Avez-vous un compte?
Cisco a traduit ce document en traduction automatisée vérifiée par une personne dans le cadre d’un service mondial permettant à nos utilisateurs d’obtenir le contenu d’assistance dans leur propre langue. Il convient cependant de noter que même la meilleure traduction automatisée ne sera pas aussi précise que celle fournie par un traducteur professionnel.
Ce document décrit le support du VLAN privé (PVLAN) dans le Système d'informatique unifiée Cisco (UCS), une fonctionnalité introduite dans la version 1.4 du Cisco UCS Manager (UCSM). Il détaille également les caractéristiques, les mises en garde, et la configuration quand PVLANs sont utilisés dans un environnement UCS.
CE DOCUMENT SERT AVEC DES VERSIONS DE VERSION 2.2(2C) ET ANTÉRIEURES UCSM. Dans les versions plus tard que la version 2.2(2C), des modifications ont été apportées à UCSM et à ESXi DVS est prises en charge. Il y a également des changements de la façon dont l'étiquetage fonctionne pour le NIC PVLAN.
Cisco vous recommande de prendre connaissance des rubriques suivantes :
Ce document n'est pas limité à des versions de matériel et de logiciel spécifiques.
Les informations contenues dans ce document ont été créées à partir des périphériques d'un environnement de laboratoire spécifique. Tous les périphériques utilisés dans ce document ont démarré avec une configuration effacée (par défaut). Si votre réseau est opérationnel, assurez-vous que vous comprenez l'effet potentiel de toute commande.
Un VLAN privé est un VLAN configuré pour l'isolation L2 d'autres ports dans le même VLAN privé. Des ports qui appartiennent à un PVLAN sont associés avec un ensemble commun de support VLAN, qui est utilisé afin de créer la structure PVLAN.
Il y a trois types de ports PVLAN :
Référez-vous à RFC 5517, les VLAN privés des Cisco Systems : Sécurité extensible dans un environnement de Multi-client afin de comprendre la théorie, l'exécution, et les concepts de PVLANs.
L'UCS ressemble étroitement à l'architecture du Nexus 5000/2000, où le Nexus 5000 est analogue à l'UCS 6100 et au Nexus 2000 aux prolongateurs de matrice UCS 2104.
Beaucoup de limites de fonctionnalité PVLAN dans l'UCS sont provoqué par par les limites trouvées dans l'implémentation du Nexus 5000/2000.
Les points importants à se souvenir sont :
Ce document couvre plusieurs différentes configurations disponibles pour PVLAN d'UCS :
La topologie pour tous les exemples avec un commutateur distribué est :
La topologie pour tous les exemples sans le commutateur distribué est :
Dans cette configuration, vous passez le trafic PVLAN par l'UCS à un port proche qui est en amont. Puisque vous ne pouvez pas envoyer primaire et des VLAN secondaires sur le même vNIC, vous avez besoin d'un vNIC pour chaque lame pour chaque PVLAN, afin de porter le trafic PVLAN.
Cette procédure décrit comment créer VLAN primaires et tous les d'isolement.
Remarque: Cet exemple utilise 266 en tant que primaire et 166 en tant que d'isolement ; les IDs de VLAN seront déterminés par le site.
Ces procédures décrivent comment configurer un Nexus 5K pour passer le PVLAN à un commutateur 4900 en amont où le port proche est. Tandis que ceci ne pourrait pas être nécessaire dans tous les environnements, utilisez cette configuration au cas où vous devriez passer le PVLAN par un autre commutateur.
Sur le Nexus 5K, écrivez ces commandes, et configuration de liaison ascendante de contrôle :
Nexus5000-5(config)# feature private-vlan
Nexus5000-5(config)# vlan 166
Nexus5000-5(config-vlan)# private-vlan isolated
Nexus5000-5(config-vlan)# vlan 266
Nexus5000-5(config-vlan)# private-vlan primary
Nexus5000-5(config-vlan)# private-vlan association 166
Sur le commutateur 4900, prenez ces mesures, et installez le port proche. Le PVLAN finit au port proche.
Switch(config-if)#switchport mode trunk
switchport private-vlan mapping 266 166
switchport mode private-vlan promiscuous
Sur le routeur en amont, créez une sous-interface pour le VLAN 266 seulement. À ce niveau, les conditions requises dépendent de la configuration réseau que vous utilisez :
Cette procédure décrit comment tester la configuration.
