統合プラットフォーム コンフィギュレーション ガイド、Cisco IOS Release 15.2(3) E（Catalyst 3560-CX および 2960 CX スイッチ）

偏向のない言語

この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。

翻訳について

このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。

マニュアルのコンテンツ
このマニュアル内で検索
ご利用いただける言語
Download Options

Book Title

統合プラットフォーム コンフィギュレーション ガイド、Cisco IOS Release 15.2(3) E（Catalyst 3560-CX および 2960 CX スイッチ）

Chapter Title

プライベート VLAN の設定

検索結果

Updated:
2017年6月13日

章のタイトル： プライベート VLAN の設定

目次

機能情報の確認

ご使用のソフトウェア リリースでは、このモジュールで説明されるすべての機能がサポートされているとは限りません。 最新の機能情報および警告については、使用するプラットフォームおよびソフトウェア リリースの Bug Search Tool およびリリース ノートを参照してください。 このモジュールに記載されている機能の詳細を検索し、各機能がサポートされているリリースのリストを確認する場合は、このモジュールの最後にある機能情報の表を参照してください。

プラットフォームのサポートおよびシスコ ソフトウェア イメージのサポートに関する情報を検索するには、Cisco Feature Navigator を使用します。 Cisco Feature Navigator には、http:/​/​www.cisco.com/​go/​cfn からアクセスします。 Cisco.com のアカウントは必要ありません。

プライベート VLAN の前提条件

プライベート VLAN は、VTP 1、2、および 3 のトランスペアレント モードでサポートされます。 プライベート VLAN は、VTP 3 のサーバ モードでもサポートされます。

プライベート VLAN を スイッチに設定するときに、ユニキャスト ルートとレイヤ 2 エントリとの間のシステム リソースのバランスを取るために、常にデフォルトの Switch Database Management（SDM）テンプレートを使用してください。 別の SDM テンプレートが設定されている場合、デフォルト テンプレートを設定するのに sdm prefer default グローバル コンフィギュレーション コマンドを使用します。

プライベート VLAN の制約事項

プライベート VLAN はLAN Base イメージを実行しているスイッチではサポートされません。


（注）  

一部の状況では、エラー メッセージが表示されずに設定が受け入れられますが、コマンドには効果がありません。

  • プライベート VLAN が設定されているスイッチでは、フォールバック ブリッジングを設定しないでください。

  • リモート SPAN（RSPAN）をプライベート VLAN のプライマリまたはセカンダリ VLAN として設定しないでください。

  • 次のような機能が設定されているインターフェイスにプライベート VLAN ポートを設定しないでください。

    • ダイナミック アクセス ポート VLAN メンバーシップ

    • ダイナミック トランキング プロトコル（DTP）

    • IPv6 Security Group（SG）

    • ポート集約プロトコル（PAgP）

    • リンク集約制御プロトコル（LACP）

    • マルチキャスト VLAN レジストレーション（MVR）

    • 音声 VLAN

    • Web Cache Communication Protocol（WCCP）

  • IEEE 802.1x ポートベース認証をプライベート VLAN ポートに設定できますが、802.1x とポート セキュリティ、音声 VLAN、またはポート単位のユーザ ACL は、プライベート VLAN ポートに設定できません。

  • プライベート VLAN ホストまたは無差別ポートは SPAN 宛先ポートにはできません。 SPAN 宛先ポートをプライベート VLAN ポートに設定した場合、ポートは非アクティブになります。

  • プライマリ VLAN の無差別ポートでスタティック MAC アドレスを設定する場合は、すべての関連セカンダリ VLAN に同じスタティック アドレスを追加する必要はありません。 同様に、セカンダリ VLAN のホスト ポートでスタティック MAC アドレスを設定する場合は、関連プライマリ VLAN に同じスタティック MAC アドレスを追加する必要はありません。 さらに、スタティック MAC アドレスをプライベート VLAN ポートから削除する際に、設定されている MAC アドレスのすべてのインスタンスをプライベート VLAN から削除する必要はありません。


    （注）  
    プライベート VLAN のセカンダリ VLAN で学習したダイナミック MAC アドレスは、関連プライマリ VLAN で複製されます。 プライマリ VLAN からトラフィックが入力される場合でも、すべての MAC エントリはセカンダリ VLANで学習されます。 MAC アドレスがプライマリ VLAN で動的に学習される場合は、関連セカンダリ VLAN では複製されません。

  • レイヤ 3 VLAN インターフェイス（SVI）はプライマリ VLAN にだけ設定してください。

プライベート VLAN ドメイン

PVLAN 機能を使用すると、サービス プロバイダーが VLAN を使用したときに直面する 2 つの問題に対処できます。

  • IP Base イメージまたは IP Services イメージを実行している場合、最大で 個のアクティブ VLAN がスイッチでサポートされます。 サービス プロバイダーが 1 カスタマーあたり 1 つの VLAN を割り当てる場合、サービス プロバイダーがサポートできるカスタマー数はこれに制限されます。

  • IP ルーティングをイネーブルにするには、各 VLAN にサブネット アドレス空間またはアドレス ブロックを割り当てますが、これにより、未使用の IP アドレスが無駄になり、IP アドレスの管理に問題が起きます。

図 1. プライベート VLAN ドメイン. プライベート VLAN を使用することでスケーラビリティの問題に対処でき、サービス プロバイダーにとっては IP アドレス管理上の利得がもたらされ、カスタマーに対してはレイヤ 2 セキュリティを提供できます。 プライベート VLAN では、通常の VLAN ドメインをサブドメインに分割します。 サブドメインは、プライマリ VLAN とセカンダリ VLAN のペアで表されます。 プライベート VLAN には複数の VLAN ペアを設定可能で、各サブドメインにつき 1 ペアになります。 プライベート VLAN 内のすべての VLAN ペアは同じプライマリ VLAN を共有します。 セカンダリ VLAN ID は、各サブドメインの区別に使用されます。



セカンダリ VLAN

セカンダリ VLAN には、次の 2 種類があります。

  • 独立 VLAN：独立 VLAN 内のポートは、レイヤ 2 レベルでは相互に通信できません。

  • コミュニティ VLAN：コミュニティ VLAN 内のポートは互いに通信できますが、レイヤ 2 レベルにある他のコミュニティ内のポートとは通信できません。

関連タスク
セカンダリ VLAN のプライマリ VLAN レイヤ 3 VLAN インターフェイスへのマッピング
関連資料
例：セカンダリ VLAN をプライマリ VLAN インターフェイスにマッピングする

プライベート VLAN ポート

プライベート VLAN では、同じプライベート VLAN 内のポート間をレイヤ 2 で分離します。 プライベート VLAN ポートは、次のいずれかの種類に属するアクセス ポートです。

  • 無差別：無差別ポートは、プライベート VLAN に属し、プライマリ VLAN と関連しているセカンダリ VLAN に属するコミュニティ ポートや独立ホスト ポートなどの、すべてのインターフェイスと通信できます。

  • 独立：独立ポートは、独立セカンダリ VLAN に属しているホスト ポートです。 これは、無差別ポートを除く、同じプライベート VLAN 内の他のポートからレイヤ 2 で完全に分離されています。 プライベート VLAN は、無差別ポートからのトラフィックを除き、独立ポート宛のトラフィックをすべてブロックします。 独立ポートから受信されたトラフィックは、無差別ポートにだけ転送されます。

  • コミュニティ：コミュニティ ポートは、1 つのコミュニティ セカンダリ VLAN に属しているホスト ポートです。 コミュニティ ポートは、同一コミュニティ VLAN のその他のポート、および無差別ポートと通信します。 これらのインターフェイスは、他のコミュニティの他のすべてのインターフェイスおよびプライベート VLAN 内の独立ポートとレイヤ 2 で分離されます。


（注）  

トランク ポートは、通常の VLAN からのトラフィックを伝送し、またプライマリ、独立、およびコミュニティ VLAN からのトラフィックも伝送します。

プライマリおよびセカンダリ VLAN には次のような特性があります。

  • プライマリ VLAN：プライベート VLAN には、プライマリ VLAN を 1 つだけ設定できます。 プライベート VLAN 内のすべてのポートは、プライマリ VLAN のメンバーです。 プライマリ VLAN は、無差別ポートからの単一方向トラフィックのダウンストリームを、（独立およびコミュニティ）ホスト ポートおよび他の無差別ポートへ伝送します。

  • 独立 VLAN：プライベート VLAN の独立 VLAN は 1 つだけです。 独立 VLAN はセカンダリ VLAN であり、ホストから無差別ポートおよびゲートウェイに向かう単一方向トラフィック アップストリームを搬送します。

  • コミュニティ VLAN：コミュニティ VLAN は、アップストリーム トラフィックをコミュニティ ポートから無差別ポート ゲートウェイおよび同じコミュニティ内の他のホスト ポートに伝送するセカンダリ VLAN です。 複数のコミュニティ VLAN を 1 つのプライベート VLAN に設定できます。

無差別ポートは、1 つのプライマリ VLAN、1 つの独立 VLAN、複数のコミュニティ VLAN だけで動作できます。 レイヤ 3 ゲートウェイは通常、無差別ポートを介してスイッチに接続されます。 無差別ポートでは、広範囲なデバイスをプライベート VLAN のアクセス ポイントとして接続できます。 たとえば、すべてのプライベート VLAN サーバを管理ワークステーションから監視したりバックアップしたりするのに、無差別ポートを使用できます。

関連タスク
プライベート VLAN ホスト ポートとしてのレイヤ 2 インターフェイスの設定
プライベート VLAN 無差別ポートとしてのレイヤ 2 インターフェイスの設定
関連資料
例：ホスト ポートとしてのインターフェイスの設定
例：インターフェイスをプライベート VLAN 無差別ポートとして設定する

ネットワーク内のプライベート VLAN

スイッチング環境では、個々のエンド ステーションに、または共通グループのエンド ステーションに、個別のプライベート VLAN や、関連する IP サブネットを割り当てることができます。 エンド ステーションはデフォルト ゲートウェイとの通信を行うだけで、プライベート VLAN の外部と通信することができます。

プライベート VLAN を使用し、次の方法でエンド ステーションへのアクセスを制御できます。

  • エンド ステーションに接続されているインターフェイスを選択して独立ポートとして設定し、レイヤ 2 の通信をしないようにします。 たとえば、エンド ステーションがサーバの場合、この設定によりサーバ間のレイヤ 2 通信ができなくなります。

  • デフォルト ゲートウェイおよび選択したエンド ステーション（バックアップ サーバなど）に接続されているインターフェイスを無差別ポートとして設定し、すべてのエンド ステーションがデフォルト ゲートウェイにアクセスできるようにします。

複数のデバイスにわたるようにプライベート VLAN を拡張するには、プライマリ VLAN、独立 VLAN、およびコミュニティ VLAN を、プライベート VLAN をサポートする他のデバイスにトランキングします。 使用するプライベート VLAN 設定のセキュリティを確保して、プライベート VLAN として設定された VLAN が他の目的に使用されないようにするには、プライベート VLAN ポートがないデバイスを含めて、すべての中間デバイスでプライベート VLAN を設定します。

プライベート VLAN での IP アドレッシング方式

各カスタマーに個別の VLAN を割り当てると、次のように IP アドレッシング方式が非効率的になります。

  • カスタマー VLAN にアドレスのブロックを割り当てると、未使用 IP アドレスが発生することがあります。

  • VLAN 内のデバイス数が増加した場合、それに対応するだけのアドレスを割り当てられない場合があります。

この問題は、プライベート VLAN を使用すると軽減します。プライベート VLAN では、プライベート VLAN のすべてのメンバーが、プライマリ VLAN に割り当てられている共通アドレス空間を共有するためです。 ホストはセカンダリ VLAN に接続され、プライマリ VLAN に割り当てられているアドレスのブロックから IP アドレスが DHCP サーバによってホストに割り当てられますが、同一プライマリ VLAN 内のセカンダリ VLAN には割り当てられません。 さまざまなセカンダリ VLAN のカスタマー デバイスには後続 IP アドレスが割り当てられます。 新しいデバイスを追加すると、サブネット アドレスの巨大プールから次に使用できるアドレスが、DHCP サーバによって割り当てられます。

