内容

概要

前提条件

要件

使用するコンポーネント

背景説明

理論

UCS での PVLAN 実装

目標

設定

ネットワーク図

vSwitch 上の PVLANアップストリーム デバイス上の無差別ポートを使用した隔離 PVLAN

UCS での設定

アップストリーム デバイスの設定

トラブルシューティング

アップストリーム デバイス上の無差別ポートを使用した、N1K 上の隔離 PVLAN

UCS での設定

アップストリーム デバイスの設定

N1K の設定

トラブルシューティング

N1K アップリンク ポート プロファイルの無差別ポートを使用した、N1K 上の隔離 PVLAN

UCS での設定

アップストリーム デバイスの設定

N1K の設定

トラブルシューティング

N1K アップリンク ポート プロファイルの無差別ポートを使用した、N1K 上のコミュニティ PVLAN

トラブルシューティング

DVS 上の VMware DVS 無差別ポートでの隔離 PVLAN およびコミュニティ PVLAN

確認

トラブルシュート

概要

このドキュメントでは、Cisco UCS Manager(UCSM)リリース1.4で導入された機能であるCisco Unified Computing System(UCS)でのプライベートVLAN(PVLAN)のサポートについて説明します。 また、UCS 環境で PVLAN を使用する場合の機能、警告、設定についても詳しく説明します。

このドキュメントは、UCSMバージョン2.2(2C)以前のバージョンで使用します。バージョン2.2(2C)以降では、UCSMおよびESXi DVSに対する変更がサポートされています。PVLAN NICのタギングの動作にも変更があります。

前提条件

要件

次の項目に関する知識があることが推奨されます。

- UCS

- Cisco Nexus 1000 V（N1K）

- VMware

- レイヤ 2（L2）スイッチング

使用するコンポーネント

このドキュメントの内容は、特定のソフトウェアやハードウェアのバージョンに限定されるものではありません。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。

背景説明

理論

プライベート VLAN（PVLAN）とは、同じプライベート VLAN 内の他のポートから L2 で隔離するように設定された VLAN です。PVLAN に所属するポートは、その PVLAN 構造を作成するために使用される共通のサポート VLAN のセットに関連付けられます。

PVLAN ポートには次の 3 種類があります。

- 無差別ポートとは他のすべての PVLAN ポートと通信を行うポートであり、PVLAN 外部のデバイスと通信するために使用されます。

- 隔離モードのポートは、同じ PVLAN 内の他のポートから完全に L2 で隔離（ブロードキャストを含む）されています（無差別ポートはこれにはあてはまりません）。

- コミュニティ ポートは、同じ PVLAN 内の他のポートならびに無差別ポートと通信できます。コミュニティ ポートは、隔離モードの PVLAN ポートと通信するために、L2 で隔離されています。ブロードキャストが伝搬されるのは、関連するコミュニティ内の他のポートおよび無差別ポートのみです。

PVLAN の理論、動作、概念については、RFC 5517、シスコのプライベート VLAN： マルチクライアント環境におけるスケーラブルなセキュリティ 』を参照してください。

UCS での PVLAN 実装

UCS は Nexus 5000/2000 のアーキテクチャに非常によく似ており、Nexus 5000 は UCS 6100 に、Nexus 2000 は UCS 2104 ファブリック エクステンダに相当します。

UCS における PVLAN 機能の多くの制約事項は、Nexus 5000/2000 実装に見られる制約事項によるものです。

注意すべき点は次のとおりです。

- UCS では隔離モードのポートのみがサポートされます。N1K が統合されている場合、コミュニティ VLAN を使用することはできますが、無差別ポートが N1K 上にもなければなりません。

