Geïsoleerde privé-VLAN's configureren op katalysatorSwitches

Downloadopties

PDF (532.3 KB)
Met Adobe Reader op diverse apparaten bekijken

Bijgewerkt:12 augustus 2026

Document-id:40781

Inclusief taalgebruik

De documentatie van dit product is waar mogelijk geschreven met inclusief taalgebruik. Inclusief taalgebruik wordt in deze documentatie gedefinieerd als taal die geen discriminatie op basis van leeftijd, handicap, gender, etniciteit, seksuele oriëntatie, sociaaleconomische status of combinaties hiervan weerspiegelt. In deze documentatie kunnen uitzonderingen voorkomen vanwege bewoordingen die in de gebruikersinterfaces van de productsoftware zijn gecodeerd, die op het taalgebruik in de RFP-documentatie zijn gebaseerd of die worden gebruikt in een product van een externe partij waarnaar wordt verwezen. Lees meer over hoe Cisco gebruikmaakt van inclusief taalgebruik.

Over deze vertaling

Cisco heeft dit document vertaald via een combinatie van machine- en menselijke technologie om onze gebruikers wereldwijd ondersteuningscontent te bieden in hun eigen taal. Houd er rekening mee dat zelfs de beste machinevertaling niet net zo nauwkeurig is als die van een professionele vertaler. Cisco Systems, Inc. is niet aansprakelijk voor de nauwkeurigheid van deze vertalingen en raadt aan altijd het oorspronkelijke Engelstalige document (link) te raadplegen.

Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Conventies

Achtergrondinformatie

Regels en beperkingen

Configureren

Voorbeeld 1: Geïsoleerd PVLAN op één Cisco IOS XE-Switch

Netwerkdiagram

Stap 1. Transparante VTP-modus configureren

Stap 2. De primaire en geïsoleerde VLAN's configureren

Stap 3. Geïsoleerde hostpoorten configureren

Stap 4. De promiscue poort configureren

Layer 3-configuratie

Methode 1: De primaire VLAN SVI configureren

Methode 2: Sluit de gateway aan op een promiscue poort

Verificatie

Voorbeeld 2: PVLAN voor meerdere Cisco IOS XE-Switches

Netwerkdiagram

Verificatie

Gerelateerde informatie

Inleiding

In dit document wordt beschreven hoe u geïsoleerde privé-VLAN's (PVLAN's) configureert op switches uit de Cisco Catalyst 9000-reeks waarop Cisco IOS XE-software wordt uitgevoerd.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

VLAN-configuratie
802.1Q-trunking
Basic Cisco IOS XE Command Line Interface (CLI)

Gebruikte componenten

Dit document is gebaseerd op deze software- en hardwareversies; PVLAN is echter niet beperkt tot deze versies. Valideer PVLAN-ondersteuning, opdrachtsyntaxis en beperkingen voor het specifieke platform en de Cisco IOS XE-release vóór implementatie:

Cisco Catalyst 9300-serie Switches die werken met Cisco IOS XE Software Release 17.X en 26.X

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Conventies

Raadpleeg Cisco Technical Tips Conventions (Conventies voor technische tips van Cisco) voor meer informatie over documentconventies.

Achtergrondinformatie

In sommige situaties moet u Layer 2-connectiviteit tussen eindapparaten op een switch voorkomen zonder dat de apparaten in verschillende IP-subnetten worden geplaatst. PVLAN's bieden Layer 2-isolatie tussen poorten die tot hetzelfde IP-subnet behoren. Dit ontwerp is handig wanneer hosts een standaardgateway, firewall, load balancer of gedeelde service moeten bereiken, maar niet rechtstreeks met andere geïsoleerde hosts in hetzelfde VLAN mogen communiceren en ook helpt om IP-subnetten te behouden.

Een PVLAN scheidt een Layer 2-broadcastdomein in een primair VLAN en een of meer secundaire VLAN's. U kunt een specifieke set poorten binnen een PVLAN toewijzen en zo de toegang tussen de poorten in Layer 2 regelen. U kunt PVLAN's en normale VLAN's op dezelfde switch configureren.

Er zijn drie soorten PVLAN-poorten: promiscue, geïsoleerd en community.

