Catalyst 스위치에서 격리된 프라이빗 VLAN 설정

다운로드 옵션

PDF (568.4 KB)
다양한 디바이스에서 Adobe Reader로 보기

업데이트:2026년 8월 12일

문서 ID:40781

편견 없는 언어

본 제품에 대한 문서 세트는 편견 없는 언어를 사용하기 위해 노력합니다. 본 설명서 세트의 목적상, 편견 없는 언어는 나이, 장애, 성별, 인종 정체성, 민족 정체성, 성적 지향성, 사회 경제적 지위 및 교차성에 기초한 차별을 의미하지 않는 언어로 정의됩니다. 제품 소프트웨어의 사용자 인터페이스에서 하드코딩된 언어, RFP 설명서에 기초한 언어 또는 참조된 서드파티 제품에서 사용하는 언어로 인해 설명서에 예외가 있을 수 있습니다. 시스코에서 어떤 방식으로 포용적인 언어를 사용하고 있는지 자세히 알아보세요.

이 번역에 관하여

Cisco는 전 세계 사용자에게 다양한 언어로 지원 콘텐츠를 제공하기 위해 기계 번역 기술과 수작업 번역을 병행하여 이 문서를 번역했습니다. 아무리 품질이 높은 기계 번역이라도 전문 번역가의 번역 결과물만큼 정확하지는 않습니다. Cisco Systems, Inc.는 이 같은 번역에 대해 어떠한 책임도 지지 않으며 항상 원본 영문 문서(링크 제공됨)를 참조할 것을 권장합니다.

소개

이 문서에서는 Cisco IOS XE Software를 실행하는 Cisco Catalyst 9000 Series 스위치에서 격리 프라이빗 VLAN(PVLAN)을 구성하는 방법에 대해 설명합니다.

사전 요구 사항

요구 사항

다음 주제에 대한 지식을 보유하고 있으면 유용합니다.

VLAN 컨피그레이션
802.1Q 트렁킹
기본 Cisco IOS XE 명령줄 인터페이스(CLI)

사용되는 구성 요소

이 문서는 이러한 소프트웨어 및 하드웨어 버전을 기반으로 합니다. 그러나 PVLAN은 이러한 버전에만 국한되지 않습니다. 구축 전에 특정 플랫폼 및 Cisco IOS XE 릴리스에 대한 PVLAN 지원, 명령 구문 및 제한을 검증합니다.

Cisco IOS XE Software 릴리스 17.X 및 26.X를 실행하는 Cisco Catalyst 9300 Series 스위치

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우 모든 명령의 잠재적인 영향을 미리 숙지하시기 바랍니다.

표기 규칙

문서 규칙에 대한 자세한 내용은 Cisco 기술 팁 표기 규칙을 참고하십시오.

배경 정보

경우에 따라 다른 IP 서브넷에 디바이스를 배치하지 않고 스위치에서 엔드 디바이스 간 레이어 2 연결을 방지해야 합니다. PVLAN은 동일한 IP 서브넷에 속하는 포트 간 레이어 2 격리를 제공합니다. 이 설계는 호스트가 기본 게이트웨이, 방화벽, 로드 밸런서 또는 공유 서비스에 도달해야 하지만, 동일한 VLAN에 있는 다른 격리된 호스트와 직접 통신해서는 안 되며 IP 서브넷을 보존하는 데에도 도움이 되는 경우에 유용합니다.

PVLAN은 레이어 2 브로드캐스트 도메인을 기본 VLAN과 하나 이상의 보조 VLAN으로 분리합니다. PVLAN 내에서 특정 포트 집합을 할당하여 레이어 2의 포트 간 액세스를 제어할 수 있습니다. 동일한 스위치에서 PVLAN과 일반 VLAN을 구성할 수 있습니다.

PVLAN 포트에는 세 가지 유형이 있습니다. 무차별, 고립된, 그리고 공동체입니다.

PVLAN 포트 유형

포트 유형	설명	브로드캐스트, 알 수 없는 유니캐스트 및 멀티캐스트 동작
문란하	연결된 PVLAN 도메인의 모든 포트와 통신합니다. 이 포트는 일반적으로 기본 게이트웨이, 방화벽, 라우터, 로드 밸런서 또는 공유 서비스에 연결됩니다.	프로미스큐어스 포트는 격리 및 커뮤니티 포트에서 트래픽을 수신할 수 있습니다. 프로미스큐어스 포트에서 소싱된 브로드캐스트, 알 수 없는 유니캐스트 및 멀티캐스트 트래픽을 연결된 보조 VLAN 포트로 전달할 수 있습니다. 보조 VLAN 포트의 브로드캐스트 트래픽은 프로미스큐어스 포트로 전달될 수 있습니다.
격리됨	무차별 포트와만 통신합니다. 동일한 PVLAN의 다른 격리 포트와 통신하지 않습니다.	격리된 포트에서 제공된 브로드캐스트, 알 수 없는 유니캐스트 및 멀티캐스트 트래픽은 관련된 프로미스큐어스 포트로만 전달됩니다. 다른 격리된 포트 또는 커뮤니티 포트로는 전달되지 않습니다. 격리된 다른 포트의 브로드캐스트 트래픽은 격리된 포트에서 수신되지 않습니다.
커뮤니티	동일한 커뮤니티의 포트 및 프로미스큐어스 포트와 통신합니다.	커뮤니티 포트에서 소싱된 브로드캐스트, 알 수 없는 유니캐스트 및 멀티캐스트 트래픽은 동일한 커뮤니티 VLAN의 다른 포트 및 관련 프로미스큐어스 포트로 전달됩니다. 격리된 포트 또는 다른 커뮤니티 VLAN의 포트로는 전달되지 않습니다.