(config)# interface vlan 266
(config-if)# ip address 209.165.200.225 255.255.255.224
(config-if)# private-vlan mapping 166
(config-if)# no shut
Dans cette configuration, les systèmes dans ce VLAN d'isolement ne peuvent pas communiquer les uns avec les autres, mais peuvent communiquer avec d'autres systèmes par le port proche sur le commutateur 4900. Une question est comment configurer des périphériques de downsteam. Dans ce cas, vous utilisez le VMware et deux hôtes.
Souvenez-vous que vous devez utiliser un vNIC pour chaque PVLAN. Ces vNICs sont présentés au vSphere ESXi de VMware, et vous pouvez alors créer des groupes de port et avoir des invités à ces derniers mettez en communication les groupes.
Si deux systèmes sont ajoutés au même groupe de port sur le même commutateur, ils peuvent communiquer les uns avec les autres parce que leurs transmissions sont commutées localement sur le vSwitch. Dans ce système, il y a deux lames avec deux héberge chacun.
Sur le premier système, deux groupes différents de port ont été créés - un 166 appelés, et on ont appelé 166A. Chacun est connecté à un NIC simple, qui est configuré dans le VLAN d'isolement sur l'UCS. Il y a actuellement seulement un invité pour chaque groupe de port. Dans ce cas, parce que ceux-ci sont séparés sur ESXi, elles ne peuvent pas parler entre eux.
Sur le deuxième système, il y a seulement un groupe de port appelé 166. Il y a deux invités dans ce groupe de port. Dans cette configuration, VM3 et VM4 peuvent communiquer les uns avec les autres quoique vous ne vouliez pas que ceci se produise. Afin de corriger ceci, vous devez configurer un NIC simple pour chaque virtual machine (VM) qui est dans le VLAN d'isolement, et puis créer un groupe de port relié à ce vNIC. Une fois que ceci est configuré, mettez seulement un invité dans le groupe de port. Ce n'est pas un problème avec un métal nu Windows installent parce que vous n'avez pas ces vSwitches sous-jacents.
Dans cette configuration, vous passez au trafic PVLAN par un N1K puis l'UCS à un port proche qui est en amont. Puisque vous ne pouvez pas envoyer primaire et des VLAN secondaires sur le même vNIC, vous avez besoin d'un vNIC pour chaque liaison ascendante PVLAN afin de porter le trafic PVLAN.
Cette procédure décrit comment créer VLAN primaires et tous les d'isolement.
Remarque: Cet exemple utilise 266 en tant que primaire et 166 en tant que d'isolement ; les IDs de VLAN seront déterminés par le site.
Ces procédures décrivent comment configurer un Nexus 5K afin de passer le PVLAN à un commutateur 4900 en amont où le port proche est. Tandis que ceci ne pourrait pas être nécessaire dans tous les environnements, utilisez cette configuration au cas où vous devriez passer le PVLAN par un autre commutateur.
Sur le Nexus 5K, écrivez ces commandes, et configuration de liaison ascendante de contrôle :
Nexus5000-5(config)# feature private-vlan
Nexus5000-5(config)# vlan 166
Nexus5000-5(config-vlan)# private-vlan isolated
Nexus5000-5(config-vlan)# vlan 266
Nexus5000-5(config-vlan)# private-vlan primary
Nexus5000-5(config-vlan)# private-vlan association 166
Sur le commutateur 4900, prenez ces mesures, et installez le port proche. Le PVLAN finit au port proche.
Switch(config-if)#switchport mode trunk
switchport private-vlan mapping 266 166
switchport mode private-vlan promiscuous
Sur le routeur en amont, créez une sous-interface pour le VLAN 266 seulement. À ce niveau, les conditions requises dépendent de la configuration réseau que vous utilisez :
Cette procédure décrit comment configurer le N1K comme joncteur réseau standard, pas un joncteur réseau PVLAN.
Switch(config)#port-profile type ethernet pvlan_uplink
Switch(config-port-prof)# vmware port-group
Switch(config-port-prof)# switchport mode trunk
Switch(config-port-prof)# switchport trunk allowed vlan 166,266
Switch(config-port-prof)# switchport trunk native vlan 266 <-- This is necessary to handle
traffic coming back from the promiscuous port.