PVLAN-poorttypen

Poorttype	Beschrijving	Uitzending, Unknown Unicast en Multicast-gedrag
promiscue	Communiceert met alle poorten in het gekoppelde PVLAN-domein. Deze poort maakt gewoonlijk verbinding met een standaard gateway, firewall, router, load balancer of gedeelde service.	Een promiscue haven kan verkeer ontvangen van geïsoleerde en gemeenschapshavens. Broadcast, onbekende unicast en multicast-verkeer afkomstig van een promiscue poort kunnen worden doorgestuurd naar de bijbehorende secundaire VLAN-poorten. Broadcastverkeer van secundaire VLAN-poorten kan worden doorgestuurd naar de promiscue poort.
geïsoleerd	Communiceert alleen met promiscue poorten. Het communiceert niet met andere geïsoleerde poorten in hetzelfde PVLAN.	Uitgezonden, onbekende unicast en multicast-verkeer afkomstig van een geïsoleerde poort wordt alleen doorgestuurd naar bijbehorende promiscue poorten. Het wordt niet doorgestuurd naar andere geïsoleerde havens of gemeenschapshavens. Uitzendverkeer van andere geïsoleerde havens wordt niet ontvangen door een geïsoleerde haven.
gemeenschap	Communiceert met havens in dezelfde gemeenschap en met promiscue havens.	Uitgezonden, onbekende unicast en multicast-verkeer afkomstig van een community-poort wordt doorgestuurd naar andere poorten in hetzelfde community-VLAN en naar bijbehorende promiscue poorten. Het wordt niet doorgestuurd naar geïsoleerde poorten of poorten in andere community VLAN's.

PVLAN-VLAN-typen

VLAN-type	Beschrijving
Primair VLAN	Vervoert verkeer van promiscue poorten en kaarten naar secundaire VLAN's.
Geïsoleerd VLAN	Secundair VLAN gebruikt voor hostisolatie. Geïsoleerde poorten in dit VLAN kunnen niet met elkaar communiceren in Layer 2.

Opmerking: PVLAN's besturen Layer 2-forwarding binnen hetzelfde primaire VLAN-domein. Geïsoleerde poorten blijven in hetzelfde IP-subnet als het primaire VLAN, maar Layer 2-verkeer tussen geïsoleerde hosts wordt geblokkeerd. Dit omvat uitzendverkeer zoals Address Resolution Protocol (ARP), tussen geïsoleerde hosts. Geïsoleerde hosts kunnen nog steeds de standaardgateway of andere services die via een bijbehorende promiscue poort zijn verbonden, oplossen en bereiken.

Regels en beperkingen

Deze sectie bevat enkele regels en beperkingen die u in acht moet nemen wanneer u PVLAN's implementeert.

PVLAN's kunnen geen VLAN's 1 of 1002-1005 bevatten.
PVLAN's worden ondersteund in de transparante modus voor VTP 1, 2 en 3. Private VLAN'S worden ook ondersteund in de servermodus met VTP 3.
Layer 3 VLAN-interfaces (SVI's) alleen configureren voor primaire VLAN's.
U kunt een VLAN alleen als een PVLAN aanwijzen als dat VLAN geen huidige toewijzingen van toegangspoorten heeft. Verwijder alle poorten in dat VLAN voordat u van het VLAN een PVLAN maakt.

Opmerking: Voor gedetailleerde PVLAN-beperkingen, waaronder platformspecifieke beperkingen en EtherChannel-ondersteuning met PVLAN-trunkmodi, raadpleegt u de beperkingen voor privé-VLAN's in de Cisco IOS XE VLAN-configuratiegids voor het beoogde Catalyst-platform: Catalyst 9500 Series, Restrictions for Private VLAN's en Catalyst 9300 Series, Restrictions for Private VLAN's

Configureren

Voorbeeld 1: Geïsoleerd PVLAN op één Cisco IOS XE-Switch

Host 1 maakt verbinding met TenGigabit Ethernet1/1/7.
Host 2 maakt verbinding met TenGigabit Ethernet1/1/8.
Een firewall, router of gedeelde service maakt verbinding met TenGigabit Ethernet1/1/5.
VLAN 100 is het primaire VLAN.
VLAN 101 is het geïsoleerde VLAN.
Geïsoleerde hosts gebruiken 10.1.1.1 als de standaardgateway.

gastheer	Switch	Interface	VLAN-rol	IP-adres
Host1	9300-2	TE1/1/7	Geïsoleerd, VLAN 101	10.1.1.99/24
Host2	9300-2	TE1/1/8	Geïsoleerd, VLAN 101	10.1.1.100/24
toegangspoort	9300-2	TE1/1/5	promiscue	10.1.1.1/24

Netwerkdiagram

PVLAN Topology PVLAN-topologie

Stap 1. Transparante VTP-modus configureren

9300-2#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
9300-2(config)#vtp mode transparent
Setting device to VTP Transparent mode for VLANS.
9300-2(config)#end

Stap 2. De primaire en geïsoleerde VLAN's configureren

9300-2#configure terminal Enter configuration commands, one per line. End with CNTL/Z. 9300-2(config)#vlan 100 9300-2(config-vlan)#name PVLAN_PRIMARY_100 9300-2(config-vlan)#private-vlan primary 9300-2(config-vlan)#private-vlan association 101 9300-2(config-vlan)#exit 9300-2(config)# 9300-2(config)#vlan 101 9300-2(config-vlan)#name PVLAN_ISOLATED_101 9300-2(config-vlan)#private-vlan isolated 9300-2(config-vlan)#exit 9300-2(config)#end

Opmerking: de opdracht private-vlan association <vlan-id> wordt gebruikt om het geïsoleerde VLAN aan het primaire VLAN te binden.