PVLAN VLAN 유형

VLAN 유형	설명
기본 VLAN	무차별 포트에서 트래픽을 전달하고 보조 VLAN에 매핑합니다.
격리 VLAN	호스트 격리에 사용되는 보조 VLAN입니다. 이 VLAN의 격리된 포트는 레이어 2에서 서로 통신할 수 없습니다.

참고: PVLAN은 동일한 기본 VLAN 도메인 내에서 레이어 2 포워딩을 제어합니다. 격리된 포트는 기본 VLAN과 동일한 IP 서브넷에 남아 있지만 격리된 호스트 간의 레이어 2 트래픽은 차단됩니다. 여기에는 격리 호스트 간의 ARP(Address Resolution Protocol) 같은 브로드캐스트 트래픽이 포함됩니다. 격리된 호스트는 여전히 기본 게이트웨이 또는 관련 프로미스큐어스 포트를 통해 연결된 기타 서비스를 확인하고 도달할 수 있습니다.

규칙 및 제한 사항

이 섹션에서는 PVLAN을 구현할 때 확인해야 하는 몇 가지 규칙 및 제한 사항을 제공합니다.

PVLAN에는 VLAN 1 또는 1002-1005를 포함할 수 없습니다.
PVLAN은 VTP 1, 2 및 3에 대해 투명 모드에서 지원됩니다. 프라이빗 VLAN은 VTP 3의 서버 모드에서도 지원됩니다.
기본 VLAN에 대해서만 레이어 3 VLAN 인터페이스(SVI)를 구성합니다.
VLAN에 현재 액세스 포트 할당이 없는 경우에만 VLAN을 PVLAN으로 지정할 수 있습니다. VLAN을 PVLAN으로 만들기 전에 해당 VLAN의 모든 포트를 제거합니다.

참고: 플랫폼별 제한 사항 및 PVLAN 트렁크 모드의 EtherChannel 지원을 비롯한 자세한 PVLAN 제한 사항은 Cisco IOS XE VLAN Configuration Guide의 Private VLAN restrictions for the target Catalyst platform: Catalyst 9500 Series, 프라이빗 VLAN 및 Catalyst 9300 Series 제한 사항, 프라이빗 VLAN 제한 사항

구성

예 1: 하나의 Cisco IOS XE Switch에서 격리된 PVLAN

호스트 1은 TenGigabitEthernet1/1/7에 연결됩니다.
호스트 2는 TenGigabitEthernet1/1/8에 연결합니다.
방화벽, 라우터 또는 공유 서비스는 TenGigabitEthernet1/1/5에 연결됩니다.
VLAN 100은 기본 VLAN입니다.
VLAN 101은 격리된 VLAN입니다.
격리된 호스트는 10.1.1.1을 기본 게이트웨이로 사용합니다.

호스트	스위치	인터페이스	VLAN 역할	IP 주소
호스트 1	9300-2	Te1/1/7	격리, VLAN 101	10.1.1.99/24
호스트 2	9300-2	1/1/8	격리, VLAN 101	10.1.1.100/24
게이트웨이	9300-2	1/1/5	문란하	10.1.1.1/24

네트워크 다이어그램

PVLAN Topology PVLAN 토폴로지

1단계. VTP 투명 모드 구성

9300-2#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
9300-2(config)#vtp mode transparent
Setting device to VTP Transparent mode for VLANS.
9300-2(config)#end

2단계. 기본 및 격리 VLAN 구성

9300-2#configure terminal Enter configuration commands, one per line. End with CNTL/Z. 9300-2(config)#vlan 100 9300-2(config-vlan)#name PVLAN_PRIMARY_100 9300-2(config-vlan)#private-vlan primary 9300-2(config-vlan)#private-vlan association 101 9300-2(config-vlan)#exit 9300-2(config)# 9300-2(config)#vlan 101 9300-2(config-vlan)#name PVLAN_ISOLATED_101 9300-2(config-vlan)#private-vlan isolated 9300-2(config-vlan)#exit 9300-2(config)#end

참고: private-vlan association <vlan-id> 명령은 격리된 VLAN을 기본 VLAN에 바인딩하는 데 사용됩니다.

