Serie Sx350

- SG350X-Serie

- Serie Sx500

- Serie Sx550X

Softwareversion

- 1.4.7.06 — Sx300, Sx500

- 2.2.8.04 - Sx350, SG350X, Sx550X

Konfigurieren der privaten VLAN-Einstellungen auf dem Switch über die CLI

Erstellen eines privaten primären VLAN

Schritt 1: Melden Sie sich bei der Switch-Konsole an. Der Standard-Benutzername und das Kennwort lautet cisco/cisco. Wenn Sie einen neuen Benutzernamen oder ein neues Kennwort konfiguriert haben, geben Sie stattdessen die Anmeldeinformationen ein.

Hinweis: Die Befehle können je nach dem genauen Switch-Modell variieren. In diesem Beispiel erfolgt der Zugriff auf den Switch SG350X über Telnet.

Schritt 2: Geben Sie im privilegierten EXEC-Modus des Switches Folgendes ein, um in den globalen Konfigurationsmodus zu wechseln:

Schritt 3: Geben Sie im globalen Konfigurationsmodus den Kontext für die Schnittstellenkonfiguration ein, indem Sie Folgendes eingeben:

- vlan-id: Gibt die zu konfigurierende VLAN-ID an.

Hinweis: In diesem Beispiel wird VLAN 2 verwendet.

Schritt 4: Konfigurieren Sie im Kontext für die Schnittstellenkonfiguration die VLAN-Schnittstelle als primäres privates VLAN, indem Sie Folgendes eingeben:

Hinweis: Standardmäßig sind auf dem Switch keine privaten VLANs konfiguriert.

Wichtig: Beachten Sie beim Konfigurieren eines privaten VLAN die folgenden Richtlinien:

- Der VLAN-Typ kann nicht geändert werden, wenn ein privater VLAN-Port im VLAN vorhanden ist.

- Der VLAN-Typ kann nicht geändert werden, wenn er mit anderen privaten VLANs verknüpft ist.

- Der VLAN-Typ wird beim Löschen des VLAN nicht als Eigenschaft des VLANs beibehalten.

Schritt 5: (Optional) Geben Sie Folgendes ein, um das VLAN wieder in die normale VLAN-Konfiguration aufzunehmen:

Schritt 6: (Optional) Geben Sie Folgendes ein, um zum privilegierten EXEC-Modus des Switches zurückzukehren:

Schritt 7: (Optional) Speichern Sie im privilegierten EXEC-Modus des Switches die konfigurierten Einstellungen in der Startkonfigurationsdatei, indem Sie Folgendes eingeben:

Schritt 8: (Optional) Drücken Sie Y für Ja oder N für Nein auf Ihrer Tastatur, sobald die Eingabeaufforderung Overwrite file [startup-config]... angezeigt wird.

Sie sollten jetzt das primäre VLAN auf Ihrem Switch erfolgreich über die CLI erstellt haben.

Erstellen eines sekundären VLANs

Schritt 1: Geben Sie im privilegierten EXEC-Modus des Switches Folgendes ein, um in den globalen Konfigurationsmodus zu wechseln:

Schritt 2: Geben Sie im globalen Konfigurationsmodus den Kontext für die Schnittstellenkonfiguration ein, indem Sie Folgendes eingeben:

Hinweis: In diesem Beispiel wird VLAN 10 verwendet.

Schritt 3: Konfigurieren Sie im Kontext für die Schnittstellenkonfiguration die VLAN-Schnittstelle als sekundäres privates VLAN, indem Sie Folgendes eingeben:

Folgende Optionen stehen zur Verfügung:

- community (Community) - Benennen Sie das VLAN als Community-VLAN.

- Isolated (Isoliert) - Benennen Sie das VLAN als isoliertes VLAN.

Hinweis: In diesem Beispiel wird VLAN 10 als isoliertes VLAN konfiguriert.

Schritt 4: (Optional) Wiederholen Sie die Schritte 2 und 3, um ein zusätzliches sekundäres VLAN für Ihr privates VLAN zu konfigurieren.

Hinweis: In diesem Beispiel werden VLAN 20 und VLAN 30 als Community-VLANs konfiguriert.

Schritt 5: (Optional) Geben Sie Folgendes ein, um das VLAN wieder in die normale VLAN-Konfiguration aufzunehmen:

Schritt 6: (Optional) Geben Sie Folgendes ein, um zum privilegierten EXEC-Modus des Switches zurückzukehren:

Sie sollten jetzt über die CLI erfolgreich sekundäre VLANs auf Ihrem Switch erstellt haben.

Zuordnen des sekundären VLAN zum primären privaten VLAN

Schritt 1: Geben Sie im privilegierten EXEC-Modus des Switches Folgendes ein, um in den globalen Konfigurationsmodus zu wechseln:

Schritt 2: Geben Sie den VLAN Interface Configuration-Kontext des primären VLAN ein, indem Sie Folgendes eingeben:

Hinweis: In diesem Beispiel ist das primäre VLAN VLAN VLAN 2.