Stap 3. Geïsoleerde hostpoorten configureren

9300-2#configure terminal Enter configuration commands, one per line. End with CNTL/Z. 9300-2(config)#interface TenGigabitEthernet1/1/7 9300-2(config-if)#description Isolated Host 1 9300-2(config-if)#switchport 9300-2(config-if)#switchport mode private-vlan host 9300-2(config-if)#switchport private-vlan host-association 100 101 9300-2(config-if)#spanning-tree portfast 9300-2(config-if)#exit 9300-2(config)# 9300-2(config)#interface TenGigabitEthernet1/1/8 9300-2(config-if)#description Isolated Host 2 9300-2(config-if)#switchport 9300-2(config-if)#switchport mode private-vlan host 9300-2(config-if)#switchport private-vlan host-association 100 101 9300-2(config-if)#spanning-tree portfast 9300-2(config-if)#exit 9300-2(config)#end

Stap 4. De promiscue poort configureren

9300-2#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
9300-2(config)#interface TenGigabitEthernet1/1/5
9300-2(config-if)#description Firewall Router or Shared Service
9300-2(config-if)#switchport
9300-2(config-if)#switchport mode private-vlan promiscuous
9300-2(config-if)#switchport private-vlan mapping 100 101
9300-2(config-if)#exit
9300-2(config)#end

Layer 3-configuratie

PVLAN's bieden Layer 2-isolatie binnen hetzelfde IP-subnet. Layer 3-connectiviteit is nog steeds vereist wanneer geïsoleerde hosts netwerken buiten het lokale subnet moeten bereiken, zoals internet, datacenterservices of upstream-gerouteerde netwerken.

Er zijn twee veelgebruikte methoden om Layer 3-connectiviteit te bieden voor geïsoleerde PVLAN-hosts:

Configureer de Primary VLAN Switched Virtual Interface (SVI) op de switch.
Sluit de standaardgateway rechtstreeks aan op een promiscue poort.

Opmerking: Kies één Layer 3-gatewaymethode voor een PVLAN-subnet. Gebruik de primaire VLAN SVI op de switch of een externe gateway die is aangesloten op een promiscue poort.

Methode 1: De primaire VLAN SVI configureren

Gebruik deze methode wanneer de Cisco IOS XE-switch de standaardgateway voor de geïsoleerde hosts biedt.

In een PVLAN-ontwerp moet de Layer 3 SVI alleen voor het primaire VLAN worden geconfigureerd. Het geïsoleerde VLAN is een secundair VLAN en biedt geen Layer 3-gatewayservice.

In dit voorbeeld:

VLAN 100 is het primaire VLAN.
VLAN 101 is het geïsoleerde secundaire VLAN.
Vlan100-interface biedt de standaardgateway.
Hosts in geïsoleerde VLAN 101 gebruiken 10.1.1.1/24 als hun standaardgateway.

9300-2#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
9300-2(config)#interface Vlan100
9300-2(config-if)#description Primary PVLAN Gateway
9300-2(config-if)#ip address 10.1.1.1 255.255.255.0
9300-2(config-if)#private-vlan mapping 101
9300-2(config-if)#no shutdown
9300-2(config-if)#exit
9300-2(config)#end

Belangrijkste punten

De SVI alleen configureren voor het primaire VLAN.
Koppel het geïsoleerde secundaire VLAN aan de primaire VLAN SVI met de opdracht private-vlan mapping.
Configureer het geïsoleerde VLAN niet als een SVI voor gatewayservice:
Geïsoleerde hosts blijven in hetzelfde IP-subnet als de primaire VLAN SVI.
Geïsoleerde hosts kunnen het primaire VLAN SVI bereiken.
Geïsoleerde hosts kunnen niet rechtstreeks communiceren met andere geïsoleerde hosts in Layer 2.

Opmerking: Layer 3 SVI alleen configureren voor primaire VLAN's. VLAN-interfaces voor geïsoleerde en community VLAN's zijn inactief met een geïsoleerde of community VLAN-configuratie.

Methode 2: Sluit de gateway aan op een promiscue poort

Gebruik deze methode wanneer een extern apparaat de standaardgateway voor de geïsoleerde hosts biedt. Het externe apparaat kan een router, firewall of een ander Layer 3-gateway-apparaat zijn.

In dit ontwerp heeft de Cisco IOS XE-switch geen SVI nodig voor het PVLAN-subnet. In plaats daarvan sluit de externe gateway aan op een promiscue poort. De promiscue poort koppelt het primaire VLAN aan het geïsoleerde secundaire VLAN, waardoor geïsoleerde hosts de externe gateway kunnen bereiken.

In dit voorbeeld:

VLAN 100 is het primaire VLAN.
VLAN 101 is het geïsoleerde secundaire VLAN.
De externe gateway maakt verbinding met TenGigabit Ethernet1/1/5.
Het externe IP-adres van de gateway is 10.1.1.1/24.
Geïsoleerde hosts gebruiken 10.1.1.1 als hun standaard gateway.