- 無差別ポート/トランク、コミュニティ ポート/トランク、隔離トランクはいずれもサポートされていません。

- 無差別ポートはドメイン外部（アップストリーム スイッチ/ルータまたはダウンロードストリーム N1K など）になければなりません。

目標

このドキュメントでは、UCS を使用した PVLAN に有効な以下の設定を取り上げます。

1. アップストリーム デバイス上の無差別ポートを使用した隔離 PVLAN。

2. アップストリーム デバイス上の無差別ポートを使用した、N1K 上の隔離 PVLAN。

3. N1K アップリンク ポート プロファイルの無差別ポートを使用した、N1K 上の隔離 PVLAN

4. N1K アップリンク ポート プロファイルの無差別ポートを使用した、N1K 上のコミュニティ PVLAN。

5. DVS 上の VMware 分散仮想スイッチ（DVS）無差別ポートでの隔離 PVLAN。

6. DVS 上の VMware DVS 無差別ポートでのコミュニティ PVLAN。

設定

ネットワーク図

分散スイッチを使用したすべての例のトポロジは、次のようになります。

分散スイッチを使用しないすべての例のトポロジは、次のようになります。

vSwitch 上の PVLANアップストリーム デバイス上の無差別ポートを使用した隔離 PVLAN

この設定では、PVLAN トラフィックを UCS 経由でアップストリームの無差別ポートに渡します。同じ vNIC でプライマリ VLAN とセカンダリ VLAN の両方を送信することはできないため、PVLAN トラフィックを伝送するには、各 PVLAN のブレードごとに 1 つの vNIC が必要になります。

UCS での設定

この手順では、プライマリ VLAN と隔離 VLAN の両方を作成する方法について説明します。

注：次の例では、VLAN 266 をプライマリ VLAN として使用し、VLAN 166 を隔離 VLAN として使用します。VLAN ID は、サイトによって決まります。

1. プライマリ VLAN を作成するために、[Sharing Type] として [Primary] をクリックし、[VLAN ID] に 266 と入力します。

2. 隔離 VLAN を作成するために、[Sharing Type] として [Isolated] をクリックし、[VLAN ID] に 166 と入力します。プライマリ VLAN には [VLAN 266 (266)] を選択します。

3. VLAN を vNIC に追加するために、[VLAN 166] の [Select] チェックボックスをオンにしてから、対応する [Native VLAN] オプション ボタンをクリックします。

隔離 VLAN のみを追加して、プライマリとして設定する必要があります。vNIC ごとに許容されるプライマリは 1 つだけです。ここではネイティブ VLAN が定義されているため、VMware ポート グループに VLAN タギングを設定しないでください。

アップストリーム デバイスの設定

次の手順では、無差別ポートがあるアップストリームの 4900 スイッチ経由で PVLAN を渡すように Nexus 5K を設定する方法について説明します。これは、すべての環境で必要なわけではありませんが、PVLANを別のスイッチに渡す必要がある場合には、この設定を使用してください。

Nexus 5K で、次のコマンドを入力してアップリンクの設定を確認します。

1. PVLAN 機能をオンにします。

Nexus5000-5(config)# feature private-vlan

2. VLAN をプライマリ VLAN および隔離 VLAN として追加します。

Nexus5000-5(config)# vlan 166

Nexus5000-5(config-vlan)# private-vlan isolated

Nexus5000-5(config-vlan)# vlan 266

Nexus5000-5(config-vlan)# private-vlan primary

3. VLAN 166 を隔離 VLAN 266 に関連付けます。

Nexus5000-5(config-vlan)# private-vlan association 166

4. VLAN をトランキングするために、すべてのアップリンクが設定されていることを確認します。

1. interface Ethernet1/1

2. description Connection to 4900

3. switchport mode trunk

4. speed 1000

5. interface Ethernet1/3

6. description Connection to FIB Port 5

7. switchport mode trunk

8. speed 1000

9. interface Ethernet1/4

10. description Connection to FIA port 5

11. switchport mode trunk

12. speed 1000

4900 スイッチで、次の手順に従って無差別ポートを設定します。PVLAN は無差別ポートで終端します。

1. 必要に応じて PVLAN 機能をオンにします。

2. Nexus 5K で行ったように、VLAN を作成して関連付けます。

3. 4900 スイッチの出力ポートで無差別ポートを作成します。この時点から、VLAN 166 からのパケットが VLAN 266（この例の場合）で確認されるようになります。

