Cisco ha traducido este documento combinando la traducción automática y los recursos humanos a fin de ofrecer a nuestros usuarios en todo el mundo contenido en su propio idioma. Tenga en cuenta que incluso la mejor traducción automática podría no ser tan precisa como la proporcionada por un traductor profesional. Cisco Systems, Inc. no asume ninguna responsabilidad por la precisión de estas traducciones y recomienda remitirse siempre al documento original escrito en inglés (insertar vínculo URL).
Este documento describe el soporte del VLAN privado (PVLAN) en el Cisco Unified Computing System (UCS), una característica introducida en la versión 1.4 del Cisco UCS Manager (UCSM). También detalla las características, las advertencias, y la configuración cuando los PVLAN se utilizan en un entorno UCS.
ESTE DOCUMENTO ESTÁ PARA EL USO CON LAS VERSIONES DE LA VERSIÓN 2.2(2C) Y ANTERIOR UCSM. En las versiones más adelante que la versión 2.2(2C), los cambios se han realizado a UCSM y a ESXi DV se soportan. Hay también cambios en cómo el marcar con etiqueta trabaja para el PVLAN NIC.
Cisco recomienda que tenga conocimiento sobre estos temas:
Este documento no tiene restricciones específicas en cuanto a versiones de software y de hardware.
La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si la red está funcionando, asegúrese de haber comprendido el impacto que puede tener cualquier comando.
Un VLAN privado es un VLA N configurado para el aislamiento L2 de otros puertos dentro del mismo VLAN privado. Los puertos que pertenecen a un PVLAN se asocian a un conjunto común de VLA N del soporte, que se utilizan para crear la estructura PVLAN.
Hay tres tipos de puertos PVLAN:
Refiera al RFC 5517, los VLAN privados de los Cisco Systems: Seguridad scalable en un entorno multicliente para entender la teoría, la operación, y los conceptos de PVLAN.
El UCS se asemeja de cerca al nexo 5000/2000 arquitectura, donde está análogo el nexo 5000 al UCS 6100 y al nexo 2000 a los suplementos de la tela UCS 2104.
Muchas limitaciones de las funciones PVLAN en el UCS son causadas por las limitaciones encontradas en el nexo 5000/2000 implementación.
Los puntos importantes a recordar son:
Este documentos abarca varias diversas configuraciones disponibles para el PVLAN con el UCS:
La topología por todos los ejemplos con un Switch distribuido es:
La topología por todos los ejemplos sin el Switch distribuido es:
En esta configuración, usted está pasando el tráfico PVLAN con el UCS a un puerto promiscuo que esté por aguas arriba. Porque usted no puede enviar primario y los VLAN secundarios en el mismo vNIC, usted necesita un vNIC para cada cuchilla para cada PVLAN, para llevar el tráfico PVLAN.
Este procedimiento describe cómo crear el primario y cualquier VLAN aislado.
Nota: Este ejemplo utiliza 266 como el primario y 166 como aislado; las identificaciones de VLAN serán determinadas por el sitio.
Estos procedimientos describen cómo configurar un nexo 5K para pasar el PVLAN a través a un 4900 Switch por aguas arriba donde está el puerto promiscuo. Mientras que esto no pudo ser necesario en todos los entornos, utilice esta configuración en caso que usted deba pasar el PVLAN a través de otro Switch.
En el nexo 5K, ingrese estos comandos, y la configuración del uplink del control:
Nexus5000-5(config)# feature private-vlan
Nexus5000-5(config)# vlan 166
Nexus5000-5(config-vlan)# private-vlan isolated
Nexus5000-5(config-vlan)# vlan 266
Nexus5000-5(config-vlan)# private-vlan primary
Nexus5000-5(config-vlan)# private-vlan association 166
En el 4900 Switch, tome estas medidas, y configure el puerto promiscuo. Los extremos PVLAN en el puerto promiscuo.
Switch(config-if)#switchport mode trunk
switchport private-vlan mapping 266 166
switchport mode private-vlan promiscuous
En el router ascendente, cree una subinterfaz para el VLA N 266 solamente. A este nivel, los requisitos dependen de la configuración de red que usted está utilizando:
Este procedimiento describe cómo probar la configuración.