9300-2#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
9300-2(config)#interface TenGigabitEthernet1/1/5
9300-2(config-if)#description Firewall Router or Shared Service
9300-2(config-if)#switchport
9300-2(config-if)#switchport mode private-vlan promiscuous
9300-2(config-if)#switchport private-vlan mapping 100 101
9300-2(config-if)#exit
9300-2(config)#end

Belangrijkste punten

Er is geen SVI vereist op de switch voor het PVLAN-subnet wanneer de gateway rechtstreeks verbinding maakt met een promiscue poort.
De externe gateway-interface moet een IP-adres gebruiken in hetzelfde subnet als de geïsoleerde hosts.
De promiscue poort moet het primaire VLAN toewijzen aan het geïsoleerde VLAN.
Geïsoleerde hosts kunnen de externe gateway bereiken via de promiscue poort.
Geïsoleerde hosts kunnen nog steeds niet rechtstreeks met elkaar communiceren.

Verificatie

Controleer de PVLAN-koppeling met de opdracht show vlan private-vlan:

9300-2#show vlan private-vlan

Primary Secondary Type              Ports
------- --------- ----------------- ------------------------------------------
100     101       isolated          Te1/1/5, Te1/1/7, Te1/1/8

Opmerking: in de kolom VLAN-uitvoer tonen, identificeert de kolom Type het secundaire VLAN-type, zoals geïsoleerd of community. Het identificeert niet de operationele rol van elke interface die in de kolom Ports wordt vermeld. In de kolom Poorten worden interfaces weergegeven die zijn gekoppeld aan het primaire en secundaire VLAN-paar, inclusief geïsoleerde hostpoorten en promiscue poorten die zijn toegewezen aan dat secundaire VLAN.

Controleer de operationele status van de hostpoort met de opdracht show interface <interface-id> switchport, in dit scenario TenGigabitEthernet1/1/7 en TenGigabitEthernet1/1/8:

9300-2#show interface TenGigabitEthernet1/1/7 switchport
Name: Te1/1/7
Switchport: Enabled
Administrative Mode: private-vlan host
Operational Mode: private-vlan host
Administrative Trunking Encapsulation: dot1q
Operational Trunking Encapsulation: native
Negotiation of Trunking: Off
Access Mode VLAN: 1 (default)
Trunking Native Mode VLAN: 1 (default)
Administrative Native VLAN tagging: enabled
Voice VLAN: none
Administrative private-vlan host-association: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Administrative private-vlan mapping: none 
Administrative private-vlan trunk native VLAN: none
Administrative private-vlan trunk Native VLAN tagging: enabled
Administrative private-vlan trunk encapsulation: dot1q
Administrative private-vlan trunk normal VLANs: none
Administrative private-vlan trunk associations: none
Administrative private-vlan trunk mappings: none
Operational private-vlan: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Trunking VLANs Enabled: ALL
Pruning VLANs Enabled: 2-1001
Capture Mode Disabled
Capture VLANs Allowed: ALL

Protected: false
Unknown unicast blocked: disabled
Unknown multicast blocked: disabled
Vepa Enabled: false
App Interface: false
Appliance trust: none

9300-2#show interface TenGigabitEthernet1/1/8 switchport
Name: Te1/1/8
Switchport: Enabled
Administrative Mode: private-vlan host
Operational Mode: private-vlan host
Administrative Trunking Encapsulation: dot1q
Operational Trunking Encapsulation: native
Negotiation of Trunking: Off
Access Mode VLAN: 1 (default)
Trunking Native Mode VLAN: 1 (default)
Administrative Native VLAN tagging: enabled
Voice VLAN: none
Administrative private-vlan host-association: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Administrative private-vlan mapping: none 
Administrative private-vlan trunk native VLAN: none
Administrative private-vlan trunk Native VLAN tagging: enabled
Administrative private-vlan trunk encapsulation: dot1q
Administrative private-vlan trunk normal VLANs: none
Administrative private-vlan trunk associations: none
Administrative private-vlan trunk mappings: none
Operational private-vlan: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Trunking VLANs Enabled: ALL
Pruning VLANs Enabled: 2-1001
Capture Mode Disabled
Capture VLANs Allowed: ALL

Protected: false
Unknown unicast blocked: disabled
Unknown multicast blocked: disabled
Vepa Enabled: false
App Interface: false
Appliance trust: none

Controleer de operationele status van de Promiscuous-poort, in dit geval TenGigabit Ethernet1/1/5:

9300-2#show interface TenGigabitEthernet1/1/5 switchport
Name: Te1/1/5
Switchport: Enabled
Administrative Mode: private-vlan promiscuous
Operational Mode: private-vlan promiscuous
Administrative Trunking Encapsulation: dot1q
Operational Trunking Encapsulation: native
Negotiation of Trunking: Off
Access Mode VLAN: 1 (default)
Trunking Native Mode VLAN: 1 (default)
Administrative Native VLAN tagging: enabled
Voice VLAN: none
Administrative private-vlan host-association: none 
Administrative private-vlan mapping: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Administrative private-vlan trunk native VLAN: none
Administrative private-vlan trunk Native VLAN tagging: enabled
Administrative private-vlan trunk encapsulation: dot1q
Administrative private-vlan trunk normal VLANs: none
Administrative private-vlan trunk associations: none
Administrative private-vlan trunk mappings: none
Operational private-vlan: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Trunking VLANs Enabled: ALL
Pruning VLANs Enabled: 2-1001
Capture Mode Disabled
Capture VLANs Allowed: ALL