複数のスイッチにまたがるプライベート VLAN

図 2. 複数のスイッチにまたがるプライベート VLAN. 通常の VLAN と同様に、プライベート VLAN を複数のスイッチにまたがるように設定できます。 トランク ポートはプライマリ VLAN およびセカンダリ VLAN を隣接スイッチに伝送します。 トランク ポートはプライベート VLAN を他の VLAN として扱います。 複数のスイッチにまたがるプライベート VLAN の機能の特徴として、スイッチ A にある独立ポートからのトラフィックはスイッチ B に到達しません。



プライベート VLAN は VTP 1、2、および 3 のトランスペアレント モードでサポートされます。 プライベート VLAN は VTP 3 のサーバ モードでもサポートされます。 VTP 3 を使用して設定したサーバ クライアントがある場合、サーバに設定されているプライベート VLAN をクライアント上に反映させる必要があります。

プライベート VLAN とユニキャスト、ブロードキャスト、およびマルチキャスト トラフィック

通常の VLAN では、同じ VLAN にあるデバイスはレイヤ 2 レベルで互いに通信しますが、別の VLAN にあるインターフェイスに接続されたデバイスとはレイヤ 3 レベルで通信する必要があります。 プライベート VLAN の場合、無差別ポートはプライマリ VLAN のメンバーであり、ホスト ポートはセカンダリ VLAN に属します。 セカンダリ VLAN はプライマリ VLAN に対応付けられているため、これらの VLAN のメンバーはレイヤ 2 レベルで互いに通信できます。

通常の VLAN の場合、ブロードキャストはその VLAN のすべてのポートに転送されます。 プライベート VLAN のブロードキャストの転送は、次のようにブロードキャストを送信するポートによって決まります。

  • 独立ポートは、無差別ポートまたはトランク ポートだけにブロードキャストを送信します。

  • コミュニティ ポートは、すべての無差別ポート、トランク ポート、同一コミュニティ VLAN のポートにブロードキャストを送信します。

  • 無差別ポートは、プライベート VLAN のすべてのポート（その他の無差別ポート、トランク ポート、独立ポート、コミュニティ ポート）にブロードキャストを送信します。

マルチキャスト トラフィックのルーティングとブリッジングは、プライベート VLAN 境界を横断して行われ、単一コミュニティ VLAN 内でも行われます。 マルチキャスト トラフィックは、同一独立 VLAN のポート間、または別々のセカンダリ VLAN のポート間で転送されません。

プライベート VLAN のマルチキャスト転送は次の状況をサポートします。

  • 送信側が VLAN 外に存在する可能性があり、受信側が VLAN ドメイン内に存在している可能性がある。

  • 送信側が VLAN 内に存在する可能性があり、受信側が VLAN ドメイン外に存在している可能性がある。

  • 送信側と受信側が同一のコミュニティ VLAN に存在している可能性がある。

プライベート VLAN と SVI

レイヤ 3 スイッチスイッチでは、スイッチ仮想インターフェイス（SVI）が VLAN のレイヤ 3 インターフェイスを表します。 レイヤ 3 デバイスは、セカンダリ VLAN ではなく、プライマリ VLAN だけを介してプライベート VLAN と通信します。 レイヤ 3 VLAN インターフェイス（SVI）はプライマリ VLAN にだけ設定してください。 レイヤ 3 VLAN インターフェイスをセカンダリ VLAN 用に設定できません。 VLAN がセカンダリ VLAN として設定されている間、セカンダリ VLAN の SVI はアクティブになりません。

  • SVI がアクティブである VLAN をセカンダリ VLAN として設定する場合、SVI をディセーブルにしないと、この設定は許可されません。

  • セカンダリ VLAN として設定されている VLAN に SVI を作成しようとしてセカンダリ VLAN がすでにレイヤ 3 にマッピングされている場合、SVI は作成されず、エラーが返されます。 SVI がレイヤ 3 にマッピングされていない場合、SVI は作成されますが、自動的にシャットダウンされます。

プライマリ VLAN をセカンダリ VLAN と関連付けてマッピングすると、プライマリ VLAN の設定がセカンダリ VLAN の SVI に伝播されます。 たとえば、プライマリ VLAN の SVI に IP サブネットを割り当てると、このサブネットは、プライベート VLAN 全体の IP サブネット アドレスになります。

セカンダリ VLAN およびプライマリ VLAN の設定

プライベート VLAN の設定時は、次の注意事項に従ってください。

  • プライベート VLAN は VTP 1、2、および 3 のトランスペアレント モードでサポートされます。 スイッチで VTP バージョン 1 または 2 が稼働している場合は、VTP をトランスペアレント モードに設定する必要があります。 プライベート VLAN を設定した後で、VTP モードをクライアントまたはサーバに変更できません。 VTP バージョン 3 は、すべてのモードでプライベート VLAN をサポートします。

  • VTP バージョン 1 または 2 でプライベート VLAN を設定した後、 copy running-config startup config 特権 EXEC コマンドを使用して、VTP トランスペアレント モード設定とプライベート VLAN 設定をスイッチ スタートアップ コンフィギュレーション ファイルに保存します。 保存しないと、スイッチをリセットした場合、デフォルトの VTP サーバ モードになり、プライベート VLAN をサポートしなくなります。 VTP バージョン 3 ではプライベート VLAN をサポートします。

  • VTP バージョン 1 および 2 では、プライベート VLAN 設定の伝播は行われません。 プライベート VLAN ポートが必要なデバイスで VTP バージョン 3 が実行されていない場合は、VTP3 はプライベート VLAN を伝播するため、そのデバイス上でプライベート VLAN を設定する必要があります。

  • VLAN 1 または VLAN 1002 ～ 1005 をプライマリ VLAN またはセカンダリ VLAN として設定できません。 拡張 VLAN（VLAN ID 1006 ～ 4094）はプライベート VLAN に属することができます。

  • プライマリ VLAN には、1 つの独立 VLAN および複数のコミュニティ VLAN を関連付けることができます。 独立 VLAN またはコミュニティ VLAN には、1 つのプライマリ VLAN だけを関連付けることができます。

  • プライベート VLAN には複数の VLAN が含まれますが、プライベート VLAN 全体で実行可能なスパニングツリー プロトコル（STP）インスタンスは 1 つだけです。 セカンダリ VLAN がプライマリ VLAN に関連付けられている場合、プライマリ VLAN の STP パラメータがセカンダリ VLAN に伝播されます。

  • TFTP サーバから PVLAN 設定をコピーし、それを実行中の設定に適用しても、PVLAN の関連付けは形成されません。 プライマリ VLAN がすべてのセカンダリ VLAN に確実に関連付けられていることを確認する必要があります。

    また、copy flash:config_file running-config の代わりに configure replace flash:config_file force も使用できます。

  • DHCP スヌーピングはプライベート VLAN 上でイネーブルにできます。 プライマリ VLAN で DHCP スヌーピングをイネーブルにすると、DHCP スヌーピングはセカンダリ VLAN に伝播されます。 セカンダリ VLAN で DHCP を設定しても、プライマリ VLAN をすでに設定している場合、DHCP 設定は有効になりません。

  • プライベート VLAN ポートで IP ソース ガードをイネーブルにする場合は、プライマリ VLAN で DHCP スヌーピングをイネーブルにする必要があります。

  • プライベート VLAN でトラフィックを伝送しないデバイスのトランクから、プライベート VLAN をプルーニングすることを推奨します。

  • プライマリ VLAN、独立 VLAN、およびコミュニティ VLAN には、別々の Quality of Service（QoS）設定を適用できます

  • sticky ARP には、次の考慮事項があります。

    • sticky ARP エントリとは、SVI およびレイヤ 3 インターフェイス上で学習されるエントリです。 これらのエントリは、期限切れになることはありません。

    • ip sticky-arp グローバル コンフィギュレーション コマンドは、プライベート VLAN に属する SVI でだけサポートされます。

    • ip sticky-arp インターフェイス コンフィギュレーション コマンドは、以下でのみサポートされます。

      • レイヤ 3 インターフェイス

      • 標準 VLAN に属する SVI

      • プライベート VLAN に属する SVI

      ip sticky-arp グローバル コンフィギュレーション コマンドおよび ip sticky-arp インターフェイス コンフィギュレーション コマンドの使用の詳細については、このリリースのコマンド リファレンスを参照してください。

  • プライマリ VLAN およびセカンダリ VLAN で VLAN マップを設定できます。 ただし、プライベート VLAN のプライマリおよびセカンダリ VLAN に同じ VLAN マップを設定することを推奨します。

  • PVLAN は双方向です。 これらは、入力側と出力側の両方に適用されます。

    レイヤ 2 のフレームがプライベート VLAN 内で転送されると、入力側と出力側で VLAN マップが適用されます。 フレームがプライベート VLAN の内側から外部ポートにルーティングされる場合、プライベート VLAN マップが入力側に適用されます。 同様に、フレームが外部ポートからプライベート VLAN にルーティングされると、プライベート VLAN は出力側に適用されます。

    ブリッジング

    • セカンダリ VLAN からプライマリ VLAN へのアップストリーム トラフィックの場合、セカンダリ VLAN の MAP は入力側に適用され、プライマリ VLAN の MAP は出力側に適用されます。

    • プライマリ VLAN からセカンダリ VLAN へのダウンストリーム トラフィックの場合は、プライマリ VLAN の MAP は入力方向で適用され、セカンダリ VLAN のMAP は出力方向で適用されます。

    Routing

    プライベート VLAN ドメインが 2 つ（PV1（sec1、prim1）および PV2（sec2、prim2））ある場合を想定します。 PV1 から PV2 にルーティングされるフレームについては次のようになります。

    • sec1　の MAP および prim1 の L3 ACL は入力ポートに適用されます。

    • sec1 の MAP および prim2 の L3 ACL は出力ポートに適用されます。

    • 分離されたホスト ポートから無差別ポートへのアップストリームまたはダウンストリームに従うパケットの場合、分離された VLAN の VACL は入力方向に適用され、プライマリ VLAN の VACL は出力方向に適用されます。 これにより、ユーザは同じプライマリ VLAN ドメインの別のセカンダリ VLAN に異なる VACL を設定することができます。

    プライベート VLAN の特定 IP トラフィックをフィルタリングするには、プライマリ VLAN およびセカンダリ VLAN の両方に VLAN マップを適用する必要があります。

  • プライマリ VLAN SVI にだけルータ ACL を適用できます。 ACL はプライマリおよびセカンダリ VLAN のレイヤ 3 トラフィックに適用されます。

  • プライベート VLAN がレイヤ 2 でホストを分離していても、ホストはレイヤ 3 で互いに通信できます。

  • プライベート VLAN では、次のスイッチド ポート アナライザ（SPAN）機能がサポートされます。

    • プライベート VLAN を SPAN 送信元ポートとして設定できます。

    • プライマリ VLAN、独立 VLAN、およびコミュニティ VLAN 上で VLAN ベースの SPAN（VSPAN）を使用したり、単一の VLAN 上で SPAN を使用したりして、出力トラフィックまたは入力トラフィックを個別に監視することができます。