Switch(config-if)#switchport mode trunk

switchport private-vlan mapping 266 166

switchport mode private-vlan promiscuous

アップストリーム ルータで、VLAN 266 専用のサブインターフェイスを作成します。このレベルでの要件は、使用しているネットワークによって決まります。

1. interface GigabitEthernet0/1.1

2. encapsulation dot1Q 266

3. IP address 209.165.200.225 255.255.255.224

トラブルシューティング

この手順では、設定のテスト方法について説明します。

1. 各スイッチでスイッチ仮想インターフェイス（SVI）を設定し、PVLAN から SVI への ping を実行できるようにします。

(config)# interface vlan 266

(config-if)# ip address 209.165.200.225 255.255.255.224

(config-if)# private-vlan mapping 166

(config-if)# no shut

2. MAC アドレス テーブルを調べて、MAC が学習されている場所を確認します。無差別ポートがあるスイッチを除くすべてのスイッチで、MAC は隔離 VLAN 内になければなりません。無差別ポートがあるスイッチでは、MAC はプライマリ VLAN 内にあることに注意してください。

1. ファブリック インターコネクトでは、MAC アドレス 0050.56bd.7bef が Veth1491 で学習されます。

2. Nexus 5K では、MAC アドレス 0050.56bd.7bef が Eth1/4 で学習されます。

3. 4900 スイッチでは、MAC アドレス 0050.56bd.7bef が GigabitEthernet1/1 で学習されます。

この設定では、この隔離 VLAN 内のシステムが互いに通信することはできませんが、4900 スイッチ上の無差別ポートを介して他のシステムと通信することができます。1 つの問題は、ダウンストリーム デバイスを設定する方法です。この例では、VMware と 2 つのホストを使用します。

PVLANごとに1つのvNICを使用する必要があることに注意してください。これらの vNIC が VMware vSphere ESXi に提示されるようになった後、ポート グループを作成して、作成したポート グループに対するゲストを使用できます。

2 つのシステムが同じスイッチ上の同じポート グループに追加されていれば、その 2 つのシステムの通信が vSwitch 上でローカルに切り替えられるため、システム間での通信が可能になります。このシステムには 2 つのブレードがあり、それぞれのブレードに 2 つのホストがあります。

最初のシステムには、166 と 166A という 2 つの異なるポート グループが作成されています。それぞれのポート グループは、UCS 上の隔離 VLAN 内に設定された単一の NIC に接続されています。現在、ゲストはポート グループごとに 1 つだけあります。この場合、ESXi 上で分離されるため、互いに対話することはできません。

2つ目のシステムでは、166と呼ばれる1つのポートグループしかありません。このポートグループには2人のゲストがいます。この設定では、不本意であっても VM3 と VM4 が互いに通信できてしまいます。この状態を修正するには、隔離 VLAN 内にある仮想マシン（VM）ごとに単一の NIC を設定してから、その vNIC に接続するポート グループを作成します。このように設定した後、1 つのゲストだけをポート グループに含めます。これらの基本 vSwitch を使用しないベア メタル Windows インストールでは、これは問題になりません。

アップストリーム デバイス上の無差別ポートを使用した、N1K 上の隔離 PVLAN

この設定では、PVLAN トラフィックを N1K 経由、次に UCS 経由でアップストリームの無差別ポートに渡します。同じ vNIC でプライマリ VLAN とセカンダリ VLAN の両方を送信することはできないため、PVLAN トラフィックを伝送するには、PVLAN アップリンクごとに 1 つの vNIC が必要になります。

UCS での設定

この手順では、プライマリ VLAN と隔離 VLAN の両方を作成する方法について説明します。

注：次の例では、VLAN 266 をプライマリ VLAN として使用し、VLAN 166 を隔離 VLAN として使用します。VLAN ID は、サイトによって決まります。

1. プライマリ VLAN を作成するために、[Sharing Type] として [Primary] をクリックします。

2. 隔離 VLAN を作成するために、[Sharing Type] として [Isolated] をクリックします。

3. VLANをvNICに追加するには、VLAN 166の[Select]チェックボックスをオンにします。VLAN 166では[Native VLAN]が選択されていません。

隔離 VLAN のみを追加して、ネイティブとして設定する必要があります。vNIC ごとに許容されるネイティブは 1 つだけです。ここではネイティブ VLAN が定義されていないため、N1K 上のネイティブ VLAN にタグを付けます。ネイティブ VLAN にタグを付けるオプションは VMware DVS では使用できないため、DVS ではサポートされません。