(config)# interface vlan 266
(config-if)# ip address 209.165.200.225 255.255.255.224
(config-if)# private-vlan mapping 166
(config-if)# no shut
En esta configuración, los sistemas en este VLAN aislado no pueden comunicar con uno a, sino pueden comunicar con otros sistemas a través del puerto promiscuo en el 4900 Switch. Un problema es cómo configurar los dispositivos del downsteam. En este caso, usted está utilizando VMware y dos host.
Recuerde que usted debe utilizar un vNIC para cada PVLAN. Estos vNICs se presentan al vSphere ESXi de VMware, y usted puede después crear a los grupos de puertos y tener los invitados a estos grupos de puertos.
Si dos sistemas se agregan al grupo del mismo puerto en el mismo Switch, pueden comunicar con uno a porque sus comunicaciones se conmutan localmente en el vSwitch. En este sistema, hay dos cuchillas con dos recibe cada uno.
En el primer sistema, han creado a dos diversos grupos de puertos - un 166 llamados, y uno llamaron 166A. Cada uno está conectada con un solo NIC, que se configura en el VLAN aislado en el UCS. Hay actualmente solamente un invitado para cada grupo de puertos. En este caso, porque éstos se separan en ESXi, no pueden hablar el uno al otro.
En el segundo sistema, hay solamente un grupo de puertos llamado 166. Hay dos invitados en este grupo de puertos. En esta configuración, VM3 y VM4 pueden comunicar con uno a aunque usted no quisiera que sucediera esto. Para corregir esto, usted necesita configurar un solo NIC para cada máquina virtual (VM) que esté en el VLAN aislado, y después crear a un grupo de puertos asociado a ese vNIC. Una vez que se configura esto, ponga a solamente un invitado en el grupo de puertos. Esto no es un problema con un metal descubierto Windows instala porque usted no tiene estos vSwitches subyacentes.
En esta configuración, usted está pasando tráfico PVLAN con un N1K entonces el UCS a un puerto promiscuo que esté por aguas arriba. Porque usted no puede enviar primario y los VLAN secundarios en el mismo vNIC, usted necesita un vNIC para cada uplink PVLAN para llevar el tráfico PVLAN.
Este procedimiento describe cómo crear el primario y cualquier VLAN aislado.
Nota: Este ejemplo utiliza 266 como el primario y 166 como aislado; las identificaciones de VLAN serán determinadas por el sitio.
Estos procedimientos describen cómo configurar un nexo 5K para pasar el PVLAN a través a un 4900 Switch por aguas arriba donde está el puerto promiscuo. Mientras que esto no pudo ser necesario en todos los entornos, utilice esta configuración en caso que usted deba pasar el PVLAN a través de otro Switch.
En el nexo 5K, ingrese estos comandos, y la configuración del uplink del control:
Nexus5000-5(config)# feature private-vlan
Nexus5000-5(config)# vlan 166
Nexus5000-5(config-vlan)# private-vlan isolated
Nexus5000-5(config-vlan)# vlan 266
Nexus5000-5(config-vlan)# private-vlan primary
Nexus5000-5(config-vlan)# private-vlan association 166
En el 4900 Switch, tome estas medidas, y configure el puerto promiscuo. Los extremos PVLAN en el puerto promiscuo.
Switch(config-if)#switchport mode trunk
switchport private-vlan mapping 266 166
switchport mode private-vlan promiscuous
En el router ascendente, cree una subinterfaz para el VLA N 266 solamente. A este nivel, los requisitos dependen de la configuración de red que usted utiliza:
Este procedimiento describe cómo configurar el N1K como trunk estándar, no un trunk PVLAN.
Switch(config)#port-profile type ethernet pvlan_uplink
Switch(config-port-prof)# vmware port-group
Switch(config-port-prof)# switchport mode trunk
Switch(config-port-prof)# switchport trunk allowed vlan 166,266
Switch(config-port-prof)# switchport trunk native vlan 266 <-- This is necessary to handle
traffic coming back from the promiscuous port.