プライベート VLAN ポートの設定

プライベート VLAN ポートの設定時は、次の注意事項に従ってください。

  • プライマリ VLAN、独立 VLAN、またはコミュニティ VLAN にポートを割り当てるには、プライベート VLAN コンフィギュレーション コマンドだけを使用します。 プライマリ VLAN、独立 VLAN、またはコミュニティ VLAN として設定する VLAN に割り当てられているレイヤ 2 アクセス ポートは、この VLAN がプライベート VLAN の設定に含まれている場合、非アクティブです。 レイヤ 2 トランク インターフェイスは STP フォワーディング ステートのままです。

  • PAgP または LACP EtherChannel に属するポートを、プライベート VLAN ポートとして設定しないでください。 ポートがプライベート VLAN の設定に含まれている間は、そのポートの EtherChannel 設定はいずれも非アクティブです。

  • 設定ミスによる STP ループの発生を防ぎ、STP コンバージェンスを高速化するには、独立ホスト ポートおよびコミュニティ ホスト ポート上で PortFast および BPDU ガードをイネーブルにします イネーブルの場合、STP はすべての PortFast が設定されたレイヤ 2 LAN ポートに BPDU ガード機能を適用します。 PortFast および BPDU ガードを無差別ポートでイネーブルにしないでください。

  • プライベート VLAN の設定で使用される VLAN を削除すると、この VLAN に関連付けられたプライベート VLAN ポートが非アクティブになります。

  • ネットワーク デバイスをトランク接続し、プライマリ VLAN およびセカンダリ VLAN がトランクから削除されていない場合、プライベート VLAN ポートはさまざまなネットワーク デバイス上で使用できます。

プライベート VLAN の設定タスク

プライベート VLAN を設定するには、次の手順を実行します。

  1. VTP モードをトランスペアレントに設定します。

  2. プライマリおよびセカンダリ VLAN を作成してこれらを対応付けします。


    （注）  

    VLAN がまだ作成されていない場合、プライベート VLAN 設定プロセスでこれを作成します。

  3. インターフェイスを独立ポートまたはコミュニティ ホスト ポートに設定して、ホスト ポートに VLAN メンバーシップを割り当てます。

  4. インターフェイスを無差別ポートとして設定し、無差別ポートをプライマリおよびセカンダリ VLAN のペアにマッピングします。

  5. VLAN 間ルーティングを使用する場合は、プライマリ SVI を設定し、セカンダリ VLAN をプライマリにマッピングします。

  6. プライベート VLAN の設定を確認します。

プライベート VLAN 内の VLAN の設定および対応付け

private-vlan コマンドは VLAN コンフィギュレーション モードを終了するまで機能しません。

プライベート VLAN 内で VLAN を設定し、関連付けるには、次の手順を実行します。

手順の概要

    1.    enable

    2.    configureterminal

    3.    vtp mode transparent

    4.    vlan vlan-id

    5.    private-vlan primary

    6.    exit

    7.    vlan vlan-id

    8.    private-vlan isolated

    9.    exit

    10.    vlan vlan-id

    11.    private-vlan community

    12.    exit

    13.    vlan vlan-id

    14.    private-vlan community

    15.    exit

    16.    vlanvlan-id

    17.    private-vlan association [ add | remove] secondary_vlan_list

    18.    end

    19.    show vlan private-vlan [ type] または show interfaces status

    20.    copy running-config startup config


手順の詳細
      コマンドまたはアクション 目的
    ステップ 1 enable


    例： 
    Switch> enable
     

    特権 EXEC モードをイネーブルにします。 パスワードを入力します（要求された場合）。

     
    ステップ 2 configureterminal


    例： 
    
            
          
Switch# configure terminal
     

    グローバル コンフィギュレーション モードを開始します。

     
    ステップ 3 vtp mode transparent


    例： 
    
            
          
Switch(config)# vtp mode transport
     

    VTP モードをトランスペアレントに設定します（VTP をディセーブルにします）。

    （注）      VTP3 の場合、サーバまたはトランスペアレント モードのいずれにもモードを設定できます。
     
    ステップ 4 vlan vlan-id


    例： 
    
            
          
Switch(config)# vlan 20
     

    VLAN コンフィギュレーション モードを開始して、プライマリ VLAN となる VLAN を指定または作成します。 VLAN ID の範囲は 2 ～ 1001 および 1006 ～ 4094 です。

     
    ステップ 5 private-vlan primary


    例： 
    
            
          
Switch(config-vlan)# private-vlan primary
     

    VLAN をプライマリ VLAN として指定します。

     
    ステップ 6 exit


    例： 
    
            
          
Switch(config-vlan)# exit
     

    グローバル コンフィギュレーション モードに戻ります。

     
    ステップ 7 vlan vlan-id


    例： 
    
            
          
Switch(config)# vlan 501
     

    （任意）VLAN コンフィギュレーション モードを開始して、独立 VLAN となる VLAN を指定または作成します。 VLAN ID の範囲は 2 ～ 1001 および 1006 ～ 4094 です。

     
    ステップ 8 private-vlan isolated


    例： 
    
            
          
Switch(config-vlan)# private-vlan isolated
     

    VLAN を独立 VLAN として指定します。

     
    ステップ 9 exit


    例： 
    
            
          
Switch(config-vlan)# exit
     

    グローバル コンフィギュレーション モードに戻ります。

     
    ステップ 10 vlan vlan-id


    例： 
    
            
          
Switch(config)# vlan 502
     

    （任意）VLAN コンフィギュレーション モードを開始して、コミュニティ VLAN となる VLAN を指定または作成します。 VLAN ID の範囲は 2 ～ 1001 および 1006 ～ 4094 です。

     
    ステップ 11 private-vlan community


    例： 
    
            
          
Switch(config-vlan)# private-vlan community
     

    VLAN をコミュニティ VLAN として指定します。

     
    ステップ 12 exit


    例： 
    
            
          
Switch(config-vlan)# exit
     

    グローバル コンフィギュレーション モードに戻ります。

     
    ステップ 13 vlan vlan-id


    例： 
    
            
          
Switch(config)# vlan 503
     

    （任意）VLAN コンフィギュレーション モードを開始して、コミュニティ VLAN となる VLAN を指定または作成します。 VLAN ID の範囲は 2 ～ 1001 および 1006 ～ 4094 です。

     
    ステップ 14 private-vlan community


    例： 
    Switch(config-vlan)# private-vlan community
     

    VLAN をコミュニティ VLAN として指定します。

     
    ステップ 15 exit


    例： 
    Switch(config-vlan)# exit
     

    グローバル コンフィギュレーション モードに戻ります。

     
    ステップ 16 vlanvlan-id


    例： 
    Switch(config)# vlan 20
     

    ステップ 4 で指定したプライマリ VLAN に関して VLAN コンフィギュレーション モードを開始します。

     
    ステップ 17 private-vlan association [ add | remove] secondary_vlan_list


    例： 
    
            
          
Switch(config-vlan)# private-vlan association 501-503
     

    セカンダリ VLAN をプライマリ VLAN に関連付けます。 単一のプライベート VLAN ID でも、またはハイフンで連結したプライベート VLAN ID でもかまいません。

    • secondary_vlan_list パラメータには、スペースを含めないでください。 カンマで区切った複数の項目を含めることができます。 各項目として入力できるのは、単一のプライベート VLAN ID またはハイフンで連結したプライベート VLAN ID です。

    • secondary_vlan_list パラメータには複数のコミュニティ VLAN ID を含められますが、独立 VLAN ID は 1 つだけです。

    • secondary_vlan_list を入力するか、または add キーワードを指定した secondary_vlan_list を使用してセカンダリ VLAN とプライマリ VLAN を関連付けます。

    • セカンダリ VLAN とプライマリ VLAN 間の関連付けをクリアするには、secondary_vlan_list に remove キーワードを使用します。

    • このコマンドは、VLAN コンフィギュレーション モードを終了するまで機能しません。

     
    ステップ 18 end


    例： 
    
            
          
Switch(config)# end
     

    特権 EXEC モードに戻ります。

     
    ステップ 19 show vlan private-vlan [ type] または show interfaces status

    例： 
    
            
          
Switch# show vlan private-vlan
     

    設定を確認します。

     
    ステップ 20 copy running-config startup config


    例： 
    
            
          
Switch# copy running-config startup-config
     

    スイッチ スタートアップ コンフィギュレーション ファイルに設定項目を保存します。

     

    プライベート VLAN ホスト ポートとしてのレイヤ 2 インターフェイスの設定

    レイヤ 2 インターフェイスをプライベート VLAN ホスト ポートとして設定し、これをプライマリおよびセカンダリ VLAN に関連付けるには、次の手順を実行します。


    （注）  

    独立およびコミュニティ VLAN はいずれもセカンダリ VLAN です。
    手順の概要

      1.    enable

      2.    configureterminal

      3.    interface interface-id

      4.    switchport mode private-vlan host

      5.    switchport private-vlan host-association primary_vlan_id secondary_vlan_id

      6.    end

      7.    show interfaces [ interface-id] switchport

      8.    copy running-config startup-config


    手順の詳細
        コマンドまたはアクション 目的
      ステップ 1 enable


      例： 
      Switch> enable
       

      特権 EXEC モードをイネーブルにします。 パスワードを入力します（要求された場合）。

       
      ステップ 2 configureterminal


      例： 
      
            
          
Switch# configure terminal
       

      グローバル コンフィギュレーション モードを開始します。

       
      ステップ 3 interface interface-id


      例： 
      
            
          
Switch(config)# interface gigabitethernet1/0/22
       

      設定するレイヤ 2 インターフェイスに対して、インターフェイス コンフィギュレーション モードを開始します。

       
      ステップ 4 switchport mode private-vlan host


      例： 
      
            
          
Switch(config-if)# switchport mode private-vlan host
       

      レイヤ 2 ポートをプライベート VLAN ホスト ポートとして設定します。

       
      ステップ 5 switchport private-vlan host-association primary_vlan_id secondary_vlan_id


      例： 
      
            
          
Switch(config-if)# switchport private-vlan host-association 20 501
       

      レイヤ 2 ポートをプライベート VLAN と関連付けます。

      （注）      これは、レイヤ 2 インターフェイスに PVLAN を関連付けるために必要な手順です。
       
      ステップ 6 end


      例： 
      
            
          
Switch(config)# end
       

      特権 EXEC モードに戻ります。

       
      ステップ 7 show interfaces [ interface-id] switchport


      例： 
      
            
          
Switch#  
            show interfaces gigabitethernet1/0/22 switchport
       

      設定を確認します。

       
      ステップ 8 copy running-config startup-config


      例： 
      Switch# copy running-config startup-config
       

      （任意）コンフィギュレーション ファイルに設定を保存します。

       
      関連コンセプト
      プライベート VLAN ポート
      関連資料
      例：ホスト ポートとしてのインターフェイスの設定
      例：インターフェイスをプライベート VLAN 無差別ポートとして設定する

      プライベート VLAN 無差別ポートとしてのレイヤ 2 インターフェイスの設定

      レイヤ 2 インターフェイスをプライベート VLAN 無差別ポートとして設定し、これをプライマリおよびセカンダリ VLAN にマッピングするには、次の手順を実行します。


      （注）  

      独立およびコミュニティ VLAN はいずれもセカンダリ VLAN です。
      手順の概要

        1.    enable

        2.    configureterminal

        3.    interface interface-id

        4.    switchport mode private-vlan promiscuous

        5.    switchport private-vlan mapping primary_vlan_id { add | remove} secondary_vlan_list

        6.    end

        7.    show interfaces [ interface-id] switchport

        8.    copy running-config startup config


      手順の詳細
          コマンドまたはアクション 目的
        ステップ 1 enable


        例： 
        Switch> enable
         

        特権 EXEC モードをイネーブルにします。 パスワードを入力します（要求された場合）。

         
        ステップ 2 configureterminal


        例： 
        
            
          