アップストリーム デバイスの設定

次の手順では、無差別ポートがあるアップストリームの 4900 スイッチ経由で PVLAN を渡すように Nexus 5K を設定する方法について説明します。これは、すべての環境で必要なわけではありませんが、PVLANを別のスイッチに渡す必要がある場合には、この設定を使用してください。

Nexus 5K で、次のコマンドを入力してアップリンクの設定を確認します。

1. PVLAN 機能をオンにします。

Nexus5000-5(config)# feature private-vlan

2. VLAN をプライマリ VLAN および隔離 VLAN として追加します。

Nexus5000-5(config)# vlan 166

Nexus5000-5(config-vlan)# private-vlan isolated

Nexus5000-5(config-vlan)# vlan 266

Nexus5000-5(config-vlan)# private-vlan primary

3. VLAN 166 を隔離 VLAN 266 に関連付けます。

Nexus5000-5(config-vlan)# private-vlan association 166

4. VLAN をトランキングするために、すべてのアップリンクが設定されていることを確認します。

1. interface Ethernet1/1

2. description Connection to 4900

3. switchport mode trunk

4. speed 1000

5. interface Ethernet1/3

6. description Connection to FIB Port 5

7. switchport mode trunk

8. speed 1000

9. interface Ethernet1/4

10. description Connection to FIA port 5

11. switchport mode trunk

12. speed 1000

4900 スイッチで、次の手順に従って無差別ポートを設定します。PVLAN は無差別ポートで終端します。

1. 必要に応じて PVLAN 機能をオンにします。

2. Nexus 5K で行ったように、VLAN を作成して関連付けます。

3. 4900 スイッチの出力ポートで無差別ポートを作成します。この時点から、VLAN 166 からのパケットが VLAN 266（この例の場合）で確認されるようになります。

Switch(config-if)#switchport mode trunk

switchport private-vlan mapping 266 166

switchport mode private-vlan promiscuous

アップストリーム ルータで、VLAN 266 専用のサブインターフェイスを作成します。このレベルの要件は、使用するネットワーク設定によって異なります。

1. interface GigabitEthernet0/1.1

2. encapsulation dot1Q 266

3. IP address 209.165.200.225 255.255.255.224

N1K の設定

この手順では、N1K を PVLAN トランクとしてではなく、標準トランクとして設定する方法について説明します。

1. Nexus 5K で行ったように、VLAN を作成して関連付けます。詳細については、「アップストリーム デバイスの設定」の項を参照してください。

2. PVLAN トラフィックのアップリンク ポート プロファイルを作成します。

Switch(config)#port-profile type ethernet pvlan_uplink

Switch(config-port-prof)# vmware port-group

Switch(config-port-prof)# switchport mode trunk

Switch(config-port-prof)# switchport trunk allowed vlan 166,266

Switch(config-port-prof)# switchport trunk native vlan 266 <-- This is necessary to handle

traffic coming back from the promiscuous port.

Switch(config-port-prof)# channel-group auto mode on mac-pinning

Switch(config-port-prof)# no shut

Switch(config-port-prof)# state enabled

3. 隔離 VLAN のポート グループを作成します。PVLAN ホスト ポートを作成し、プライマリ VLAN と隔離 VLAN のホスト関係を設定します。

Switch(config)# port-profile type vethernet pvlan_guest

Switch(config-port-prof)# vmware port-group

Switch(config-port-prof)# switchport mode private-vlan host

Switch(config-port-prof)# switchport private-vlan host-association 266 166

Switch(config-port-prof)# no shut

Switch(config-port-prof)# state enabled

4. vCenter で、適切な vNIC を PVLAN アップリンクに追加します。適切な vNIC とは、UCS での設定で隔離 VLAN を追加した vNIC です。

5. VM を適切なポート グループに追加します。

1. [Hardware] タブで、[Network adapter 1] をクリックします。

2. [Network Connection] で、ネットワーク ラベルとして [pvlan_guest (pvlan)] を選択します。

トラブルシューティング

この手順では、設定のテスト方法について説明します。

1. ポート グループに設定した他のシステムおよび無差別ポートにあるルータおよび他のデバイスに対して ping を実行します。無差別ポート経由でのデバイスへの ping は成功する一方、隔離 VLAN 内の他のデバイスへの ping は失敗するはずです。