3단계. 격리된 호스트 포트 구성

9300-2#configure terminal Enter configuration commands, one per line. End with CNTL/Z. 9300-2(config)#interface TenGigabitEthernet1/1/7 9300-2(config-if)#description Isolated Host 1 9300-2(config-if)#switchport 9300-2(config-if)#switchport mode private-vlan host 9300-2(config-if)#switchport private-vlan host-association 100 101 9300-2(config-if)#spanning-tree portfast 9300-2(config-if)#exit 9300-2(config)# 9300-2(config)#interface TenGigabitEthernet1/1/8 9300-2(config-if)#description Isolated Host 2 9300-2(config-if)#switchport 9300-2(config-if)#switchport mode private-vlan host 9300-2(config-if)#switchport private-vlan host-association 100 101 9300-2(config-if)#spanning-tree portfast 9300-2(config-if)#exit 9300-2(config)#end

4단계. 프로미스큐어스 포트 구성

9300-2#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
9300-2(config)#interface TenGigabitEthernet1/1/5
9300-2(config-if)#description Firewall Router or Shared Service
9300-2(config-if)#switchport
9300-2(config-if)#switchport mode private-vlan promiscuous
9300-2(config-if)#switchport private-vlan mapping 100 101
9300-2(config-if)#exit
9300-2(config)#end

레이어 3 컨피그레이션

PVLAN은 동일한 IP 서브넷 내에서 레이어 2 격리를 제공합니다. 격리된 호스트가 로컬 서브넷 외부의 네트워크(예: 인터넷, 데이터 센터 서비스 또는 업스트림 라우티드 네트워크)에 연결해야 하는 경우에도 레이어 3 연결이 필요합니다.

격리된 PVLAN 호스트에 대해 레이어 3 연결을 제공하는 두 가지 일반적인 방법이 있습니다.

스위치에 기본 VLAN SVI(Switched Virtual Interface)를 구성합니다.
기본 게이트웨이를 프로미스큐어스 포트에 직접 연결합니다.

참고: PVLAN 서브넷에 대해 하나의 레이어 3 게이트웨이 방법을 선택합니다. 프로미스큐어스 포트에 연결된 외부 게이트웨이 또는 스위치의 기본 VLAN SVI를 사용합니다.

방법 1: 기본 VLAN SVI 구성

Cisco IOS XE 스위치가 격리 호스트에 대한 기본 게이트웨이를 제공하는 경우 이 방법을 사용합니다.

PVLAN 설계에서 레이어 3 SVI는 기본 VLAN에 대해서만 구성해야 합니다. 격리 VLAN은 보조 VLAN이며 레이어 3 게이트웨이 서비스를 제공하지 않습니다.

이 예에서는 다음을 수행합니다.

VLAN 100은 기본 VLAN입니다.
VLAN 101은 격리된 보조 VLAN입니다.
인터페이스 VLAN100은 기본 게이트웨이를 제공합니다.
격리된 VLAN 101의 호스트는 기본 게이트웨이인 10.1.1.1/24 as을 사용합니다.

9300-2#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
9300-2(config)#interface Vlan100
9300-2(config-if)#description Primary PVLAN Gateway
9300-2(config-if)#ip address 10.1.1.1 255.255.255.0
9300-2(config-if)#private-vlan mapping 101
9300-2(config-if)#no shutdown
9300-2(config-if)#exit
9300-2(config)#end

핵심 사항

기본 VLAN에 대해서만 SVI를 구성합니다.
private-vlan mapping 명령을 사용하여 격리된 보조 VLAN을 기본 VLAN SVI에 매핑합니다.
격리된 VLAN을 게이트웨이 서비스를 위한 SVI로 구성하지 마십시오.
격리된 호스트는 기본 VLAN SVI와 동일한 IP 서브넷에 남아 있습니다.
격리된 호스트는 기본 VLAN SVI에 도달할 수 있습니다.
격리된 호스트는 레이어 2에서 다른 격리된 호스트와 직접 통신할 수 없습니다.

참고: 기본 VLAN에 대해서만 레이어 3 SVI를 구성합니다. 격리 및 커뮤니티 VLAN에 대한 VLAN 인터페이스는 격리 또는 커뮤니티 VLAN 컨피그레이션으로 비활성 상태입니다.

방법 2: 프로미스큐어스 포트에 게이트웨이 연결

외부 디바이스가 격리된 호스트에 대한 기본 게이트웨이를 제공하는 경우 이 방법을 사용합니다. 외부 디바이스는 라우터, 방화벽 또는 다른 레이어 3 게이트웨이 디바이스일 수 있습니다.

이 설계에서는 Cisco IOS XE 스위치에 PVLAN 서브넷을 위한 SVI가 필요하지 않습니다. 대신 외부 게이트웨이가 프로미스큐어스 포트에 연결됩니다. 프로미스큐어스 포트는 기본 VLAN을 격리된 보조 VLAN에 매핑합니다. 그러면 격리된 호스트가 외부 게이트웨이에 도달할 수 있습니다.

이 예에서는 다음을 수행합니다.

VLAN 100은 기본 VLAN입니다.
VLAN 101은 격리된 보조 VLAN입니다.
외부 게이트웨이는 TenGigabitEthernet1/1/5에 연결됩니다.
외부 게이트웨이 IP 주소는 10.1.1.1/24입니다.
격리된 호스트는 10.1.1.1을 기본 게이트웨이로 사용합니다.