Switch# configure terminal
         

        グローバル コンフィギュレーション モードを開始します。

         
        ステップ 3 interface interface-id


        例： 
        
            
          
Switch(config)# interface gigabitethernet1/0/2
         

        設定するレイヤ 2 インターフェイスに対して、インターフェイス コンフィギュレーション モードを開始します。

         
        ステップ 4 switchport mode private-vlan promiscuous


        例： 
        
            
          
Switch(config-if)# switchport mode private-vlan promiscuous
         

        レイヤ 2 ポートをプライベート VLAN 無差別ポートとして設定します。

         
        ステップ 5 switchport private-vlan mapping primary_vlan_id { add | remove} secondary_vlan_list


        例： 
        
            
          
Switch(config-if)# switchport private-vlan mapping 20 add 501-503
         

        プライベート VLAN 無差別ポートをプライマリ VLAN、および選択したセカンダリ VLAN にマッピングします。

        • secondary_vlan_list パラメータには、スペースを含めないでください。 カンマで区切った複数の項目を含めることができます。 各項目として入力できるのは、単一のプライベート VLAN ID、またはハイフンで連結したプライベート VLAN ID の範囲です。

        • セカンダリ VLAN とプライマリ VLAN をプライベート VLAN 無差別ポートにマッピングするには、secondary_vlan_list を入力するか、または add キーワードを指定した secondary_vlan_list を使用します。

        • セカンダリ VLAN とプライベート VLAN 無差別ポートのマッピングを解除するには、remove キーワードを指定した secondary_vlan_list を使用します。

         
        ステップ 6 end


        例： 
        
            
          
Switch(config)# end
         

        特権 EXEC モードに戻ります。

         
        ステップ 7 show interfaces [ interface-id] switchport


        例： 
        
            
          
Switch# show interfaces gigabitethernet1/0/2 switchport
         

        設定を確認します。

         
        ステップ 8 copy running-config startup config


        例： 
        
            
          
Switch# copy running-config startup-config
         

        スイッチ スタートアップ コンフィギュレーション ファイルに設定項目を保存します。

         
        関連コンセプト
        プライベート VLAN ポート
        関連資料
        例：ホスト ポートとしてのインターフェイスの設定
        例：インターフェイスをプライベート VLAN 無差別ポートとして設定する

        セカンダリ VLAN のプライマリ VLAN レイヤ 3 VLAN インターフェイスへのマッピング

        プライベート VLAN が VLAN 間ルーティングに使用される場合、SVI をプライマリ VLAN に設定してセカンダリ VLAN を SVI にマッピングできます。


        （注）  
        独立およびコミュニティ VLAN はいずれもセカンダリ VLAN です。

        セカンダリ VLAN をプライマリ VLAN の SVI にマッピングしてプライベート VLAN トラフィックのレイヤ 3 スイッチングを可能にするには、次の手順を実行します。

        手順の概要

          1.    enable

          2.    configureterminal

          3.    interface vlan primary_vlan_id

          4.    private-vlan mapping [ add | remove] secondary_vlan_list

          5.    end

          6.    show interface private-vlan mapping

          7.    copy running-config startup config


        手順の詳細
            コマンドまたはアクション 目的
          ステップ 1 enable


          例： 
          Switch> enable
           

          特権 EXEC モードをイネーブルにします。 パスワードを入力します（要求された場合）。

           
          ステップ 2 configureterminal


          例： 
          
            
          
Switch# configure terminal
           

          グローバル コンフィギュレーション モードを開始します。

           
          ステップ 3 interface vlan primary_vlan_id


          例： 
          
            
          
Switch(config)# interface vlan 20
           

          プライマリ VLAN でインターフェイス コンフィギュレーション モードを開始して、VLAN を SVI として設定します。 VLAN ID の範囲は 2 ～ 1001 および 1006 ～ 4094 です。

           
          ステップ 4 private-vlan mapping [ add | remove] secondary_vlan_list


          例： 
          
            
          
Switch(config-if)# private-vlan mapping 501-503
           

          セカンダリ VLAN をプライマリ VLAN のレイヤ 3 VLAN インターフェイスにマッピングして、プライベート VLAN 入力トラフィックのレイヤ 3 スイッチングを可能にします。

          （注）      private-vlan mapping インターフェイス コンフィギュレーション コマンドは、レイヤ 3 スイッチングされているプライベート VLAN トラフィックにだけ影響を与えます。

          • secondary_vlan_list パラメータには、スペースを含めないでください。 カンマで区切った複数の項目を含めることができます。 各項目として入力できるのは、単一のプライベート VLAN ID またはハイフンで連結したプライベート VLAN ID です。

          • secondary_vlan_list を入力するか、または add キーワードを指定した secondary_vlan_list を使用して、セカンダリ VLAN をプライマリ VLAN にマッピングします。

          • remove キーワードを指定した secondary_vlan_list を使用して、セカンダリ VLAN とプライマリ VLAN のマッピングを解除します。

           
          ステップ 5 end


          例： 
          
            
          
Switch(config)# end
           

          特権 EXEC モードに戻ります。

           
          ステップ 6 show interface private-vlan mapping


          例： 
          
            
          
Switch# show interfaces private-vlan mapping
           

          設定を確認します。

           
          ステップ 7 copy running-config startup config


          例： 
          
            
          
Switch# copy running-config startup-config
           

          スイッチ スタートアップ コンフィギュレーション ファイルに設定項目を保存します。

           
          関連コンセプト
          VTP ドメイン
          セカンダリ VLAN
          関連資料
          例：セカンダリ VLAN をプライマリ VLAN インターフェイスにマッピングする

          プライベート VLAN のモニタ

          次の表に、プライベート VLAN をモニタするために使用するコマンドを記載します。

          表 1 プライベート VLAN モニタリング コマンド

          コマンド

          目的

          show interfaces status

          所属する VLAN を含む、インターフェイスのステータスを表示します。

          show vlan private-vlan [ type]

          Switchのプライベート VLAN 情報を表示します。

          show interface switchport

          インターフェイス上のプライベート VLAN 設定を表示します。

          show interface private-vlan mapping

          VLAN SVI のプライベート VLAN マッピングに関する情報を表示します。

          show platform vlan pvlan

          FED 側の PVLAN 情報を表示します。

          show platform vlan pvlan hardware

          FED 側の PVLAN で保持されているすべてのハードウェア リソースを表示します。

          例：ホスト ポートとしてのインターフェイスの設定

          次に、インターフェイスをプライベート VLAN ホスト ポートとして設定し、それをプライベート VLAN ペアに関連付けて、その設定を確認する例を示します。

          
         
       
Switch# configure terminal
Switch(config)# interface gigabitethernet1/0/22
Switch(config-if)# switchport mode private-vlan host
Switch(config-if)# switchport private-vlan host-association 20 501
Switch(config-if)# end
Switch# show interfaces gigabitethernet1/0/22 switchport
Name: Gi1/0/22
Switchport: Enabled
Administrative Mode: private-vlan host
Operational Mode: private-vlan host
Administrative Trunking Encapsulation: negotiate
Operational Trunking Encapsulation: native
Negotiation of Trunking: Off
Access Mode VLAN: 1 (default)
Trunking Native Mode VLAN: 1 (default)
Administrative Native VLAN tagging: enabled
Voice VLAN: none
Administrative private-vlan host-association: 20 501
Administrative private-vlan mapping: none
Administrative private-vlan trunk native VLAN: none
Administrative private-vlan trunk Native VLAN tagging: enabled
Administrative private-vlan trunk encapsulation: dot1q
Administrative private-vlan trunk normal VLANs: none
Administrative private-vlan trunk private VLANs: none
Operational private-vlan:
20 501

<output truncated>
          関連コンセプト
          プライベート VLAN ポート
          関連タスク
          プライベート VLAN ホスト ポートとしてのレイヤ 2 インターフェイスの設定
          プライベート VLAN 無差別ポートとしてのレイヤ 2 インターフェイスの設定

          例：インターフェイスをプライベート VLAN 無差別ポートとして設定する

          次の例では、インターフェイスをプライベート VLAN 無差別ポートとして設定し、それをプライベート VLAN にマッピングする方法を示します。 インターフェイスは、プライマリ VLAN 20 のメンバで、セカンダリ VLAN 501 ～ 503 がマッピングされます。

          
         
       
Switch# configure terminal
Switch(config)# interface gigabitethernet1/0/2
Switch(config-if)# switchport mode private-vlan promiscous
Switch(config-if)# switchport private-vlan mapping 20 add 501-503
Switch(config-if)# end

          show vlan private-vlan または show interface status 特権 EXEC コマンドを使用してプライマリおよびセカンダリ VLAN とSwitch上のプライベート VLAN ポートを表示します。

          関連コンセプト
          プライベート VLAN ポート
          関連タスク
          プライベート VLAN ホスト ポートとしてのレイヤ 2 インターフェイスの設定
          プライベート VLAN 無差別ポートとしてのレイヤ 2 インターフェイスの設定

          例：セカンダリ VLAN をプライマリ VLAN インターフェイスにマッピングする

          次に、VLAN 501 および 502 のインターフェイスをプライマリ VLAN 10 にマッピングする例を示します。これにより、プライベート VLAN 501 および 502 からのセカンダリ VLAN 入力トラフィックのルーティングが可能になります。

          
         
       
Switch# configure terminal
Switch(config)# interface vlan 20
Switch(config-if)# private-vlan mapping 501-503
Switch(config-if)# end
Switch# show interfaces private-vlan mapping
Interface Secondary VLAN Type
--------- -------------- -----------------
vlan20    501            isolated
vlan20    502            community
vlan20    503            community
          関連コンセプト
          VTP ドメイン
          セカンダリ VLAN
          関連タスク
          セカンダリ VLAN のプライマリ VLAN レイヤ 3 VLAN インターフェイスへのマッピング

          例：プライベート VLAN のモニタリング

          次に、show vlan private-vlan コマンドの出力例を示します。

          
         
       
Switch# show vlan private-vlan
Primary Secondary Type              Ports
------- --------- ----------------- ------------------------------------------
20      501       isolated          Gi1/0/22, Gi1/0/2
20      502       community         Gi1/0/2
20      503       community									Gi1/0/2

          次の作業

          次の設定を行えます。

          • VTP

          • VLANs

          • VLAN トランキング

          • VLAN メンバーシップ ポリシー サーバ（VMPS）

          • 音声 VLAN

          その他の参考資料

          関連資料

          関連項目 マニュアル タイトル
          CLI コマンド LAN Switching Command Reference, Cisco IOS Release

          標準および RFC

          標準/RFC Title

          RFC 1573

          RFC 1757

          RFC 2021

          MIB

          MIB MIB のリンク
          本リリースでサポートするすべての MIB

          • BRIDGE-MIB（RFC1493）

          • CISCO-BRIDGE-EXT-MIB

          • CISCO-CDP-MIB

          • CISCO-PAGP-MIB

          • CISCO-PRIVATE-VLAN-MIB

          • CISCO-LAG-MIB

          • CISCO-L2L3-INTERFACE-CONFIG-MIB

          • CISCO-MAC-NOTIFICATION-MIB

          • CISCO-STP-EXTENSIONS-MIB

          • CISCO-VLAN-IFTABLE-RELATIONSHIP-MIB

          • CISCO-VLAN-MEMBERSHIP-MIB

          • CISCO-VTP-MIB

          • IEEE8023-LAG-MIB

          • IF-MIB（RFC 1573）

          • RMON-MIB（RFC 1757）

          • RMON2-MIB（RFC 2021）

          選択したプラットフォーム、Cisco IOS リリース、およびフィーチャ セットに関する MIB を探してダウンロードするには、次の URL にある Cisco MIB Locator を使用します。

          http:/​/​www.cisco.com/​go/​mibs

          シスコのテクニカル サポート

          説明 Link

          シスコのサポート Web サイトでは、シスコの製品やテクノロジーに関するトラブルシューティングにお役立ていただけるように、マニュアルやツールをはじめとする豊富なオンライン リソースを提供しています。