2. N1K では、プライマリ VLAN にある VM がリストされます。これは、PVLAN に関連付けられる PVLAN ホスト ポートで操作しているためです。VM を学習する方法とかかわるため、UCS システムで PVLAN をネイティブとして設定しないでください。また、アップストリーム デバイスはポート チャネルから学習すること、アップストリーム デバイスはプライマリ VLAN で学習されることにも注意してください。これは、この方式で学習する必要があります。PVLAN アップリンクにプライマリ VLAN とネイティブ VLAN の両方を設定するのは、そのためです。

このスクリーン ショットでは、Veth3 および Veth4 上にある 2 台のデバイスが VM です。Po1 上のデバイスはアップストリーム ルータであり、無差別ポートを経由します。

3. UCS システムでは、この通信に使用する隔離 VLAN 内のすべての MAC を学習する必要があります。ここにはアップストリームが表示されません。

4. Nexus 5K では、2 台の VM が隔離 VLAN にあり、アップストリーム デバイスはプライマリ VLAN にあります。

5. 無差別ポートがある 4900 スイッチでは、すべてがプライマリ VLAN にあります。

N1K アップリンク ポート プロファイルの無差別ポートを使用した、N1K 上の隔離 PVLAN

この設定では、アップストリームで使用されるプライマリVLANのみを使用して、N1KへのPVLANトラフィックを含めます。

UCS での設定

この手順では、vNIC にプライマリ VLAN を追加する方法について説明します。必要なのはプライマリ VLAN だけなので、PVLAN の設定は不要です。

注：次の例では、VLAN 266 をプライマリ VLAN として使用し、VLAN 166 を隔離 VLAN として使用します。VLAN ID は、サイトによって決まります。

1. [Sharing Type] は [None] であることに注意してください。

2. プライマリ VLAN を vNIC に追加するために、VLAN 266 の [Select] チェックボックスをクリックします。ネイティブとして設定しないでください。

アップストリーム デバイスの設定

この手順では、アップストリーム デバイスを設定する方法について説明します。この場合、アップストリーム スイッチに必要なのはトランク ポートだけです。アップストリーム スイッチに可視になる VLAN は VLAN 266 だけなので、VLAN 266 のトランキングだけが必要となります。

Nexus 5K で、次のコマンドを入力してアップリンクの設定を確認します。

1. VLAN をプライマリとして追加します。

Nexus5000-5(config-vlan)# vlan 266

2. VLAN をトランキングするために、すべてのアップリンクが設定されていることを確認します。

1. interface Ethernet1/1

2. description Connection to 4900

3. switchport mode trunk

4. speed 1000

5. interface Ethernet1/3

6. description Connection to FIB Port 5

7. switchport mode trunk

8. speed 1000

9. interface Ethernet1/4

10. description Connection to FIA port 5

11. switchport mode trunk

12. speed 1000

4900 スイッチで、次の手順を実行します。

1. N1K でプライマリとして使用する VLAN を作成します。

2. VLAN が渡されるように、4900 スイッチとのインターフェイスのすべてをトランキングします。

アップストリーム ルータで、VLAN 266 専用のサブインターフェイスを作成します。このレベルの要件は、使用するネットワーク設定によって異なります。

1. interface GigabitEthernet0/1.1

2. encapsulation dot1Q 266

3. IP address 209.165.200.225 255.255.255.224

N1K の設定

この手順では、N1K を設定する方法について説明します。

1. VLAN を作成して関連付けます。

Switch(config)# vlan 166

Switch(config-vlan)# private-vlan isolated

Switch(config-vlan)# vlan 266

Switch(config-vlan)# private-vlan primary

Switch(config-vlan)# private-vlan association 166

2. 無差別ポートを指定した PVLAN トラフィックのアップリンク ポート プロファイルを作成します。

Switch(config)#port-profile type ethernet pvlan_uplink

Switch(config-port-prof)# vmware port-group

Switch(config-port-prof)# switchport mode private-vlan trunk promiscuous

Switch(config-port-prof)# switchport private-vlan trunk allowed vlan 266 <-- Only need to

allow the primary VLAN

Switch(config-port-prof)# switchport private-vlan mapping trunk 266 166 <-- The VLANS must