Schritt 3: Um die Zuordnung zwischen dem primären VLAN und den sekundären VLANs zu konfigurieren, geben Sie Folgendes ein:

Folgende Optionen stehen zur Verfügung:

- Sekundär-VLAN-Liste hinzufügen: Eine Liste der VLAN-IDs vom Typ Sekundär, die einem primären VLAN hinzugefügt werden sollen. Trennen Sie nicht aufeinander folgende VLAN-IDs durch ein Komma ohne Leerzeichen. Verwenden Sie einen Bindestrich, um einen Bereich von IDs festzulegen. Dies ist die Standardaktion.

- Sekundär-VLAN-Liste entfernen: Eine Liste der VLAN-IDs vom Typ Sekundär, um die Zuordnung zu einem primären VLAN zu entfernen. Trennen Sie nicht aufeinander folgende VLAN-IDs durch ein Komma ohne Leerzeichen. Verwenden Sie einen Bindestrich, um einen Bereich von IDs festzulegen.

Hinweis: In diesem Beispiel werden dem primären VLAN sekundäre VLANs 10, 20 und 30 hinzugefügt.

Schritt 4: Um zum privilegierten EXEC-Modus des Switches zurückzukehren, geben Sie Folgendes ein:

Sie sollten jetzt die sekundären VLANs über die CLI erfolgreich dem primären privaten VLAN auf Ihrem Switch zugeordnet haben.

Konfigurieren von Ports für die primären und sekundären privaten VLANs

Schritt 1: Geben Sie im privilegierten EXEC-Modus des Switches Folgendes ein, um in den globalen Konfigurationsmodus zu wechseln:

Schritt 2: Geben Sie im globalen Konfigurationsmodus den Kontext für die Schnittstellenkonfiguration ein, indem Sie Folgendes eingeben:

Folgende Optionen stehen zur Verfügung:

- interface-id - Gibt eine zu konfigurierende Schnittstellen-ID an.

- range vlan vlan-range - Gibt eine Liste von VLANs an. Trennen Sie nicht aufeinander folgende VLANs durch ein Komma ohne Leerzeichen. Verwenden Sie einen Bindestrich, um einen VLAN-Bereich festzulegen.

Hinweis: In diesem Beispiel wird eine Schnittstelle ge1/0/10 eingegeben.

Schritt 3: Verwenden Sie im Kontext für die Schnittstellenkonfiguration den Befehl switchport mode, um den VLAN-Mitgliedschaftsmodus zu konfigurieren.

- Promiscuous: Gibt einen privaten VLAN Promiscuous-Port an. Wenn diese Option verwendet wird, fahren Sie mit Schritt 5 fort.

- host: Gibt einen privaten VLAN-Host-Port an. Wenn diese Option verwendet wird, fahren Sie mit Schritt 6 fort.

In diesem Beispiel wird der Port als Promiscuous definiert.Hinweis:

Schritt 4: (Optional) Geben Sie Folgendes ein, um den Port oder den Port-Bereich der Standardkonfiguration wieder zuzuweisen:

Schritt 5: Um die Zuordnung eines Promiscuous-Ports zu primären und sekundären VLANs des privaten VLANs zu konfigurieren, geben Sie Folgendes ein:

Folgende Optionen stehen zur Verfügung:

- primary-vlan-id: Gibt die VLAN-ID des primären VLANs an.

- second-vlan-id: Gibt die VLAN-ID des sekundären VLAN an.

Hinweis: In diesem Beispiel wird die Promiscuous-Schnittstelle dem primären VLAN 2 zugeordnet und dem sekundären VLAN 30 hinzugefügt.

Schritt 6: Um die Zuordnung eines Host-Ports zu primären und sekundären VLANs des privaten VLANs zu konfigurieren, geben Sie Folgendes ein:

Folgende Optionen stehen zur Verfügung:

- primary-vlan-id: Gibt die VLAN-ID des primären VLANs an.

- second-vlan-id: Gibt die VLAN-ID des sekundären VLAN an.

Hinweis: In diesem Beispiel wird der Host-Schnittstellenbereich 40 bis 45 dem primären VLAN 2 zugeordnet und dem sekundären VLAN 20 hinzugefügt.

Schritt 7: Um den Kontext für die Schnittstellenkonfiguration zu verlassen, geben Sie Folgendes ein:

Schritt 8: (Optional) Wiederholen Sie die Schritte 2 bis 7, um weitere Promiscuous- und Host-Ports zu konfigurieren und die entsprechenden primären und sekundären privaten VLANs zuzuweisen.

Hinweis: In diesem Beispiel wird der Host-Schnittstellenbereich 36 bis 39 dem primären VLAN 2 zugeordnet und dem sekundären VLAN 10 hinzugefügt.

Schritt 9: Geben Sie den Befehl end ein, um zum privilegierten EXEC-Modus zurückzukehren:

Schritt 10: (Optional) Geben Sie Folgendes ein, um die konfigurierten privaten VLANs auf Ihrem Switch zu überprüfen:

Schritt 11: (Optional) Speichern Sie im privilegierten EXEC-Modus des Switches die konfigurierten Einstellungen in der Startkonfigurationsdatei, indem Sie Folgendes eingeben:

Schritt 12: (Optional) Drücken Sie Y für Ja oder N für Nein auf Ihrer Tastatur, sobald die Eingabeaufforderung Overwrite file [startup-config]... angezeigt wird.

Sie sollten jetzt die Zuordnung von Host- und Promiscuous-Ports zu primären und sekundären privaten VLANs auf Ihrem Switch über die CLI erfolgreich konfiguriert haben.