          お使いの製品のセキュリティ情報や技術情報を入手するために、Cisco Notification Service（Field Notice からアクセス）、Cisco Technical Services Newsletter、Really Simple Syndication（RSS）フィードなどの各種サービスに加入できます。

          シスコのサポート Web サイトのツールにアクセスする際は、Cisco.com のユーザ ID およびパスワードが必要です。

          http:/​/​www.cisco.com/​support

          目次

          機能情報の確認

          ご使用のソフトウェア リリースでは、このモジュールで説明されるすべての機能がサポートされているとは限りません。 最新の機能情報および警告については、使用するプラットフォームおよびソフトウェア リリースの Bug Search Tool およびリリース ノートを参照してください。 このモジュールに記載されている機能の詳細を検索し、各機能がサポートされているリリースのリストを確認する場合は、このモジュールの最後にある機能情報の表を参照してください。

          プラットフォームのサポートおよびシスコ ソフトウェア イメージのサポートに関する情報を検索するには、Cisco Feature Navigator を使用します。 Cisco Feature Navigator には、http:/​/​www.cisco.com/​go/​cfn からアクセスします。 Cisco.com のアカウントは必要ありません。

          プライベート VLAN の前提条件

          プライベート VLAN は、VTP 1、2、および 3 のトランスペアレント モードでサポートされます。 プライベート VLAN は、VTP 3 のサーバ モードでもサポートされます。

          プライベート VLAN を スイッチに設定するときに、ユニキャスト ルートとレイヤ 2 エントリとの間のシステム リソースのバランスを取るために、常にデフォルトの Switch Database Management（SDM）テンプレートを使用してください。 別の SDM テンプレートが設定されている場合、デフォルト テンプレートを設定するのに sdm prefer default グローバル コンフィギュレーション コマンドを使用します。

          プライベート VLAN の制約事項

          プライベート VLAN はLAN Base イメージを実行しているスイッチではサポートされません。


          （注）  

          一部の状況では、エラー メッセージが表示されずに設定が受け入れられますが、コマンドには効果がありません。

          • プライベート VLAN が設定されているスイッチでは、フォールバック ブリッジングを設定しないでください。

          • リモート SPAN（RSPAN）をプライベート VLAN のプライマリまたはセカンダリ VLAN として設定しないでください。

          • 次のような機能が設定されているインターフェイスにプライベート VLAN ポートを設定しないでください。

            • ダイナミック アクセス ポート VLAN メンバーシップ

            • ダイナミック トランキング プロトコル（DTP）

            • IPv6 Security Group（SG）

            • ポート集約プロトコル（PAgP）

            • リンク集約制御プロトコル（LACP）

            • マルチキャスト VLAN レジストレーション（MVR）

            • 音声 VLAN

            • Web Cache Communication Protocol（WCCP）

          • IEEE 802.1x ポートベース認証をプライベート VLAN ポートに設定できますが、802.1x とポート セキュリティ、音声 VLAN、またはポート単位のユーザ ACL は、プライベート VLAN ポートに設定できません。

          • プライベート VLAN ホストまたは無差別ポートは SPAN 宛先ポートにはできません。 SPAN 宛先ポートをプライベート VLAN ポートに設定した場合、ポートは非アクティブになります。

          • プライマリ VLAN の無差別ポートでスタティック MAC アドレスを設定する場合は、すべての関連セカンダリ VLAN に同じスタティック アドレスを追加する必要はありません。 同様に、セカンダリ VLAN のホスト ポートでスタティック MAC アドレスを設定する場合は、関連プライマリ VLAN に同じスタティック MAC アドレスを追加する必要はありません。 さらに、スタティック MAC アドレスをプライベート VLAN ポートから削除する際に、設定されている MAC アドレスのすべてのインスタンスをプライベート VLAN から削除する必要はありません。


            （注）  
            プライベート VLAN のセカンダリ VLAN で学習したダイナミック MAC アドレスは、関連プライマリ VLAN で複製されます。 プライマリ VLAN からトラフィックが入力される場合でも、すべての MAC エントリはセカンダリ VLANで学習されます。 MAC アドレスがプライマリ VLAN で動的に学習される場合は、関連セカンダリ VLAN では複製されません。

          • レイヤ 3 VLAN インターフェイス（SVI）はプライマリ VLAN にだけ設定してください。

          プライベート VLAN ドメイン

          PVLAN 機能を使用すると、サービス プロバイダーが VLAN を使用したときに直面する 2 つの問題に対処できます。

          • IP Base イメージまたは IP Services イメージを実行している場合、最大で 個のアクティブ VLAN がスイッチでサポートされます。 サービス プロバイダーが 1 カスタマーあたり 1 つの VLAN を割り当てる場合、サービス プロバイダーがサポートできるカスタマー数はこれに制限されます。

          • IP ルーティングをイネーブルにするには、各 VLAN にサブネット アドレス空間またはアドレス ブロックを割り当てますが、これにより、未使用の IP アドレスが無駄になり、IP アドレスの管理に問題が起きます。

          図 1. プライベート VLAN ドメイン. プライベート VLAN を使用することでスケーラビリティの問題に対処でき、サービス プロバイダーにとっては IP アドレス管理上の利得がもたらされ、カスタマーに対してはレイヤ 2 セキュリティを提供できます。 プライベート VLAN では、通常の VLAN ドメインをサブドメインに分割します。 サブドメインは、プライマリ VLAN とセカンダリ VLAN のペアで表されます。 プライベート VLAN には複数の VLAN ペアを設定可能で、各サブドメインにつき 1 ペアになります。 プライベート VLAN 内のすべての VLAN ペアは同じプライマリ VLAN を共有します。 セカンダリ VLAN ID は、各サブドメインの区別に使用されます。



          セカンダリ VLAN

          セカンダリ VLAN には、次の 2 種類があります。

          • 独立 VLAN：独立 VLAN 内のポートは、レイヤ 2 レベルでは相互に通信できません。

          • コミュニティ VLAN：コミュニティ VLAN 内のポートは互いに通信できますが、レイヤ 2 レベルにある他のコミュニティ内のポートとは通信できません。

          関連タスク
          関連資料

          プライベート VLAN ポート

          プライベート VLAN では、同じプライベート VLAN 内のポート間をレイヤ 2 で分離します。 プライベート VLAN ポートは、次のいずれかの種類に属するアクセス ポートです。

          • 無差別：無差別ポートは、プライベート VLAN に属し、プライマリ VLAN と関連しているセカンダリ VLAN に属するコミュニティ ポートや独立ホスト ポートなどの、すべてのインターフェイスと通信できます。

          • 独立：独立ポートは、独立セカンダリ VLAN に属しているホスト ポートです。 これは、無差別ポートを除く、同じプライベート VLAN 内の他のポートからレイヤ 2 で完全に分離されています。 プライベート VLAN は、無差別ポートからのトラフィックを除き、独立ポート宛のトラフィックをすべてブロックします。 独立ポートから受信されたトラフィックは、無差別ポートにだけ転送されます。

          • コミュニティ：コミュニティ ポートは、1 つのコミュニティ セカンダリ VLAN に属しているホスト ポートです。 コミュニティ ポートは、同一コミュニティ VLAN のその他のポート、および無差別ポートと通信します。 これらのインターフェイスは、他のコミュニティの他のすべてのインターフェイスおよびプライベート VLAN 内の独立ポートとレイヤ 2 で分離されます。


          （注）  

          トランク ポートは、通常の VLAN からのトラフィックを伝送し、またプライマリ、独立、およびコミュニティ VLAN からのトラフィックも伝送します。

          プライマリおよびセカンダリ VLAN には次のような特性があります。

          • プライマリ VLAN：プライベート VLAN には、プライマリ VLAN を 1 つだけ設定できます。 プライベート VLAN 内のすべてのポートは、プライマリ VLAN のメンバーです。 プライマリ VLAN は、無差別ポートからの単一方向トラフィックのダウンストリームを、（独立およびコミュニティ）ホスト ポートおよび他の無差別ポートへ伝送します。

          • 独立 VLAN：プライベート VLAN の独立 VLAN は 1 つだけです。 独立 VLAN はセカンダリ VLAN であり、ホストから無差別ポートおよびゲートウェイに向かう単一方向トラフィック アップストリームを搬送します。

          • コミュニティ VLAN：コミュニティ VLAN は、アップストリーム トラフィックをコミュニティ ポートから無差別ポート ゲートウェイおよび同じコミュニティ内の他のホスト ポートに伝送するセカンダリ VLAN です。 複数のコミュニティ VLAN を 1 つのプライベート VLAN に設定できます。

          無差別ポートは、1 つのプライマリ VLAN、1 つの独立 VLAN、複数のコミュニティ VLAN だけで動作できます。 レイヤ 3 ゲートウェイは通常、無差別ポートを介してスイッチに接続されます。 無差別ポートでは、広範囲なデバイスをプライベート VLAN のアクセス ポイントとして接続できます。 たとえば、すべてのプライベート VLAN サーバを管理ワークステーションから監視したりバックアップしたりするのに、無差別ポートを使用できます。

          関連タスク
          関連資料

          ネットワーク内のプライベート VLAN

          スイッチング環境では、個々のエンド ステーションに、または共通グループのエンド ステーションに、個別のプライベート VLAN や、関連する IP サブネットを割り当てることができます。 エンド ステーションはデフォルト ゲートウェイとの通信を行うだけで、プライベート VLAN の外部と通信することができます。

          プライベート VLAN を使用し、次の方法でエンド ステーションへのアクセスを制御できます。

          • エンド ステーションに接続されているインターフェイスを選択して独立ポートとして設定し、レイヤ 2 の通信をしないようにします。 たとえば、エンド ステーションがサーバの場合、この設定によりサーバ間のレイヤ 2 通信ができなくなります。

          • デフォルト ゲートウェイおよび選択したエンド ステーション（バックアップ サーバなど）に接続されているインターフェイスを無差別ポートとして設定し、すべてのエンド ステーションがデフォルト ゲートウェイにアクセスできるようにします。

          複数のデバイスにわたるようにプライベート VLAN を拡張するには、プライマリ VLAN、独立 VLAN、およびコミュニティ VLAN を、プライベート VLAN をサポートする他のデバイスにトランキングします。 使用するプライベート VLAN 設定のセキュリティを確保して、プライベート VLAN として設定された VLAN が他の目的に使用されないようにするには、プライベート VLAN ポートがないデバイスを含めて、すべての中間デバイスでプライベート VLAN を設定します。

          プライベート VLAN での IP アドレッシング方式

          各カスタマーに個別の VLAN を割り当てると、次のように IP アドレッシング方式が非効率的になります。

          • カスタマー VLAN にアドレスのブロックを割り当てると、未使用 IP アドレスが発生することがあります。

          • VLAN 内のデバイス数が増加した場合、それに対応するだけのアドレスを割り当てられない場合があります。

          この問題は、プライベート VLAN を使用すると軽減します。プライベート VLAN では、プライベート VLAN のすべてのメンバーが、プライマリ VLAN に割り当てられている共通アドレス空間を共有するためです。 ホストはセカンダリ VLAN に接続され、プライマリ VLAN に割り当てられているアドレスのブロックから IP アドレスが DHCP サーバによってホストに割り当てられますが、同一プライマリ VLAN 内のセカンダリ VLAN には割り当てられません。 さまざまなセカンダリ VLAN のカスタマー デバイスには後続 IP アドレスが割り当てられます。 新しいデバイスを追加すると、サブネット アドレスの巨大プールから次に使用できるアドレスが、DHCP サーバによって割り当てられます。