9300-2#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
9300-2(config)#interface TenGigabitEthernet1/1/5
9300-2(config-if)#description Firewall Router or Shared Service
9300-2(config-if)#switchport
9300-2(config-if)#switchport mode private-vlan promiscuous
9300-2(config-if)#switchport private-vlan mapping 100 101
9300-2(config-if)#exit
9300-2(config)#end

핵심 사항

게이트웨이가 프로미스큐어스 포트에 직접 연결할 경우 PVLAN 서브넷에 대해 스위치에 SVI가 필요하지 않습니다.
외부 게이트웨이 인터페이스는 격리 호스트와 동일한 서브넷의 IP 주소를 사용해야 합니다.
프로미스큐어스 포트는 기본 VLAN을 격리 VLAN에 매핑해야 합니다.
격리된 호스트는 프로미스큐어스 포트를 통해 외부 게이트웨이에 도달할 수 있습니다.
격리된 호스트는 여전히 서로 직접 통신할 수 없습니다.

확인

show vlan private-vlan 명령을 사용하여 PVLAN 연결을 확인합니다.

9300-2#show vlan private-vlan

Primary Secondary Type              Ports
------- --------- ----------------- ------------------------------------------
100     101       isolated          Te1/1/5, Te1/1/7, Te1/1/8

참고: show vlan private-vlan 출력에서 Type 열은 격리 또는 커뮤니티 같은 보조 VLAN 유형을 식별합니다. Ports 열에 나열된 각 인터페이스의 운영 역할은 식별하지 않습니다. Ports 열은 기본 및 보조 VLAN 쌍과 연결된 인터페이스를 나열합니다. 여기에는 격리된 호스트 포트 및 해당 보조 VLAN에 매핑된 프로미스큐어스 포트가 포함됩니다.

show interface <interface-id> switchport 명령을 사용하여 호스트 포트 작동 상태를 확인합니다. 이 시나리오에서는 TenGigabitEthernet1/1/7 및 TenGigabitEthernet1/1/8입니다.

9300-2#show interface TenGigabitEthernet1/1/7 switchport
Name: Te1/1/7
Switchport: Enabled
Administrative Mode: private-vlan host
Operational Mode: private-vlan host
Administrative Trunking Encapsulation: dot1q
Operational Trunking Encapsulation: native
Negotiation of Trunking: Off
Access Mode VLAN: 1 (default)
Trunking Native Mode VLAN: 1 (default)
Administrative Native VLAN tagging: enabled
Voice VLAN: none
Administrative private-vlan host-association: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Administrative private-vlan mapping: none 
Administrative private-vlan trunk native VLAN: none
Administrative private-vlan trunk Native VLAN tagging: enabled
Administrative private-vlan trunk encapsulation: dot1q
Administrative private-vlan trunk normal VLANs: none
Administrative private-vlan trunk associations: none
Administrative private-vlan trunk mappings: none
Operational private-vlan: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Trunking VLANs Enabled: ALL
Pruning VLANs Enabled: 2-1001
Capture Mode Disabled
Capture VLANs Allowed: ALL

Protected: false
Unknown unicast blocked: disabled
Unknown multicast blocked: disabled
Vepa Enabled: false
App Interface: false
Appliance trust: none

9300-2#show interface TenGigabitEthernet1/1/8 switchport
Name: Te1/1/8
Switchport: Enabled
Administrative Mode: private-vlan host
Operational Mode: private-vlan host
Administrative Trunking Encapsulation: dot1q
Operational Trunking Encapsulation: native
Negotiation of Trunking: Off
Access Mode VLAN: 1 (default)
Trunking Native Mode VLAN: 1 (default)
Administrative Native VLAN tagging: enabled
Voice VLAN: none
Administrative private-vlan host-association: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Administrative private-vlan mapping: none 
Administrative private-vlan trunk native VLAN: none
Administrative private-vlan trunk Native VLAN tagging: enabled
Administrative private-vlan trunk encapsulation: dot1q
Administrative private-vlan trunk normal VLANs: none
Administrative private-vlan trunk associations: none
Administrative private-vlan trunk mappings: none
Operational private-vlan: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Trunking VLANs Enabled: ALL
Pruning VLANs Enabled: 2-1001
Capture Mode Disabled
Capture VLANs Allowed: ALL

Protected: false
Unknown unicast blocked: disabled
Unknown multicast blocked: disabled
Vepa Enabled: false
App Interface: false
Appliance trust: none

프로미스큐어스 포트 작동 상태(이 경우 TenGigabitEthernet1/1/5)를 확인합니다.

9300-2#show interface TenGigabitEthernet1/1/5 switchport
Name: Te1/1/5
Switchport: Enabled
Administrative Mode: private-vlan promiscuous
Operational Mode: private-vlan promiscuous
Administrative Trunking Encapsulation: dot1q
Operational Trunking Encapsulation: native
Negotiation of Trunking: Off
Access Mode VLAN: 1 (default)
Trunking Native Mode VLAN: 1 (default)
Administrative Native VLAN tagging: enabled
Voice VLAN: none
Administrative private-vlan host-association: none 
Administrative private-vlan mapping: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Administrative private-vlan trunk native VLAN: none
Administrative private-vlan trunk Native VLAN tagging: enabled
Administrative private-vlan trunk encapsulation: dot1q
Administrative private-vlan trunk normal VLANs: none
Administrative private-vlan trunk associations: none
Administrative private-vlan trunk mappings: none
Operational private-vlan: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Trunking VLANs Enabled: ALL
Pruning VLANs Enabled: 2-1001
Capture Mode Disabled
Capture VLANs Allowed: ALL