Protected: false
Unknown unicast blocked: disabled
Unknown multicast blocked: disabled
Vepa Enabled: false
App Interface: false
Appliance trust: none

Controleer nu of de geïsoleerde hosts de gateway 10.1.1.1/24 kunnen bereiken, maar niet kunnen pingen tussen elkaar 10.1.1.99/24 en 10.1.1.100/24

verkeersgedrag

bron	Bestemming	verwacht resultaat
Host 1	Host 2	mislukt
Host 2	Host 1	mislukt
Host 1	Standaardgateway	succes
Host 2	Standaardgateway	succes
promiscue poort	Geïsoleerde hosts	succes

Verkeersresultaten

Host1#ping 10.1.1.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.1, timeout is 2 seconds:
.!!!!
Success rate is 80 percent (4/5), round-trip min/avg/max = 1/1/1 ms

Host1#ping 10.1.1.99 
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.99, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms

Host1#ping 10.1.1.100
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.100, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)

Host2#ping 10.1.1.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.1, timeout is 2 seconds:
.!!!!
Success rate is 80 percent (4/5), round-trip min/avg/max = 1/1/1 ms

Host2#ping 10.1.1.99
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.99, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)

Host2#ping 10.1.1.100
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.100, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms

Tijdens het controleren van de MAC-adrestabel kunt u twee GEBLOKKEERDE items bekijken. Deze vermeldingen worden verwacht voor geïsoleerde PVLAN-hosts. Ze vertegenwoordigen de Layer 2-isolatieregel in het secundaire VLAN, de switch voorkomt dat die MAC-adressen worden gebruikt voor directe geïsoleerde naar geïsoleerde doorzending.

De geïsoleerde host-MAC-adressen worden twee keer weergegeven omdat PVLAN-forwarding zowel de primaire VLAN- als de secundaire VLAN-context gebruikt:

In secundaire VLAN 101 wordt de MAC geblokkeerd voor directe geïsoleerde VLAN-forwarding.
In primaire VLAN 100 is de MAC beschikbaar voor PVLAN-doorzending via het promiscue pad.

9300-2#show mac address-table dynamic 
          Mac Address Table
-------------------------------------------

Vlan    Mac Address       Type        Ports
----    -----------       --------    -----
   1    000c.000c.000c    DYNAMIC     Te1/1/3
   1    f87a.41a8.c1b5    DYNAMIC     Te1/1/1
   1    f87a.41a8.c1ba    DYNAMIC     Te1/1/6
   1    f87a.41a8.c1d1    DYNAMIC     Te1/1/6
 101 000a.000a.000a BLOCKED Te1/1/7 101 000b.000b.000b BLOCKED Te1/1/8 100 000a.000a.000a DYNAMIC pv Te1/1/7 100 000b.000b.000b DYNAMIC pv Te1/1/8 100 9077.ee3c.7b02 DYNAMIC Te1/1/5
Total Mac Addresses for this criterion: 9

Voorbeeld 2: PVLAN voor meerdere Cisco IOS XE-Switches

SW1 en SW2 zijn Catalyst 9000 Cisco IOS XE-switches.
Er is geen SVI geconfigureerd voor het PVLAN-subnet.
Een externe gateway biedt Layer 3-connectiviteit.
Het externe IP-adres van de gateway is 10.1.1.1/24.
De externe gateway sluit aan op een promiscue poort op SW2.
VLAN 100 is het primaire VLAN.
VLAN 101 is het geïsoleerde secundaire VLAN.
VLAN 102 is het secundaire VLAN voor de community.
SW1 en SW2 worden met elkaar verbonden via een standaard 802.1Q-stam.
Geïsoleerde gastheren kunnen alleen de promiscue gateway bereiken.
Community-hosts in VLAN 102 kunnen met elkaar en met de promiscue gateway communiceren.
Geïsoleerde hosts kunnen niet communiceren met community hosts.

gastheer	Switch	Interface	PVLAN-rol	VLAN-associatie	IP-adres	Standaardgateway
Host3	SW1 / 9300-1	TenGigabit Ethernet1/1/3	Community-host	Primair VLAN 100, Community VLAN 102	10.1.1.97/24	10.1.1.1
Host4	SW2 / 9300-2	TenGigabit Ethernet1/1/3	Community-host	Primair VLAN 100, Community VLAN 102	10.1.1.98/24	10.1.1.1
Host1	SW2 / 9300-2	TenGigabit Ethernet1/1/7	Geïsoleerde gastheer	Primair VLAN 100, geïsoleerd VLAN 101	10.1.1.99/24	10.1.1.1
Host2	SW2 / 9300-2	TenGigabit Ethernet1/1/8	Geïsoleerde gastheer	Primair VLAN 100, geïsoleerd VLAN 101	10.1.1.100/24	10.1.1.1
Externe gateway	SW2 / 9300-2	TenGigabit Ethernet1/1/5	Promiscuous (naar de gateway gericht apparaat)	Primaire VLAN 100 toegewezen aan VLAN's 101 en 102	10.1.1.1/24	Niet van toepassing