Switch(config-port-prof)# channel-group auto mode on mac-pinning
Switch(config-port-prof)# no shut
Switch(config-port-prof)# state enabled
Switch(config)# port-profile type vethernet pvlan_guest
Switch(config-port-prof)# vmware port-group
Switch(config-port-prof)# switchport mode private-vlan host
Switch(config-port-prof)# switchport private-vlan host-association 266 166
Switch(config-port-prof)# no shut
Switch(config-port-prof)# state enabled
Este procedimiento describe cómo probar la configuración.
En esta configuración, usted contiene el tráfico PVLAN al N1K con solamente la conexión en sentido ascendente usada VLAN principal.
Este procedimiento describe cómo agregar el VLAN principal al vNIC. No hay necesidad de la configuración de PVLAN porque usted necesita solamente el VLAN principal.
Nota: Este ejemplo utiliza 266 como el primario y 166 como aislado; las identificaciones de VLAN serán determinadas por el sitio.
Estos procedimientos describen cómo configurar los dispositivos ascendentes. En este caso, el Switches por aguas arriba necesita solamente los puertos troncales, y él necesita solamente el VLA N 266 del trunk porque es el único VLA N que el Switches de la conexión en sentido ascendente considera.
En el nexo 5K, ingrese estos comandos, y la configuración del uplink del control:
Nexus5000-5(config-vlan)# vlan 266
En el 4900 Switch, tome estas medidas:
En el router ascendente, cree una subinterfaz para el VLA N 266 solamente. A este nivel, los requisitos dependen de la configuración de red que usted utiliza.
Este procedimiento describe cómo configurar el N1K.
Switch(config)# vlan 166
Switch(config-vlan)# private-vlan isolated
Switch(config-vlan)# vlan 266
Switch(config-vlan)# private-vlan primary
Switch(config-vlan)# private-vlan association 166
Switch(config)#port-profile type ethernet pvlan_uplink
Switch(config-port-prof)# vmware port-group
Switch(config-port-prof)# switchport mode private-vlan trunk promiscuous
Switch(config-port-prof)# switchport private-vlan trunk allowed vlan 266 <-- Only need to
allow the primary VLAN
Switch(config-port-prof)# switchport private-vlan mapping trunk 266 166 <-- The VLANS must
be mapped at this point
Switch(config-port-prof)# channel-group auto mode on mac-pinning
Switch(config-port-prof)# no shut
Switch(config-port-prof)# state enabled
Switch(config)# port-profile type vethernet pvlan_guest
Switch(config-port-prof)# vmware port-group
Switch(config-port-prof)# switchport mode private-vlan host
Switch(config-port-prof)# switchport private-vlan host-association 266 166
Switch(config-port-prof)# no shut
Switch(config-port-prof)# state enabled
Este procedimiento describe cómo probar la configuración.
Ésta es la única configuración admitida para el VLAN de comunidad con el UCS.
Esta configuración es lo mismo que ésa configurada en el PVLAN aislado en N1K con el puerto promiscuo en la sección del Puerto-perfil del uplink N1K. La única diferencia entre la comunidad y aislada es la configuración del PVLAN.
Para configurar el N1K, cree y asocie los VLA N como usted hizo en el nexo 5K:
Switch(config)# vlan 166
Switch(config-vlan)# private-vlan community
Switch(config-vlan)# vlan 266
Switch(config-vlan)# private-vlan primary
Switch(config-vlan)# private-vlan association 16
El resto de la configuración es lo mismo que el PVLAN aislado en N1K con el puerto promiscuo en el puerto-perfil del uplink N1K.
Una vez que se configura esto, usted puede comunicar con todos los VM conectados con el puerto-perfil del vEthernet usado para su PVLAN.
Este procedimiento describe cómo probar la configuración.
Debido a los problemas de configuración en los DV y el sistema UCS, los PVLAN con los DV y el UCS no se soportan antes de la versión 2.2(2c).
No hay actualmente procedimientos de verificación disponibles para estas configuraciones.
Las secciones anteriores proporcionaron a la información que usted puede utilizar para resolver problemas sus configuraciones.
La herramienta del Output Interpreter (clientes registrados solamente) apoya los ciertos comandos show. Utilice la herramienta del Output Interpreter para ver una análisis de la salida del comando show.