Protected: false
Unknown unicast blocked: disabled
Unknown multicast blocked: disabled
Vepa Enabled: false
App Interface: false
Appliance trust: none

이제 격리된 호스트가 게이트웨이 10.1.1.1/24에 연결할 수 있지만 서로 간에 ping할 수 없는 10.1.1.99/24 및 10.1.1.100/24인지 확인합니다

트래픽 동작

소스	대상	예상 결과
호스트 1	호스트 2	실패
호스트 2	호스트 1	실패
호스트 1	기본 게이트웨이	성공
호스트 2	기본 게이트웨이	성공
프로미스큐어스 포트	격리된 호스트	성공

트래픽 결과

Host1#ping 10.1.1.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.1, timeout is 2 seconds:
.!!!!
Success rate is 80 percent (4/5), round-trip min/avg/max = 1/1/1 ms

Host1#ping 10.1.1.99 
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.99, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms

Host1#ping 10.1.1.100
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.100, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)

Host2#ping 10.1.1.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.1, timeout is 2 seconds:
.!!!!
Success rate is 80 percent (4/5), round-trip min/avg/max = 1/1/1 ms

Host2#ping 10.1.1.99
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.99, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)

Host2#ping 10.1.1.100
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.100, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms

MAC 주소 테이블을 확인하는 동안 두 개의 차단된 항목을 관찰할 수 있습니다. 이러한 항목은 격리된 PVLAN 호스트에 필요합니다. 보조 VLAN의 레이어 2 격리 규칙을 나타냅니다. 스위치는 이러한 MAC 주소가 격리-격리 직접 전달에 사용되는 것을 방지합니다.

PVLAN 전달은 기본 VLAN과 보조 VLAN 컨텍스트를 모두 사용하므로 격리 호스트 MAC 주소는 두 번 나타납니다.

보조 VLAN 101에서 MAC는 직접 격리 VLAN 포워딩을 위해 차단됩니다.
기본 VLAN 100에서는 프로미스큐어스 경로를 통해 PVLAN 포워딩에 MAC을 사용할 수 있습니다.

9300-2#show mac address-table dynamic 
          Mac Address Table
-------------------------------------------

Vlan    Mac Address       Type        Ports
----    -----------       --------    -----
   1    000c.000c.000c    DYNAMIC     Te1/1/3
   1    f87a.41a8.c1b5    DYNAMIC     Te1/1/1
   1    f87a.41a8.c1ba    DYNAMIC     Te1/1/6
   1    f87a.41a8.c1d1    DYNAMIC     Te1/1/6
 101 000a.000a.000a BLOCKED Te1/1/7 101 000b.000b.000b BLOCKED Te1/1/8 100 000a.000a.000a DYNAMIC pv Te1/1/7 100 000b.000b.000b DYNAMIC pv Te1/1/8 100 9077.ee3c.7b02 DYNAMIC Te1/1/5
Total Mac Addresses for this criterion: 9

예 2: 여러 Cisco IOS XE Switch의 PVLAN

SW1 및 SW2는 Catalyst 9000 Cisco IOS XE 스위치입니다.
PVLAN 서브넷에 대해 구성된 SVI가 없습니다.
외부 게이트웨이는 레이어 3 연결을 제공합니다.
외부 게이트웨이 IP 주소는 10.1.1.1/24입니다.
외부 게이트웨이는 SW2의 프로미스큐어스 포트에 연결됩니다.
VLAN 100은 기본 VLAN입니다.
VLAN 101은 격리된 보조 VLAN입니다.
VLAN 102는 커뮤니티 보조 VLAN입니다.
SW1과 SW2는 표준 802.1Q 트렁크를 통해 연결됩니다.
격리된 호스트는 프로미스큐어스 게이트웨이에만 도달할 수 있습니다.
VLAN 102의 커뮤니티 호스트는 서로 및 프로미스큐어스 게이트웨이와 통신할 수 있습니다.
격리된 호스트는 커뮤니티 호스트와 통신할 수 없습니다.

호스트	스위치	인터페이스	PVLAN 역할	VLAN 연결	IP 주소	기본 게이트웨이
호스트3	SW1/9300-1	10기가비트 이더넷1/1/3	커뮤니티 호스트	기본 VLAN 100, 커뮤니티 VLAN 102	10.1.1.97/24	10.1.1.1
호스트 4	SW2 / 9300-2	10기가비트 이더넷1/1/3	커뮤니티 호스트	기본 VLAN 100, 커뮤니티 VLAN 102	10.1.1.98/24	10.1.1.1
호스트 1	SW2 / 9300-2	10기가비트 이더넷1/1/7	격리된 호스트	기본 VLAN 100, 격리 VLAN 101	10.1.1.99/24	10.1.1.1
호스트 2	SW2 / 9300-2	10기가비트 이더넷1/1/8	격리된 호스트	기본 VLAN 100, 격리 VLAN 101	10.1.1.100/24	10.1.1.1
외부 게이트웨이	SW2 / 9300-2	10기가비트 이더넷1/1/5	프로미스큐어스(게이트웨이 연결 디바이스)	기본 VLAN 100이 VLAN 101 및 102에 매핑됨	10.1.1.1/24	해당 없음