          複数のスイッチにまたがるプライベート VLAN

          図 2. 複数のスイッチにまたがるプライベート VLAN. 通常の VLAN と同様に、プライベート VLAN を複数のスイッチにまたがるように設定できます。 トランク ポートはプライマリ VLAN およびセカンダリ VLAN を隣接スイッチに伝送します。 トランク ポートはプライベート VLAN を他の VLAN として扱います。 複数のスイッチにまたがるプライベート VLAN の機能の特徴として、スイッチ A にある独立ポートからのトラフィックはスイッチ B に到達しません。



          プライベート VLAN は VTP 1、2、および 3 のトランスペアレント モードでサポートされます。 プライベート VLAN は VTP 3 のサーバ モードでもサポートされます。 VTP 3 を使用して設定したサーバ クライアントがある場合、サーバに設定されているプライベート VLAN をクライアント上に反映させる必要があります。

          プライベート VLAN とユニキャスト、ブロードキャスト、およびマルチキャスト トラフィック

          通常の VLAN では、同じ VLAN にあるデバイスはレイヤ 2 レベルで互いに通信しますが、別の VLAN にあるインターフェイスに接続されたデバイスとはレイヤ 3 レベルで通信する必要があります。 プライベート VLAN の場合、無差別ポートはプライマリ VLAN のメンバーであり、ホスト ポートはセカンダリ VLAN に属します。 セカンダリ VLAN はプライマリ VLAN に対応付けられているため、これらの VLAN のメンバーはレイヤ 2 レベルで互いに通信できます。

          通常の VLAN の場合、ブロードキャストはその VLAN のすべてのポートに転送されます。 プライベート VLAN のブロードキャストの転送は、次のようにブロードキャストを送信するポートによって決まります。

          • 独立ポートは、無差別ポートまたはトランク ポートだけにブロードキャストを送信します。

          • コミュニティ ポートは、すべての無差別ポート、トランク ポート、同一コミュニティ VLAN のポートにブロードキャストを送信します。

          • 無差別ポートは、プライベート VLAN のすべてのポート（その他の無差別ポート、トランク ポート、独立ポート、コミュニティ ポート）にブロードキャストを送信します。

          マルチキャスト トラフィックのルーティングとブリッジングは、プライベート VLAN 境界を横断して行われ、単一コミュニティ VLAN 内でも行われます。 マルチキャスト トラフィックは、同一独立 VLAN のポート間、または別々のセカンダリ VLAN のポート間で転送されません。

          プライベート VLAN のマルチキャスト転送は次の状況をサポートします。

          • 送信側が VLAN 外に存在する可能性があり、受信側が VLAN ドメイン内に存在している可能性がある。

          • 送信側が VLAN 内に存在する可能性があり、受信側が VLAN ドメイン外に存在している可能性がある。

          • 送信側と受信側が同一のコミュニティ VLAN に存在している可能性がある。

          プライベート VLAN と SVI

          レイヤ 3 スイッチスイッチでは、スイッチ仮想インターフェイス（SVI）が VLAN のレイヤ 3 インターフェイスを表します。 レイヤ 3 デバイスは、セカンダリ VLAN ではなく、プライマリ VLAN だけを介してプライベート VLAN と通信します。 レイヤ 3 VLAN インターフェイス（SVI）はプライマリ VLAN にだけ設定してください。 レイヤ 3 VLAN インターフェイスをセカンダリ VLAN 用に設定できません。 VLAN がセカンダリ VLAN として設定されている間、セカンダリ VLAN の SVI はアクティブになりません。

          • SVI がアクティブである VLAN をセカンダリ VLAN として設定する場合、SVI をディセーブルにしないと、この設定は許可されません。

          • セカンダリ VLAN として設定されている VLAN に SVI を作成しようとしてセカンダリ VLAN がすでにレイヤ 3 にマッピングされている場合、SVI は作成されず、エラーが返されます。 SVI がレイヤ 3 にマッピングされていない場合、SVI は作成されますが、自動的にシャットダウンされます。

          プライマリ VLAN をセカンダリ VLAN と関連付けてマッピングすると、プライマリ VLAN の設定がセカンダリ VLAN の SVI に伝播されます。 たとえば、プライマリ VLAN の SVI に IP サブネットを割り当てると、このサブネットは、プライベート VLAN 全体の IP サブネット アドレスになります。

          セカンダリ VLAN およびプライマリ VLAN の設定

          プライベート VLAN の設定時は、次の注意事項に従ってください。

          • プライベート VLAN は VTP 1、2、および 3 のトランスペアレント モードでサポートされます。 スイッチで VTP バージョン 1 または 2 が稼働している場合は、VTP をトランスペアレント モードに設定する必要があります。 プライベート VLAN を設定した後で、VTP モードをクライアントまたはサーバに変更できません。 VTP バージョン 3 は、すべてのモードでプライベート VLAN をサポートします。

          • VTP バージョン 1 または 2 でプライベート VLAN を設定した後、 copy running-config startup config 特権 EXEC コマンドを使用して、VTP トランスペアレント モード設定とプライベート VLAN 設定をスイッチ スタートアップ コンフィギュレーション ファイルに保存します。 保存しないと、スイッチをリセットした場合、デフォルトの VTP サーバ モードになり、プライベート VLAN をサポートしなくなります。 VTP バージョン 3 ではプライベート VLAN をサポートします。

          • VTP バージョン 1 および 2 では、プライベート VLAN 設定の伝播は行われません。 プライベート VLAN ポートが必要なデバイスで VTP バージョン 3 が実行されていない場合は、VTP3 はプライベート VLAN を伝播するため、そのデバイス上でプライベート VLAN を設定する必要があります。

          • VLAN 1 または VLAN 1002 ～ 1005 をプライマリ VLAN またはセカンダリ VLAN として設定できません。 拡張 VLAN（VLAN ID 1006 ～ 4094）はプライベート VLAN に属することができます。

          • プライマリ VLAN には、1 つの独立 VLAN および複数のコミュニティ VLAN を関連付けることができます。 独立 VLAN またはコミュニティ VLAN には、1 つのプライマリ VLAN だけを関連付けることができます。

          • プライベート VLAN には複数の VLAN が含まれますが、プライベート VLAN 全体で実行可能なスパニングツリー プロトコル（STP）インスタンスは 1 つだけです。 セカンダリ VLAN がプライマリ VLAN に関連付けられている場合、プライマリ VLAN の STP パラメータがセカンダリ VLAN に伝播されます。

          • TFTP サーバから PVLAN 設定をコピーし、それを実行中の設定に適用しても、PVLAN の関連付けは形成されません。 プライマリ VLAN がすべてのセカンダリ VLAN に確実に関連付けられていることを確認する必要があります。

            また、copy flash:config_file running-config の代わりに configure replace flash:config_file force も使用できます。

          • DHCP スヌーピングはプライベート VLAN 上でイネーブルにできます。 プライマリ VLAN で DHCP スヌーピングをイネーブルにすると、DHCP スヌーピングはセカンダリ VLAN に伝播されます。 セカンダリ VLAN で DHCP を設定しても、プライマリ VLAN をすでに設定している場合、DHCP 設定は有効になりません。

          • プライベート VLAN ポートで IP ソース ガードをイネーブルにする場合は、プライマリ VLAN で DHCP スヌーピングをイネーブルにする必要があります。

          • プライベート VLAN でトラフィックを伝送しないデバイスのトランクから、プライベート VLAN をプルーニングすることを推奨します。

          • プライマリ VLAN、独立 VLAN、およびコミュニティ VLAN には、別々の Quality of Service（QoS）設定を適用できます

          • sticky ARP には、次の考慮事項があります。

            • sticky ARP エントリとは、SVI およびレイヤ 3 インターフェイス上で学習されるエントリです。 これらのエントリは、期限切れになることはありません。

            • ip sticky-arp グローバル コンフィギュレーション コマンドは、プライベート VLAN に属する SVI でだけサポートされます。

            • ip sticky-arp インターフェイス コンフィギュレーション コマンドは、以下でのみサポートされます。

              • レイヤ 3 インターフェイス

              • 標準 VLAN に属する SVI

              • プライベート VLAN に属する SVI

              ip sticky-arp グローバル コンフィギュレーション コマンドおよび ip sticky-arp インターフェイス コンフィギュレーション コマンドの使用の詳細については、このリリースのコマンド リファレンスを参照してください。

          • プライマリ VLAN およびセカンダリ VLAN で VLAN マップを設定できます。 ただし、プライベート VLAN のプライマリおよびセカンダリ VLAN に同じ VLAN マップを設定することを推奨します。

          • PVLAN は双方向です。 これらは、入力側と出力側の両方に適用されます。

            レイヤ 2 のフレームがプライベート VLAN 内で転送されると、入力側と出力側で VLAN マップが適用されます。 フレームがプライベート VLAN の内側から外部ポートにルーティングされる場合、プライベート VLAN マップが入力側に適用されます。 同様に、フレームが外部ポートからプライベート VLAN にルーティングされると、プライベート VLAN は出力側に適用されます。

            ブリッジング

            • セカンダリ VLAN からプライマリ VLAN へのアップストリーム トラフィックの場合、セカンダリ VLAN の MAP は入力側に適用され、プライマリ VLAN の MAP は出力側に適用されます。

            • プライマリ VLAN からセカンダリ VLAN へのダウンストリーム トラフィックの場合は、プライマリ VLAN の MAP は入力方向で適用され、セカンダリ VLAN のMAP は出力方向で適用されます。

            Routing

            プライベート VLAN ドメインが 2 つ（PV1（sec1、prim1）および PV2（sec2、prim2））ある場合を想定します。 PV1 から PV2 にルーティングされるフレームについては次のようになります。

            • sec1　の MAP および prim1 の L3 ACL は入力ポートに適用されます。

            • sec1 の MAP および prim2 の L3 ACL は出力ポートに適用されます。

            • 分離されたホスト ポートから無差別ポートへのアップストリームまたはダウンストリームに従うパケットの場合、分離された VLAN の VACL は入力方向に適用され、プライマリ VLAN の VACL は出力方向に適用されます。 これにより、ユーザは同じプライマリ VLAN ドメインの別のセカンダリ VLAN に異なる VACL を設定することができます。

            プライベート VLAN の特定 IP トラフィックをフィルタリングするには、プライマリ VLAN およびセカンダリ VLAN の両方に VLAN マップを適用する必要があります。

          • プライマリ VLAN SVI にだけルータ ACL を適用できます。 ACL はプライマリおよびセカンダリ VLAN のレイヤ 3 トラフィックに適用されます。

          • プライベート VLAN がレイヤ 2 でホストを分離していても、ホストはレイヤ 3 で互いに通信できます。

          • プライベート VLAN では、次のスイッチド ポート アナライザ（SPAN）機能がサポートされます。

            • プライベート VLAN を SPAN 送信元ポートとして設定できます。

            • プライマリ VLAN、独立 VLAN、およびコミュニティ VLAN 上で VLAN ベースの SPAN（VSPAN）を使用したり、単一の VLAN 上で SPAN を使用したりして、出力トラフィックまたは入力トラフィックを個別に監視することができます。

          プライベート VLAN ポートの設定

          プライベート VLAN ポートの設定時は、次の注意事項に従ってください。

          • プライマリ VLAN、独立 VLAN、またはコミュニティ VLAN にポートを割り当てるには、プライベート VLAN コンフィギュレーション コマンドだけを使用します。 プライマリ VLAN、独立 VLAN、またはコミュニティ VLAN として設定する VLAN に割り当てられているレイヤ 2 アクセス ポートは、この VLAN がプライベート VLAN の設定に含まれている場合、非アクティブです。 レイヤ 2 トランク インターフェイスは STP フォワーディング ステートのままです。