Netwerkdiagram

PVLAN Across Switches PVLAN voor alle Switches

VLAN- en interfaceplan

Apparaat	Interface	rol
SW1	TenGigabit Ethernet1/1/3	Community-host, VLAN 102
SW1	TenGigabit Ethernet1/1/6	Trunk naar SW2
SW2	TenGigabit Ethernet1/1/3	Community-host, VLAN 102
SW2	TenGigabit Ethernet1/1/7	Geïsoleerde host, VLAN 101
SW2	TenGigabit Ethernet1/1/8	Geïsoleerde host, VLAN 101
SW2	TenGigabit Ethernet1/1/6	Trunk naar SW1
SW2	TenGigabit Ethernet1/1/5	Promiscueuze poort naar externe gateway 10.1.1.1/24

Opmerking: Private VLAN's kunnen over meerdere switches worden genomen met deze methoden Standard Trunk Ports, Isolated Private VLAN Trunk Ports of Promiscuous Private VLAN Trunk Ports. Raadpleeg de documentatiegids Private VLAN's Across Multiple Switches voor meer informatie.

SW1 - 9300-1 - Bedrijfsconfiguratie SW2 - 9300-2 - Bedrijfsconfiguratie

9300-1#show running-config
Building configuration...

Current configuration : 17988 bytes
!
! Last configuration change at 17:39:58 UTC Tue Aug 11 2026
!
version 26.1
service timestamps debug datetime msec
service timestamps log datetime msec
!
hostname 9300-1
!
!
vtp mode transparent
!
!         
!         
vlan 100 name PVLAN_PRIMARY_100 private-vlan primary private-vlan association 101,102
!
vlan 101 name PVLAN_ISOLATED_101 private-vlan isolated
!
vlan 102 name PVLAN_COMMUNITY_102 private-vlan community
!
!
interface TenGigabitEthernet1/1/3
 description Community Host VLAN 102
 switchport private-vlan host-association 100 102 switchport mode private-vlan host
 spanning-tree portfast
!
interface TenGigabitEthernet1/1/6
 description Trunk to SW2
 switchport trunk allowed vlan 100-102
 switchport mode trunk
!
!
end

9300-2#show running-config 
Building configuration...

Current configuration : 10980 bytes
!
! Last configuration change at 17:36:32 UTC Tue Aug 11 2026
!
version 17.12
service timestamps debug datetime msec
service timestamps log datetime msec
!
hostname 9300-2
!
!
vtp mode transparent
!
!
!
vlan 100 name PVLAN_PRIMARY_100 private-vlan primary private-vlan association 101,102
!
vlan 101 name PVLAN_ISOLATED_101 private-vlan isolated
!
vlan 102 name PVLAN_COMMUNITY_102 private-vlan community
!
!
interface TenGigabitEthernet1/1/3
 description Community Host VLAN 102
 switchport private-vlan host-association 100 102 switchport mode private-vlan host
 spanning-tree portfast
!
interface TenGigabitEthernet1/1/5
 description External Gateway 10.1.1.1/24
 switchport private-vlan mapping 100 101-102 switchport mode private-vlan promiscuous
!
interface TenGigabitEthernet1/1/6
 description Trunk to SW1
 switchport trunk allowed vlan 100-102
 switchport mode trunk
!
interface TenGigabitEthernet1/1/7
 description Isolated Host 1
 switchport private-vlan host-association 100 101
 switchport mode private-vlan host
 spanning-tree portfast
!
interface TenGigabitEthernet1/1/8
 description Isolated Host 2
 switchport private-vlan host-association 100 101
 switchport mode private-vlan host
 spanning-tree portfast
!
!
end

Opmerking: in dit voorbeeld moeten PVLAN's handmatig worden geconfigureerd op elke switch, aangezien beide switches VTP in de doorzichtige modus gebruiken.

Opmerking: Private VLAN's worden ondersteund in de transparante modus voor VTP 1, 2 en 3. Private VLAN'S worden ook ondersteund in de servermodus met VTP 3.