네트워크 다이어그램

PVLAN Across Switches 스위치 간 PVLAN

VLAN 및 인터페이스 계획

디바이스	인터페이스	역할
SW1	10기가비트 이더넷1/1/3	커뮤니티 호스트, VLAN 102
SW1	10기가비트 이더넷1/1/6	SW2에 트렁크
SW2	10기가비트 이더넷1/1/3	커뮤니티 호스트, VLAN 102
SW2	10기가비트 이더넷1/1/7	격리 호스트, VLAN 101
SW2	10기가비트 이더넷1/1/8	격리 호스트, VLAN 101
SW2	10기가비트 이더넷1/1/6	SW1에 트렁크
SW2	10기가비트 이더넷1/1/5	외부 게이트웨이 10.1.1.1/24에 대한 프로미스큐어스 포트

참고: 프라이빗 VLAN은 표준 트렁크 포트, 격리 프라이빗 VLAN 트렁크 포트 또는 프로미스큐어스 프라이빗 VLAN 트렁크 포트 등의 방법으로 여러 스위치에서 사용할 수 있습니다. 자세한 내용은 Private VLANs Across Multiple Switches 설명서 설명서를 참조하십시오.

SW1 - 9300-1 - 실행 중인 컨피그레이션 SW2 - 9300-2 - 실행 중인 컨피그레이션

9300-1#show running-config
Building configuration...

Current configuration : 17988 bytes
!
! Last configuration change at 17:39:58 UTC Tue Aug 11 2026
!
version 26.1
service timestamps debug datetime msec
service timestamps log datetime msec
!
hostname 9300-1
!
!
vtp mode transparent
!
!         
!         
vlan 100 name PVLAN_PRIMARY_100 private-vlan primary private-vlan association 101,102
!
vlan 101 name PVLAN_ISOLATED_101 private-vlan isolated
!
vlan 102 name PVLAN_COMMUNITY_102 private-vlan community
!
!
interface TenGigabitEthernet1/1/3
 description Community Host VLAN 102
 switchport private-vlan host-association 100 102 switchport mode private-vlan host
 spanning-tree portfast
!
interface TenGigabitEthernet1/1/6
 description Trunk to SW2
 switchport trunk allowed vlan 100-102
 switchport mode trunk
!
!
end

9300-2#show running-config 
Building configuration...

Current configuration : 10980 bytes
!
! Last configuration change at 17:36:32 UTC Tue Aug 11 2026
!
version 17.12
service timestamps debug datetime msec
service timestamps log datetime msec
!
hostname 9300-2
!
!
vtp mode transparent
!
!
!
vlan 100 name PVLAN_PRIMARY_100 private-vlan primary private-vlan association 101,102
!
vlan 101 name PVLAN_ISOLATED_101 private-vlan isolated
!
vlan 102 name PVLAN_COMMUNITY_102 private-vlan community
!
!
interface TenGigabitEthernet1/1/3
 description Community Host VLAN 102
 switchport private-vlan host-association 100 102 switchport mode private-vlan host
 spanning-tree portfast
!
interface TenGigabitEthernet1/1/5
 description External Gateway 10.1.1.1/24
 switchport private-vlan mapping 100 101-102 switchport mode private-vlan promiscuous
!
interface TenGigabitEthernet1/1/6
 description Trunk to SW1
 switchport trunk allowed vlan 100-102
 switchport mode trunk
!
interface TenGigabitEthernet1/1/7
 description Isolated Host 1
 switchport private-vlan host-association 100 101
 switchport mode private-vlan host
 spanning-tree portfast
!
interface TenGigabitEthernet1/1/8
 description Isolated Host 2
 switchport private-vlan host-association 100 101
 switchport mode private-vlan host
 spanning-tree portfast
!
!
end

참고: 이 예에서는 두 스위치가 모두 투명 모드에서 VTP를 사용하므로 모든 스위치에서 PVLAN을 수동으로 구성해야 합니다.

참고: 프라이빗 VLAN은 VTP 1, 2 및 3에 대해 투명 모드에서 지원됩니다. 프라이빗 VLAN은 VTP 3의 서버 모드에서도 지원됩니다.

확인

SW1 - 9300-1 - 상태 SW2 - 9300-2 - 상태

9300-1#show vlan private-vlan

Primary Secondary Type              Ports
------- --------- ----------------- ------------------------------------------
100     101       isolated          
100     102       community Te1/1/3

9300-1#show interfaces trunk

Port           Mode             Encapsulation  Status        Native vlan  
Te1/1/6        on               802.1q         trunking      1

Port           Vlans allowed on trunk
Te1/1/6 100-102

Port           Vlans allowed and active in management domain
Te1/1/6 100-102

Port           Vlans in spanning tree forwarding state and not pruned
Te1/1/6 100-102