          • PAgP または LACP EtherChannel に属するポートを、プライベート VLAN ポートとして設定しないでください。 ポートがプライベート VLAN の設定に含まれている間は、そのポートの EtherChannel 設定はいずれも非アクティブです。

          • 設定ミスによる STP ループの発生を防ぎ、STP コンバージェンスを高速化するには、独立ホスト ポートおよびコミュニティ ホスト ポート上で PortFast および BPDU ガードをイネーブルにします イネーブルの場合、STP はすべての PortFast が設定されたレイヤ 2 LAN ポートに BPDU ガード機能を適用します。 PortFast および BPDU ガードを無差別ポートでイネーブルにしないでください。

          • プライベート VLAN の設定で使用される VLAN を削除すると、この VLAN に関連付けられたプライベート VLAN ポートが非アクティブになります。

          • ネットワーク デバイスをトランク接続し、プライマリ VLAN およびセカンダリ VLAN がトランクから削除されていない場合、プライベート VLAN ポートはさまざまなネットワーク デバイス上で使用できます。

          プライベート VLAN の設定タスク

          プライベート VLAN を設定するには、次の手順を実行します。

          1. VTP モードをトランスペアレントに設定します。

          2. プライマリおよびセカンダリ VLAN を作成してこれらを対応付けします。


            （注）  

            VLAN がまだ作成されていない場合、プライベート VLAN 設定プロセスでこれを作成します。

          3. インターフェイスを独立ポートまたはコミュニティ ホスト ポートに設定して、ホスト ポートに VLAN メンバーシップを割り当てます。

          4. インターフェイスを無差別ポートとして設定し、無差別ポートをプライマリおよびセカンダリ VLAN のペアにマッピングします。

          5. VLAN 間ルーティングを使用する場合は、プライマリ SVI を設定し、セカンダリ VLAN をプライマリにマッピングします。

          6. プライベート VLAN の設定を確認します。

          プライベート VLAN 内の VLAN の設定および対応付け

          private-vlan コマンドは VLAN コンフィギュレーション モードを終了するまで機能しません。

          プライベート VLAN 内で VLAN を設定し、関連付けるには、次の手順を実行します。

          手順の概要

            1.    enable

            2.    configureterminal

            3.    vtp mode transparent

            4.    vlan vlan-id

            5.    private-vlan primary

            6.    exit

            7.    vlan vlan-id

            8.    private-vlan isolated

            9.    exit

            10.    vlan vlan-id

            11.    private-vlan community

            12.    exit

            13.    vlan vlan-id

            14.    private-vlan community

            15.    exit

            16.    vlanvlan-id

            17.    private-vlan association [ add | remove] secondary_vlan_list

            18.    end

            19.    show vlan private-vlan [ type] または show interfaces status

            20.    copy running-config startup config


          手順の詳細
              コマンドまたはアクション 目的
            ステップ 1 enable


            例： 
            Switch> enable
             

            特権 EXEC モードをイネーブルにします。 パスワードを入力します（要求された場合）。

             
            ステップ 2 configureterminal


            例： 
            
            
          
Switch# configure terminal
             

            グローバル コンフィギュレーション モードを開始します。

             
            ステップ 3 vtp mode transparent


            例： 
            
            
          
Switch(config)# vtp mode transport
             

            VTP モードをトランスペアレントに設定します（VTP をディセーブルにします）。

            （注）      VTP3 の場合、サーバまたはトランスペアレント モードのいずれにもモードを設定できます。
             
            ステップ 4 vlan vlan-id


            例： 
            
            
          
Switch(config)# vlan 20
             

            VLAN コンフィギュレーション モードを開始して、プライマリ VLAN となる VLAN を指定または作成します。 VLAN ID の範囲は 2 ～ 1001 および 1006 ～ 4094 です。

             
            ステップ 5 private-vlan primary


            例： 
            
            
          
Switch(config-vlan)# private-vlan primary
             

            VLAN をプライマリ VLAN として指定します。

             
            ステップ 6 exit


            例： 
            
            
          
Switch(config-vlan)# exit
             

            グローバル コンフィギュレーション モードに戻ります。

             
            ステップ 7 vlan vlan-id


            例： 
            
            
          
Switch(config)# vlan 501
             

            （任意）VLAN コンフィギュレーション モードを開始して、独立 VLAN となる VLAN を指定または作成します。 VLAN ID の範囲は 2 ～ 1001 および 1006 ～ 4094 です。

             
            ステップ 8 private-vlan isolated


            例： 
            
            
          
Switch(config-vlan)# private-vlan isolated
             

            VLAN を独立 VLAN として指定します。

             
            ステップ 9 exit


            例： 
            
            
          
Switch(config-vlan)# exit
             

            グローバル コンフィギュレーション モードに戻ります。

             
            ステップ 10 vlan vlan-id


            例： 
            
            
          
Switch(config)# vlan 502
             

            （任意）VLAN コンフィギュレーション モードを開始して、コミュニティ VLAN となる VLAN を指定または作成します。 VLAN ID の範囲は 2 ～ 1001 および 1006 ～ 4094 です。

             
            ステップ 11 private-vlan community


            例： 
            
            
          
Switch(config-vlan)# private-vlan community
             

            VLAN をコミュニティ VLAN として指定します。

             
            ステップ 12 exit


            例： 
            
            
          
Switch(config-vlan)# exit
             

            グローバル コンフィギュレーション モードに戻ります。

             
            ステップ 13 vlan vlan-id


            例： 
            
            
          
Switch(config)# vlan 503
             

            （任意）VLAN コンフィギュレーション モードを開始して、コミュニティ VLAN となる VLAN を指定または作成します。 VLAN ID の範囲は 2 ～ 1001 および 1006 ～ 4094 です。

             
            ステップ 14 private-vlan community


            例： 
            Switch(config-vlan)# private-vlan community
             

            VLAN をコミュニティ VLAN として指定します。

             
            ステップ 15 exit


            例： 
            Switch(config-vlan)# exit
             

            グローバル コンフィギュレーション モードに戻ります。

             
            ステップ 16 vlanvlan-id


            例： 
            Switch(config)# vlan 20
             

            ステップ 4 で指定したプライマリ VLAN に関して VLAN コンフィギュレーション モードを開始します。

             
            ステップ 17 private-vlan association [ add | remove] secondary_vlan_list


            例： 
            
            
          
Switch(config-vlan)# private-vlan association 501-503
             

            セカンダリ VLAN をプライマリ VLAN に関連付けます。 単一のプライベート VLAN ID でも、またはハイフンで連結したプライベート VLAN ID でもかまいません。

            • secondary_vlan_list パラメータには、スペースを含めないでください。 カンマで区切った複数の項目を含めることができます。 各項目として入力できるのは、単一のプライベート VLAN ID またはハイフンで連結したプライベート VLAN ID です。

            • secondary_vlan_list パラメータには複数のコミュニティ VLAN ID を含められますが、独立 VLAN ID は 1 つだけです。

            • secondary_vlan_list を入力するか、または add キーワードを指定した secondary_vlan_list を使用してセカンダリ VLAN とプライマリ VLAN を関連付けます。

            • セカンダリ VLAN とプライマリ VLAN 間の関連付けをクリアするには、secondary_vlan_list に remove キーワードを使用します。

            • このコマンドは、VLAN コンフィギュレーション モードを終了するまで機能しません。

             
            ステップ 18 end


            例： 
            
            
          
Switch(config)# end
             

            特権 EXEC モードに戻ります。

             
            ステップ 19 show vlan private-vlan [ type] または show interfaces status

            例： 
            
            
          
Switch# show vlan private-vlan
             

            設定を確認します。

             
            ステップ 20 copy running-config startup config


            例： 
            
            
          
Switch# copy running-config startup-config
             

            スイッチ スタートアップ コンフィギュレーション ファイルに設定項目を保存します。

             

            プライベート VLAN ホスト ポートとしてのレイヤ 2 インターフェイスの設定

            レイヤ 2 インターフェイスをプライベート VLAN ホスト ポートとして設定し、これをプライマリおよびセカンダリ VLAN に関連付けるには、次の手順を実行します。


            （注）  

            独立およびコミュニティ VLAN はいずれもセカンダリ VLAN です。
            手順の概要

              1.    enable

              2.    configureterminal

              3.    interface interface-id

              4.    switchport mode private-vlan host

              5.    switchport private-vlan host-association primary_vlan_id secondary_vlan_id

              6.    end

              7.    show interfaces [ interface-id] switchport

              8.    copy running-config startup-config


            手順の詳細
                コマンドまたはアクション 目的
              ステップ 1 enable


              例： 
              Switch> enable
               

              特権 EXEC モードをイネーブルにします。 パスワードを入力します（要求された場合）。

               
              ステップ 2 configureterminal


              例： 
              
            
          
Switch# configure terminal
               

              グローバル コンフィギュレーション モードを開始します。

               
              ステップ 3 interface interface-id


              例： 
              
            
          
Switch(config)# interface gigabitethernet1/0/22
               

              設定するレイヤ 2 インターフェイスに対して、インターフェイス コンフィギュレーション モードを開始します。

               
              ステップ 4 switchport mode private-vlan host


              例： 
              
            
          
Switch(config-if)# switchport mode private-vlan host
               

              レイヤ 2 ポートをプライベート VLAN ホスト ポートとして設定します。

               
              ステップ 5 switchport private-vlan host-association primary_vlan_id secondary_vlan_id


              例： 
              
            
          
Switch(config-if)# switchport private-vlan host-association 20 501
               

              レイヤ 2 ポートをプライベート VLAN と関連付けます。

              （注）      これは、レイヤ 2 インターフェイスに PVLAN を関連付けるために必要な手順です。
               
              ステップ 6 end


              例： 
              
            
          
Switch(config)# end
               

              特権 EXEC モードに戻ります。

               
              ステップ 7 show interfaces [ interface-id] switchport


              例： 
              
            
          
Switch#  
            show interfaces gigabitethernet1/0/22 switchport
               

              設定を確認します。

               
              ステップ 8 copy running-config startup-config


              例： 
              Switch# copy running-config startup-config
               

              （任意）コンフィギュレーション ファイルに設定を保存します。

               
              関連コンセプト
              関連資料

              プライベート VLAN 無差別ポートとしてのレイヤ 2 インターフェイスの設定

              レイヤ 2 インターフェイスをプライベート VLAN 無差別ポートとして設定し、これをプライマリおよびセカンダリ VLAN にマッピングするには、次の手順を実行します。


              （注）  

              独立およびコミュニティ VLAN はいずれもセカンダリ VLAN です。
              手順の概要

                1.    enable

                2.    configureterminal

                3.    interface interface-id

                4.    switchport mode private-vlan promiscuous

                5.    switchport private-vlan mapping primary_vlan_id { add | remove} secondary_vlan_list

                6.    end

                7.    show interfaces [ interface-id] switchport

                8.    copy running-config startup config


              手順の詳細
                  コマンドまたはアクション 目的
                ステップ 1 enable


                例： 
                Switch> enable
                 

                特権 EXEC モードをイネーブルにします。 パスワードを入力します（要求された場合）。

                 
                ステップ 2 configureterminal


                例： 
                
            
          
Switch# configure terminal
                 

                グローバル コンフィギュレーション モードを開始します。

                 
                ステップ 3 interface interface-id


                例： 
                
            
          