Switch(config-port-prof)# channel-group auto mode on mac-pinning
Switch(config-port-prof)# no shut
Switch(config-port-prof)# state enabled
Switch(config)# port-profile type vethernet pvlan_guest
Switch(config-port-prof)# vmware port-group
Switch(config-port-prof)# switchport mode private-vlan host
Switch(config-port-prof)# switchport private-vlan host-association 266 166
Switch(config-port-prof)# no shut
Switch(config-port-prof)# state enabled
Cette procédure décrit comment tester la configuration.
Dans cette configuration, vous contenez le trafic PVLAN au N1K avec seulement l'en amont utilisé par VLAN primaire.
Cette procédure décrit comment ajouter le VLAN primaire au vNIC. Il n'y a aucun besoin de configuration PVLAN parce que vous avez besoin seulement du VLAN primaire.
Remarque: Cet exemple utilise 266 en tant que primaire et 166 en tant que d'isolement ; les IDs de VLAN seront déterminés par le site.
Ces procédures décrivent comment configurer les périphériques en amont. Dans ce cas, les Commutateurs en amont ont besoin seulement des ports de joncteur réseau, et ils ont besoin seulement de joncteur réseau VLAN 266 parce que c'est le seul VLAN que les Commutateurs en amont voient.
Sur le Nexus 5K, écrivez ces commandes, et configuration de liaison ascendante de contrôle :
Nexus5000-5(config-vlan)# vlan 266
Sur le commutateur 4900, prenez ces mesures :
Sur le routeur en amont, créez une sous-interface pour le VLAN 266 seulement. À ce niveau, les conditions requises dépendent de la configuration réseau que vous utilisez.
Cette procédure décrit comment configurer le N1K.
Switch(config)# vlan 166
Switch(config-vlan)# private-vlan isolated
Switch(config-vlan)# vlan 266
Switch(config-vlan)# private-vlan primary
Switch(config-vlan)# private-vlan association 166
Switch(config)#port-profile type ethernet pvlan_uplink
Switch(config-port-prof)# vmware port-group
Switch(config-port-prof)# switchport mode private-vlan trunk promiscuous
Switch(config-port-prof)# switchport private-vlan trunk allowed vlan 266 <-- Only need to
allow the primary VLAN
Switch(config-port-prof)# switchport private-vlan mapping trunk 266 166 <-- The VLANS must
be mapped at this point
Switch(config-port-prof)# channel-group auto mode on mac-pinning
Switch(config-port-prof)# no shut
Switch(config-port-prof)# state enabled
Switch(config)# port-profile type vethernet pvlan_guest
Switch(config-port-prof)# vmware port-group
Switch(config-port-prof)# switchport mode private-vlan host
Switch(config-port-prof)# switchport private-vlan host-association 266 166
Switch(config-port-prof)# no shut
Switch(config-port-prof)# state enabled
Cette procédure décrit comment tester la configuration.
C'est la seule configuration prise en charge pour le VLAN communautaire avec l'UCS.
Cette configuration est identique que cette installation dans le PVLAN d'isolement sur N1K avec le port proche sur la section de Port-profil de liaison ascendante N1K. La seule différence entre la communauté et d'isolement est la configuration du PVLAN.
Afin de configurer le N1K, créez et associez les VLAN comme vous avez fait sur le Nexus 5K :
Switch(config)# vlan 166
Switch(config-vlan)# private-vlan community
Switch(config-vlan)# vlan 266
Switch(config-vlan)# private-vlan primary
Switch(config-vlan)# private-vlan association 16
Toute autre configuration est identique que le PVLAN d'isolement sur N1K avec le port proche sur le port-profil de liaison ascendante N1K.
Une fois que ceci est configuré, vous pouvez communiquer avec toutes les VMs connectées au port-profil de vEthernet utilisé pour votre PVLAN.
Cette procédure décrit comment tester la configuration.
En raison des questions de configuration sur le DVS et le système UCS, PVLANs avec DVS et UCS ne sont pas pris en charge avant la version 2.2(2c).
Il n'y a actuellement aucune procédure de vérification disponible pour ces configurations.
Les sections précédentes ont fourni des informations que vous pouvez employer afin de dépanner vos configurations.
L'Output Interpreter Tool (clients enregistrés seulement) prend en charge certaines commandes show. Utilisez l'Output Interpreter Tool afin de visualiser une analyse de sortie de commande show.