9300-1#show interface TenGigabitEthernet1/1/3 switchport
Name: Te1/1/3
Switchport: Enabled
Administrative Mode: private-vlan host
Operational Mode: private-vlan host
Administrative Trunking Encapsulation: dot1q
Operational Trunking Encapsulation: native
Negotiation of Trunking: Off
Access Mode VLAN: 1 (default)
Trunking Native Mode VLAN: 1 (default)
Administrative Native VLAN tagging: enabled
Voice VLAN: none
Administrative private-vlan host-association: 100 (PVLAN_PRIMARY_100) 102 (PVLAN_COMMUNITY_102) 
Administrative private-vlan mapping: none 
Administrative private-vlan trunk native VLAN: none
Administrative private-vlan trunk Native VLAN tagging: enabled
Administrative private-vlan trunk encapsulation: dot1q
Administrative private-vlan trunk normal VLANs: none
Administrative private-vlan trunk associations: none
Administrative private-vlan trunk mappings: none
Operational private-vlan: 100 (PVLAN_PRIMARY_100) 102 (PVLAN_COMMUNITY_102) 
Trunking VLANs Enabled: ALL
Pruning VLANs Enabled: 2-1001
Capture Mode Disabled
Capture VLANs Allowed: ALL

Protected: false
Unknown unicast blocked: disabled
Unknown multicast blocked: disabled
Vepa Enabled: false
App Interface: false
Appliance trust: none

9300-2#show vlan private-vlan

Primary Secondary Type              Ports
------- --------- ----------------- ------------------------------------------
100     101       isolated          Te1/1/5, Te1/1/7, Te1/1/8
100     102       community         Te1/1/3, Te1/1/5

9300-2#show interfaces trunk

Port           Mode             Encapsulation  Status        Native vlan  
Te1/1/6        on               802.1q         trunking      1

Port           Vlans allowed on trunk
Te1/1/6 100-102

Port           Vlans allowed and active in management domain
Te1/1/6 100-102

Port           Vlans in spanning tree forwarding state and not pruned
Te1/1/6 100-102

9300-2#show interface TenGigabitEthernet1/1/5 switchport
Name: Te1/1/5
Switchport: Enabled
Administrative Mode: private-vlan promiscuous
Operational Mode: private-vlan promiscuous
Administrative Trunking Encapsulation: dot1q
Operational Trunking Encapsulation: native
Negotiation of Trunking: Off
Access Mode VLAN: 1 (default)
Trunking Native Mode VLAN: 1 (default)
Administrative Native VLAN tagging: enabled
Voice VLAN: none
Administrative private-vlan host-association: none 
Administrative private-vlan mapping: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 102 (PVLAN_COMMUNITY_102) 
Administrative private-vlan trunk native VLAN: none
Administrative private-vlan trunk Native VLAN tagging: enabled
Administrative private-vlan trunk encapsulation: dot1q
Administrative private-vlan trunk normal VLANs: none
Administrative private-vlan trunk associations: none
Administrative private-vlan trunk mappings: none
Operational private-vlan: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 102 (PVLAN_COMMUNITY_102) 
Trunking VLANs Enabled: ALL
Pruning VLANs Enabled: 2-1001
Capture Mode Disabled
Capture VLANs Allowed: ALL

Protected: false
Unknown unicast blocked: disabled
Unknown multicast blocked: disabled
Vepa Enabled: false
App Interface: false
Appliance trust: none

9300-2#show interface TenGigabitEthernet1/1/3 switchport
Name: Te1/1/3
Switchport: Enabled
Administrative Mode: private-vlan host
Operational Mode: private-vlan host
Administrative Trunking Encapsulation: dot1q
Operational Trunking Encapsulation: native
Negotiation of Trunking: Off
Access Mode VLAN: 1 (default)
Trunking Native Mode VLAN: 1 (default)
Administrative Native VLAN tagging: enabled
Voice VLAN: none
Administrative private-vlan host-association: 100 (PVLAN_PRIMARY_100) 102 (PVLAN_COMMUNITY_102) 
Administrative private-vlan mapping: none 
Administrative private-vlan trunk native VLAN: none
Administrative private-vlan trunk Native VLAN tagging: enabled
Administrative private-vlan trunk encapsulation: dot1q
Administrative private-vlan trunk normal VLANs: none
Administrative private-vlan trunk associations: none
Administrative private-vlan trunk mappings: none
Operational private-vlan: 100 (PVLAN_PRIMARY_100) 102 (PVLAN_COMMUNITY_102) 
Trunking VLANs Enabled: ALL
Pruning VLANs Enabled: 2-1001
Capture Mode Disabled
Capture VLANs Allowed: ALL

Protected: false
Unknown unicast blocked: disabled
Unknown multicast blocked: disabled
Vepa Enabled: false
App Interface: false
Appliance trust: none

9300-2#show interface TenGigabitEthernet1/1/7 switchport
Name: Te1/1/7
Switchport: Enabled
Administrative Mode: private-vlan host
Operational Mode: private-vlan host
Administrative Trunking Encapsulation: dot1q
Operational Trunking Encapsulation: native
Negotiation of Trunking: Off
Access Mode VLAN: 1 (default)
Trunking Native Mode VLAN: 1 (default)
Administrative Native VLAN tagging: enabled
Voice VLAN: none
Administrative private-vlan host-association: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Administrative private-vlan mapping: none 
Administrative private-vlan trunk native VLAN: none
Administrative private-vlan trunk Native VLAN tagging: enabled
Administrative private-vlan trunk encapsulation: dot1q
Administrative private-vlan trunk normal VLANs: none
Administrative private-vlan trunk associations: none
Administrative private-vlan trunk mappings: none
Operational private-vlan: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Trunking VLANs Enabled: ALL
Pruning VLANs Enabled: 2-1001
Capture Mode Disabled
Capture VLANs Allowed: ALL