Switch(config)# interface gigabitethernet1/0/2
                 

                設定するレイヤ 2 インターフェイスに対して、インターフェイス コンフィギュレーション モードを開始します。

                 
                ステップ 4 switchport mode private-vlan promiscuous


                例： 
                
            
          
Switch(config-if)# switchport mode private-vlan promiscuous
                 

                レイヤ 2 ポートをプライベート VLAN 無差別ポートとして設定します。

                 
                ステップ 5 switchport private-vlan mapping primary_vlan_id { add | remove} secondary_vlan_list


                例： 
                
            
          
Switch(config-if)# switchport private-vlan mapping 20 add 501-503
                 

                プライベート VLAN 無差別ポートをプライマリ VLAN、および選択したセカンダリ VLAN にマッピングします。

                • secondary_vlan_list パラメータには、スペースを含めないでください。 カンマで区切った複数の項目を含めることができます。 各項目として入力できるのは、単一のプライベート VLAN ID、またはハイフンで連結したプライベート VLAN ID の範囲です。

                • セカンダリ VLAN とプライマリ VLAN をプライベート VLAN 無差別ポートにマッピングするには、secondary_vlan_list を入力するか、または add キーワードを指定した secondary_vlan_list を使用します。

                • セカンダリ VLAN とプライベート VLAN 無差別ポートのマッピングを解除するには、remove キーワードを指定した secondary_vlan_list を使用します。

                 
                ステップ 6 end


                例： 
                
            
          
Switch(config)# end
                 

                特権 EXEC モードに戻ります。

                 
                ステップ 7 show interfaces [ interface-id] switchport


                例： 
                
            
          
Switch# show interfaces gigabitethernet1/0/2 switchport
                 

                設定を確認します。

                 
                ステップ 8 copy running-config startup config


                例： 
                
            
          
Switch# copy running-config startup-config
                 

                スイッチ スタートアップ コンフィギュレーション ファイルに設定項目を保存します。

                 
                関連コンセプト
                関連資料

                セカンダリ VLAN のプライマリ VLAN レイヤ 3 VLAN インターフェイスへのマッピング

                プライベート VLAN が VLAN 間ルーティングに使用される場合、SVI をプライマリ VLAN に設定してセカンダリ VLAN を SVI にマッピングできます。


                （注）  
                独立およびコミュニティ VLAN はいずれもセカンダリ VLAN です。

                セカンダリ VLAN をプライマリ VLAN の SVI にマッピングしてプライベート VLAN トラフィックのレイヤ 3 スイッチングを可能にするには、次の手順を実行します。

                手順の概要

                  1.    enable

                  2.    configureterminal

                  3.    interface vlan primary_vlan_id

                  4.    private-vlan mapping [ add | remove] secondary_vlan_list

                  5.    end

                  6.    show interface private-vlan mapping

                  7.    copy running-config startup config


                手順の詳細
                    コマンドまたはアクション 目的
                  ステップ 1 enable


                  例： 
                  Switch> enable
                   

                  特権 EXEC モードをイネーブルにします。 パスワードを入力します（要求された場合）。

                   
                  ステップ 2 configureterminal


                  例： 
                  
            
          
Switch# configure terminal
                   

                  グローバル コンフィギュレーション モードを開始します。

                   
                  ステップ 3 interface vlan primary_vlan_id


                  例： 
                  
            
          
Switch(config)# interface vlan 20
                   

                  プライマリ VLAN でインターフェイス コンフィギュレーション モードを開始して、VLAN を SVI として設定します。 VLAN ID の範囲は 2 ～ 1001 および 1006 ～ 4094 です。

                   
                  ステップ 4 private-vlan mapping [ add | remove] secondary_vlan_list


                  例： 
                  
            
          
Switch(config-if)# private-vlan mapping 501-503
                   

                  セカンダリ VLAN をプライマリ VLAN のレイヤ 3 VLAN インターフェイスにマッピングして、プライベート VLAN 入力トラフィックのレイヤ 3 スイッチングを可能にします。

                  （注）      private-vlan mapping インターフェイス コンフィギュレーション コマンドは、レイヤ 3 スイッチングされているプライベート VLAN トラフィックにだけ影響を与えます。

                  • secondary_vlan_list パラメータには、スペースを含めないでください。 カンマで区切った複数の項目を含めることができます。 各項目として入力できるのは、単一のプライベート VLAN ID またはハイフンで連結したプライベート VLAN ID です。

                  • secondary_vlan_list を入力するか、または add キーワードを指定した secondary_vlan_list を使用して、セカンダリ VLAN をプライマリ VLAN にマッピングします。

                  • remove キーワードを指定した secondary_vlan_list を使用して、セカンダリ VLAN とプライマリ VLAN のマッピングを解除します。

                   
                  ステップ 5 end


                  例： 
                  
            
          
Switch(config)# end
                   

                  特権 EXEC モードに戻ります。

                   
                  ステップ 6 show interface private-vlan mapping


                  例： 
                  
            
          
Switch# show interfaces private-vlan mapping
                   

                  設定を確認します。

                   
                  ステップ 7 copy running-config startup config


                  例： 
                  
            
          
Switch# copy running-config startup-config
                   

                  スイッチ スタートアップ コンフィギュレーション ファイルに設定項目を保存します。

                   
                  関連コンセプト
                  関連資料

                  プライベート VLAN のモニタ

                  次の表に、プライベート VLAN をモニタするために使用するコマンドを記載します。

                  表 1 プライベート VLAN モニタリング コマンド

                  コマンド

                  目的

                  show interfaces status

                  所属する VLAN を含む、インターフェイスのステータスを表示します。

                  show vlan private-vlan [ type]

                  Switchのプライベート VLAN 情報を表示します。

                  show interface switchport

                  インターフェイス上のプライベート VLAN 設定を表示します。

                  show interface private-vlan mapping

                  VLAN SVI のプライベート VLAN マッピングに関する情報を表示します。

                  show platform vlan pvlan

                  FED 側の PVLAN 情報を表示します。

                  show platform vlan pvlan hardware

                  FED 側の PVLAN で保持されているすべてのハードウェア リソースを表示します。

                  例：ホスト ポートとしてのインターフェイスの設定

                  次に、インターフェイスをプライベート VLAN ホスト ポートとして設定し、それをプライベート VLAN ペアに関連付けて、その設定を確認する例を示します。

                  
         
       
Switch# configure terminal
Switch(config)# interface gigabitethernet1/0/22
Switch(config-if)# switchport mode private-vlan host
Switch(config-if)# switchport private-vlan host-association 20 501
Switch(config-if)# end
Switch# show interfaces gigabitethernet1/0/22 switchport
Name: Gi1/0/22
Switchport: Enabled
Administrative Mode: private-vlan host
Operational Mode: private-vlan host
Administrative Trunking Encapsulation: negotiate
Operational Trunking Encapsulation: native
Negotiation of Trunking: Off
Access Mode VLAN: 1 (default)
Trunking Native Mode VLAN: 1 (default)
Administrative Native VLAN tagging: enabled
Voice VLAN: none
Administrative private-vlan host-association: 20 501
Administrative private-vlan mapping: none
Administrative private-vlan trunk native VLAN: none
Administrative private-vlan trunk Native VLAN tagging: enabled
Administrative private-vlan trunk encapsulation: dot1q
Administrative private-vlan trunk normal VLANs: none
Administrative private-vlan trunk private VLANs: none
Operational private-vlan:
20 501

<output truncated>
                  関連コンセプト
                  関連タスク

                  例：インターフェイスをプライベート VLAN 無差別ポートとして設定する

                  次の例では、インターフェイスをプライベート VLAN 無差別ポートとして設定し、それをプライベート VLAN にマッピングする方法を示します。 インターフェイスは、プライマリ VLAN 20 のメンバで、セカンダリ VLAN 501 ～ 503 がマッピングされます。

                  
         
       
Switch# configure terminal
Switch(config)# interface gigabitethernet1/0/2
Switch(config-if)# switchport mode private-vlan promiscous
Switch(config-if)# switchport private-vlan mapping 20 add 501-503
Switch(config-if)# end

                  show vlan private-vlan または show interface status 特権 EXEC コマンドを使用してプライマリおよびセカンダリ VLAN とSwitch上のプライベート VLAN ポートを表示します。

                  関連コンセプト
                  関連タスク

                  例：セカンダリ VLAN をプライマリ VLAN インターフェイスにマッピングする

                  次に、VLAN 501 および 502 のインターフェイスをプライマリ VLAN 10 にマッピングする例を示します。これにより、プライベート VLAN 501 および 502 からのセカンダリ VLAN 入力トラフィックのルーティングが可能になります。

                  
         
       
Switch# configure terminal
Switch(config)# interface vlan 20
Switch(config-if)# private-vlan mapping 501-503
Switch(config-if)# end
Switch# show interfaces private-vlan mapping
Interface Secondary VLAN Type
--------- -------------- -----------------
vlan20    501            isolated
vlan20    502            community
vlan20    503            community
                  関連コンセプト
                  関連タスク

                  例：プライベート VLAN のモニタリング

                  次に、show vlan private-vlan コマンドの出力例を示します。

                  
         
       
Switch# show vlan private-vlan
Primary Secondary Type              Ports
------- --------- ----------------- ------------------------------------------
20      501       isolated          Gi1/0/22, Gi1/0/2
20      502       community         Gi1/0/2
20      503       community									Gi1/0/2

                  次の作業

                  次の設定を行えます。

                  • VTP

                  • VLANs

                  • VLAN トランキング

                  • VLAN メンバーシップ ポリシー サーバ（VMPS）

                  • 音声 VLAN

                  その他の参考資料

                  関連資料

                  関連項目 マニュアル タイトル
                  CLI コマンド LAN Switching Command Reference, Cisco IOS Release

                  標準および RFC

                  標準/RFC Title

                  RFC 1573

                  RFC 1757

                  RFC 2021

                  MIB

                  MIB MIB のリンク
                  本リリースでサポートするすべての MIB

                  • BRIDGE-MIB（RFC1493）

                  • CISCO-BRIDGE-EXT-MIB

                  • CISCO-CDP-MIB

                  • CISCO-PAGP-MIB

                  • CISCO-PRIVATE-VLAN-MIB

                  • CISCO-LAG-MIB

                  • CISCO-L2L3-INTERFACE-CONFIG-MIB

                  • CISCO-MAC-NOTIFICATION-MIB

                  • CISCO-STP-EXTENSIONS-MIB

                  • CISCO-VLAN-IFTABLE-RELATIONSHIP-MIB

                  • CISCO-VLAN-MEMBERSHIP-MIB

                  • CISCO-VTP-MIB

                  • IEEE8023-LAG-MIB

                  • IF-MIB（RFC 1573）

                  • RMON-MIB（RFC 1757）

                  • RMON2-MIB（RFC 2021）

                  選択したプラットフォーム、Cisco IOS リリース、およびフィーチャ セットに関する MIB を探してダウンロードするには、次の URL にある Cisco MIB Locator を使用します。

                  http:/​/​www.cisco.com/​go/​mibs

                  シスコのテクニカル サポート

                  説明 Link

                  シスコのサポート Web サイトでは、シスコの製品やテクノロジーに関するトラブルシューティングにお役立ていただけるように、マニュアルやツールをはじめとする豊富なオンライン リソースを提供しています。

                  お使いの製品のセキュリティ情報や技術情報を入手するために、Cisco Notification Service（Field Notice からアクセス）、Cisco Technical Services Newsletter、Really Simple Syndication（RSS）フィードなどの各種サービスに加入できます。

                  シスコのサポート Web サイトのツールにアクセスする際は、Cisco.com のユーザ ID およびパスワードが必要です。

                  http:/​/​www.cisco.com/​support

                  このドキュメントは役に立ちましたか?

                  Feedbackフィードバック

                  シスコに問い合わせ