be mapped at this point

Switch(config-port-prof)# channel-group auto mode on mac-pinning

Switch(config-port-prof)# no shut

Switch(config-port-prof)# state enabled

3. 隔離 VLAN のポート グループを作成します。PVLAN ホスト ポートを作成し、プライマリ VLAN と隔離 VLAN のホスト関係を設定します。

Switch(config)# port-profile type vethernet pvlan_guest

Switch(config-port-prof)# vmware port-group

Switch(config-port-prof)# switchport mode private-vlan host

Switch(config-port-prof)# switchport private-vlan host-association 266 166

Switch(config-port-prof)# no shut

Switch(config-port-prof)# state enabled

4. vCenter で、適切な vNIC を PVLAN アップリンクに追加します。適切な vNIC とは、UCS での設定で隔離 VLAN を追加した vNIC です。

5. VM を適切なポート グループに追加します。

1. [Hardware] タブで、[Network adapter 1] をクリックします。

2. [Network Connection] で、ネットワーク ラベルとして [pvlan_guest (pvlan)] を選択します。

トラブルシューティング

この手順では、設定のテスト方法について説明します。

1. ポート グループに設定した他のシステムおよび無差別ポートにあるルータおよび他のデバイスに対して ping を実行します。無差別ポート経由でのデバイスへの ping は成功する一方、隔離 VLAN 内の他のデバイスへの ping は失敗するはずです。

2. N1K では、プライマリ VLAN にある VM がリストされます。これは、PVLAN に関連付けられる PVLAN ホスト ポートで操作しているためです。また、アップストリーム デバイスはポート チャネルから学習すること、アップストリーム デバイスはプライマリ VLAN で学習されることにも注意してください。

このスクリーン ショットでは、Veth3 および Veth4 上にある 2 台のデバイスが VM です。Po1 上のデバイスはアップストリーム デバイスであり、無差別ポートを経由します。

3. UCS システムでは、この通信に使用する、N1K 上で使用するプライマリ VLAN 内のすべての MAC を学習する必要があります。ここではアップストリームを学習しません。

4. Nexus 5K では、選択したプライマリ VLAN 内にすべての MAC があります。

5. 4900 スイッチでは、選択したプライマリ VLAN 内にすべてがあります。

N1K アップリンク ポート プロファイルの無差別ポートを使用した、N1K 上のコミュニティ PVLAN

この設定は、UCS を使用したコミュニティ VLAN にのみサポートされます。

この設定は、「N1K アップリンク ポート プロファイルの無差別ポートを使用した、N1K 上の隔離 PVLAN」の項の設定と同じです。コミュニティと隔離の間の唯一の違いは、PVLAN の設定です。

N1Kを設定するには、Nexus 5Kで行ったようにVLANを作成して関連付けます。

Switch(config)# vlan 166

Switch(config-vlan)# private-vlan community

Switch(config-vlan)# vlan 266

Switch(config-vlan)# private-vlan primary

Switch(config-vlan)# private-vlan association 16

他のすべての設定は、N1K アップリンク ポート プロファイルの無差別ポートを使用した、N1K 上の隔離 PVLAN と同じです。

設定が完了すると、PVLAN に使用されている vEthernet ポート プロファイルに接続するすべての VM と通信できるようになります。

トラブルシューティング

この手順では、設定のテスト方法について説明します。

1. ポート グループに設定した他のシステムおよび無差別ポートにあるルータおよび他のデバイスに対して ping を実行します。無差別ポートを経由してコミュニティ内の他のシステムに送信される ping は成功するはずです。

2. その他すべてのトラブルシューティングは、隔離 PVLAN の場合と同じです。

DVS 上の VMware DVS 無差別ポートでの隔離 PVLAN およびコミュニティ PVLAN

DVSとUCSシステムの両方の設定の問題により、DVSおよびUCSを使用するPVLANは、バージョン2.2(2c)より前ではサポートされません。

確認

現在、これらの設定に使用できる検証手順はありません。

トラブルシュート

ここまでの項で、設定のトラブルシューティングに役立つ情報を提供しました。

アウトプット インタープリタ ツール（登録ユーザ専用）は、特定の show コマンドをサポートしています。show コマンドの出力の分析を表示するには、Output Interpreter Tool を使用します。