Protected: false
Unknown unicast blocked: disabled
Unknown multicast blocked: disabled
Vepa Enabled: false
App Interface: false
Appliance trust: none

9300-2#show interface TenGigabitEthernet1/1/8 switchport
Name: Te1/1/8
Switchport: Enabled
Administrative Mode: private-vlan host
Operational Mode: private-vlan host
Administrative Trunking Encapsulation: dot1q
Operational Trunking Encapsulation: native
Negotiation of Trunking: Off
Access Mode VLAN: 1 (default)
Trunking Native Mode VLAN: 1 (default)
Administrative Native VLAN tagging: enabled
Voice VLAN: none
Administrative private-vlan host-association: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Administrative private-vlan mapping: none 
Administrative private-vlan trunk native VLAN: none
Administrative private-vlan trunk Native VLAN tagging: enabled
Administrative private-vlan trunk encapsulation: dot1q
Administrative private-vlan trunk normal VLANs: none
Administrative private-vlan trunk associations: none
Administrative private-vlan trunk mappings: none
Operational private-vlan: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Trunking VLANs Enabled: ALL
Pruning VLANs Enabled: 2-1001
Capture Mode Disabled
Capture VLANs Allowed: ALL

Protected: false
Unknown unicast blocked: disabled
Unknown multicast blocked: disabled
Vepa Enabled: false
App Interface: false
Appliance trust: none

트래픽 동작

소스	대상	예상 결과
Te1/1/7의 SW2 격리 호스트	Te1/1/8의 SW2 격리 호스트	실패
Te1/1/7의 SW2 격리 호스트	Te1/1/3의 SW1 커뮤니티 호스트	실패
Te1/1/7의 SW2 격리 호스트	외부 게이트웨이 10.1.1.1	성공
Te1/1/3의 SW1 커뮤니티 호스트	Te1/1/3의 SW2 커뮤니티 호스트	성공
Te1/1/3의 SW1 커뮤니티 호스트	외부 게이트웨이 10.1.1.1	성공
Te1/1/3의 SW2 커뮤니티 호스트	Te1/1/7의 SW2 격리 호스트	실패

Host4#ping 10.1.1.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host4#ping 10.1.1.98
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.98, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host4#ping 8.8.8.8  
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 8.8.8.8, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host4#ping 10.1.1.99
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.99, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
Host4#ping 10.1.1.100
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.100, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)

Host3#ping 10.1.1.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host3#ping 10.1.1.97
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.97, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host3#ping 8.8.8.8  
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 8.8.8.8, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host3#ping 10.1.1.99 
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.99, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
Host3#ping 10.1.1.100
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.100, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)

Host1#ping 10.1.1.1  
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host1#ping 8.8.8.8 
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 8.8.8.8, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host1#ping 10.1.1.100
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.100, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
Host1#ping 10.1.1.97 
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.97, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
Host1#ping 10.1.1.98
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.98, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)

Host2#ping 10.1.1.1 
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host2#ping 8.8.8.8 
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 8.8.8.8, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host2#ping 10.1.1.99
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.99, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
Host2#ping 10.1.1.97
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.97, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
Host2#ping 10.1.1.98
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.98, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)

참고: 인터넷 연결성은 업스트림 라우팅 및 NAT 설계 구현에 따라 달라집니다. 외부 게이트웨이가 라우팅된 연결을 제공한다는 것을 보여주는 데만 포함됩니다.

개정	게시 날짜	의견
5.0	12-Aug-2026	재인증 - 기술 콘텐츠 업데이트
4.0	12-Sep-2024	업데이트된 SEO 및 서식.
3.0	13-Sep-2023	Related Information(관련 정보) 섹션에서 끊어진 링크를 제거했습니다.
2.0	26-Jun-2023	재인증
1.0	24-Feb-2003	최초 릴리스

Catalyst 스위치에서 격리된 프라이빗 VLAN 설정

다운로드 옵션

편견 없는 언어

이 번역에 관하여

목차

소개

사전 요구 사항

요구 사항

사용되는 구성 요소

표기 규칙

배경 정보

규칙 및 제한 사항

구성

예 1: 하나의 Cisco IOS XE Switch에서 격리된 PVLAN

네트워크 다이어그램

1단계. VTP 투명 모드 구성

2단계. 기본 및 격리 VLAN 구성

3단계. 격리된 호스트 포트 구성

4단계. 프로미스큐어스 포트 구성

레이어 3 컨피그레이션

방법 1: 기본 VLAN SVI 구성

방법 2: 프로미스큐어스 포트에 게이트웨이 연결

확인

예 2: 여러 Cisco IOS XE Switch의 PVLAN

네트워크 다이어그램

확인

관련 정보

개정 이력

Cisco 엔지니어가 작성

이 문서가 도움이 되셨습니까?

지원 문의