Verificatie

SW1 - 9300-1 - Status SW2 - 9300-2 - Status

9300-1#show vlan private-vlan

Primary Secondary Type              Ports
------- --------- ----------------- ------------------------------------------
100     101       isolated          
100     102       community Te1/1/3

9300-1#show interfaces trunk

Port           Mode             Encapsulation  Status        Native vlan  
Te1/1/6        on               802.1q         trunking      1

Port           Vlans allowed on trunk
Te1/1/6 100-102

Port           Vlans allowed and active in management domain
Te1/1/6 100-102

Port           Vlans in spanning tree forwarding state and not pruned
Te1/1/6 100-102

9300-1#show interface TenGigabitEthernet1/1/3 switchport
Name: Te1/1/3
Switchport: Enabled
Administrative Mode: private-vlan host
Operational Mode: private-vlan host
Administrative Trunking Encapsulation: dot1q
Operational Trunking Encapsulation: native
Negotiation of Trunking: Off
Access Mode VLAN: 1 (default)
Trunking Native Mode VLAN: 1 (default)
Administrative Native VLAN tagging: enabled
Voice VLAN: none
Administrative private-vlan host-association: 100 (PVLAN_PRIMARY_100) 102 (PVLAN_COMMUNITY_102) 
Administrative private-vlan mapping: none 
Administrative private-vlan trunk native VLAN: none
Administrative private-vlan trunk Native VLAN tagging: enabled
Administrative private-vlan trunk encapsulation: dot1q
Administrative private-vlan trunk normal VLANs: none
Administrative private-vlan trunk associations: none
Administrative private-vlan trunk mappings: none
Operational private-vlan: 100 (PVLAN_PRIMARY_100) 102 (PVLAN_COMMUNITY_102) 
Trunking VLANs Enabled: ALL
Pruning VLANs Enabled: 2-1001
Capture Mode Disabled
Capture VLANs Allowed: ALL

Protected: false
Unknown unicast blocked: disabled
Unknown multicast blocked: disabled
Vepa Enabled: false
App Interface: false
Appliance trust: none

9300-2#show vlan private-vlan

Primary Secondary Type              Ports
------- --------- ----------------- ------------------------------------------
100     101       isolated          Te1/1/5, Te1/1/7, Te1/1/8
100     102       community         Te1/1/3, Te1/1/5

9300-2#show interfaces trunk

Port           Mode             Encapsulation  Status        Native vlan  
Te1/1/6        on               802.1q         trunking      1

Port           Vlans allowed on trunk
Te1/1/6 100-102

Port           Vlans allowed and active in management domain
Te1/1/6 100-102

Port           Vlans in spanning tree forwarding state and not pruned
Te1/1/6 100-102

9300-2#show interface TenGigabitEthernet1/1/5 switchport
Name: Te1/1/5
Switchport: Enabled
Administrative Mode: private-vlan promiscuous
Operational Mode: private-vlan promiscuous
Administrative Trunking Encapsulation: dot1q
Operational Trunking Encapsulation: native
Negotiation of Trunking: Off
Access Mode VLAN: 1 (default)
Trunking Native Mode VLAN: 1 (default)
Administrative Native VLAN tagging: enabled
Voice VLAN: none
Administrative private-vlan host-association: none 
Administrative private-vlan mapping: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 102 (PVLAN_COMMUNITY_102) 
Administrative private-vlan trunk native VLAN: none
Administrative private-vlan trunk Native VLAN tagging: enabled
Administrative private-vlan trunk encapsulation: dot1q
Administrative private-vlan trunk normal VLANs: none
Administrative private-vlan trunk associations: none
Administrative private-vlan trunk mappings: none
Operational private-vlan: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 102 (PVLAN_COMMUNITY_102) 
Trunking VLANs Enabled: ALL
Pruning VLANs Enabled: 2-1001
Capture Mode Disabled
Capture VLANs Allowed: ALL

Protected: false
Unknown unicast blocked: disabled
Unknown multicast blocked: disabled
Vepa Enabled: false
App Interface: false
Appliance trust: none

9300-2#show interface TenGigabitEthernet1/1/3 switchport
Name: Te1/1/3
Switchport: Enabled
Administrative Mode: private-vlan host
Operational Mode: private-vlan host
Administrative Trunking Encapsulation: dot1q
Operational Trunking Encapsulation: native
Negotiation of Trunking: Off
Access Mode VLAN: 1 (default)
Trunking Native Mode VLAN: 1 (default)
Administrative Native VLAN tagging: enabled
Voice VLAN: none
Administrative private-vlan host-association: 100 (PVLAN_PRIMARY_100) 102 (PVLAN_COMMUNITY_102) 
Administrative private-vlan mapping: none 
Administrative private-vlan trunk native VLAN: none
Administrative private-vlan trunk Native VLAN tagging: enabled
Administrative private-vlan trunk encapsulation: dot1q
Administrative private-vlan trunk normal VLANs: none
Administrative private-vlan trunk associations: none
Administrative private-vlan trunk mappings: none
Operational private-vlan: 100 (PVLAN_PRIMARY_100) 102 (PVLAN_COMMUNITY_102) 
Trunking VLANs Enabled: ALL
Pruning VLANs Enabled: 2-1001
Capture Mode Disabled
Capture VLANs Allowed: ALL

Protected: false
Unknown unicast blocked: disabled
Unknown multicast blocked: disabled
Vepa Enabled: false
App Interface: false
Appliance trust: none

9300-2#show interface TenGigabitEthernet1/1/7 switchport
Name: Te1/1/7
Switchport: Enabled
Administrative Mode: private-vlan host
Operational Mode: private-vlan host
Administrative Trunking Encapsulation: dot1q
Operational Trunking Encapsulation: native
Negotiation of Trunking: Off
Access Mode VLAN: 1 (default)
Trunking Native Mode VLAN: 1 (default)
Administrative Native VLAN tagging: enabled
Voice VLAN: none
Administrative private-vlan host-association: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Administrative private-vlan mapping: none 
Administrative private-vlan trunk native VLAN: none
Administrative private-vlan trunk Native VLAN tagging: enabled
Administrative private-vlan trunk encapsulation: dot1q
Administrative private-vlan trunk normal VLANs: none
Administrative private-vlan trunk associations: none
Administrative private-vlan trunk mappings: none
Operational private-vlan: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Trunking VLANs Enabled: ALL
Pruning VLANs Enabled: 2-1001
Capture Mode Disabled
Capture VLANs Allowed: ALL

Protected: false
Unknown unicast blocked: disabled
Unknown multicast blocked: disabled
Vepa Enabled: false
App Interface: false
Appliance trust: none

9300-2#show interface TenGigabitEthernet1/1/8 switchport
Name: Te1/1/8
Switchport: Enabled
Administrative Mode: private-vlan host
Operational Mode: private-vlan host
Administrative Trunking Encapsulation: dot1q
Operational Trunking Encapsulation: native
Negotiation of Trunking: Off
Access Mode VLAN: 1 (default)
Trunking Native Mode VLAN: 1 (default)
Administrative Native VLAN tagging: enabled
Voice VLAN: none
Administrative private-vlan host-association: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Administrative private-vlan mapping: none 
Administrative private-vlan trunk native VLAN: none
Administrative private-vlan trunk Native VLAN tagging: enabled
Administrative private-vlan trunk encapsulation: dot1q
Administrative private-vlan trunk normal VLANs: none
Administrative private-vlan trunk associations: none
Administrative private-vlan trunk mappings: none
Operational private-vlan: 100 (PVLAN_PRIMARY_100) 101 (PVLAN_ISOLATED_101) 
Trunking VLANs Enabled: ALL
Pruning VLANs Enabled: 2-1001
Capture Mode Disabled
Capture VLANs Allowed: ALL

Protected: false
Unknown unicast blocked: disabled
Unknown multicast blocked: disabled
Vepa Enabled: false
App Interface: false
Appliance trust: none

verkeersgedrag

bron	Bestemming	verwacht resultaat
SW2 geïsoleerde host op Te1/1/7	SW2 geïsoleerde host op Te1/1/8	mislukt
SW2 geïsoleerde host op Te1/1/7	SW1 community host op Te1/1/3	mislukt
SW2 geïsoleerde host op Te1/1/7	Externe gateway 10.1.1.1	succes
SW1 community host op Te1/1/3	SW2 community host op Te1/1/3	succes
SW1 community host op Te1/1/3	Externe gateway 10.1.1.1	succes
SW2 community host op Te1/1/3	SW2 geïsoleerde host op Te1/1/7	mislukt

Host4#ping 10.1.1.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host4#ping 10.1.1.98
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.98, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host4#ping 8.8.8.8  
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 8.8.8.8, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host4#ping 10.1.1.99
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.99, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
Host4#ping 10.1.1.100
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.100, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)

Host3#ping 10.1.1.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host3#ping 10.1.1.97
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.97, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host3#ping 8.8.8.8  
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 8.8.8.8, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host3#ping 10.1.1.99 
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.99, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
Host3#ping 10.1.1.100
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.100, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)

Host1#ping 10.1.1.1  
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host1#ping 8.8.8.8 
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 8.8.8.8, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host1#ping 10.1.1.100
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.100, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
Host1#ping 10.1.1.97 
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.97, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
Host1#ping 10.1.1.98
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.98, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)

Host2#ping 10.1.1.1 
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host2#ping 8.8.8.8 
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 8.8.8.8, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
Host2#ping 10.1.1.99
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.99, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
Host2#ping 10.1.1.97
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.97, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
Host2#ping 10.1.1.98
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.98, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)

Opmerking: de bereikbaarheid van internet is afhankelijk van upstream routering en NAT-ontwerpimplementatie. Het is alleen opgenomen om aan te tonen dat de externe gateway zorgt voor gerouteerde connectiviteit.

Gerelateerde informatie

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
5.0	12-Aug-2026	Hercertificering - bijgewerkte technische inhoud.
4.0	12-Sep-2024	Bijgewerkte SEO en formattering.
3.0	13-Sep-2023	Verwijder gebroken links uit de sectie Verwante informatie.
2.0	26-Jun-2023	hercertificering
1.0	24-Feb-2003	Eerste vrijgave

Bijgedragen door Cisco-engineers

Cisco TAC Engineers

Was dit document nuttig?

Feedback

Contact Cisco

Een ondersteuningscase openen
(Vereist een Cisco-servicecontract)