Instellingen voor private VLAN-lidmaatschap configureren op een switch via de opdrachtregel

Inleiding

Met een Virtual Local Area Network (VLAN) kunt u een Local Area Network (LAN) logisch segmenteren in verschillende broadcastdomeinen. In scenario’s waarbij gevoelige gegevens via een netwerk kunnen worden doorgegeven, kunnen VLAN’s worden opgezet om data beter te beveiligen door een broadcast aan een specifiek VLAN toe te wijzen. Alleen gebruikers die tot een VLAN behoren kunnen de data op dat VLAN benaderen en bewerken. VLAN’s kunnen ook worden gebruikt om prestaties te verbeteren door de behoefte te verminderen om broadcast en multicast pakketten naar onnodige bestemmingen te verzenden.

Opmerking: Klik hier voor informatie over het configureren van de VLAN-instellingen op uw switch via het webgebaseerde hulpprogramma. Klik hier voor instructies met de opdrachtregel.

Een Private VLAN-domein bestaat uit een of meer paren VLAN’s. Het primaire VLAN maakt het domein en elk VLAN-paar vormt een subdomein. VLAN’s in een paar worden het primaire VLAN en het secundaire VLAN genoemd. Alle VLAN-paren binnen een privaat VLAN hebben hetzelfde primaire VLAN. De secundaire VLAN-id is wat het ene subdomein van het andere onderscheidt.

Een privaat VLAN-domein heeft slechts één primair VLAN. Elke poort in een privaat VLAN-domein is een lid van het primaire VLAN; het primaire VLAN is het gehele private VLAN-domein.

Secundaire VLAN’s zorgen voor isolatie tussen poorten binnen hetzelfde private VLAN-domein. De volgende twee typen zijn secundaire VLAN’s binnen een primair VLAN:

• Geïsoleerde VLAN’s — Poorten binnen een geïsoleerd VLAN kunnen niet rechtstreeks met elkaar communiceren op Layer 2-niveau.
• Community VLAN’s — Poorten binnen een community-VLAN kunnen met elkaar communiceren maar kunnen niet communiceren met poorten in andere community-VLAN’s of in geïsoleerde VLAN’s op Layer 2-niveau.

Binnen een privé-VLAN-domein zijn er drie afzonderlijke poortaanwijzingen. Elke poortaanduiding heeft zijn eigen unieke set van regels die de mogelijkheid van één eindpunt regelen om te communiceren met andere verbonden eindpunten binnen hetzelfde private VLAN-domein. De drie havenbenamingen zijn:

• Promiscuous — Een promiscuous port kan communiceren met alle poorten van hetzelfde private VLAN. Deze poorten verbinden servers en routers.
• Community (host) — Community-poorten kunnen een groep poorten definiëren die lid zijn van hetzelfde Layer 2-domein. Zij zijn geïsoleerd bij Layer 2 van andere gemeenschappen en van geïsoleerde havens. Deze poorten verbinden hostpoorten.
• Geïsoleerd (host) — Een geïsoleerde poort heeft een volledige Layer 2-isolatie van de andere geïsoleerde en lokale poorten binnen hetzelfde particuliere VLAN. Deze poorten verbinden hostpoorten.

Het verkeer van de gastheer wordt verzonden op geïsoleerde en communautaire VLANs, terwijl server en routerverkeer op primair VLAN wordt verzonden.

Doel

Private VLAN biedt Layer 2-isolatie tussen poorten. Dit betekent dat op het niveau van overbruggingsverkeer, in tegenstelling tot IP-routing, poorten die hetzelfde uitzendingsdomein delen niet met elkaar kunnen communiceren. De poorten in een privaat VLAN kunnen zich overal in het Layer 2-netwerk bevinden, wat betekent dat ze niet op dezelfde switch hoeven te staan. Private VLAN is ontworpen om verkeer zonder tags of prioriteitskabels te ontvangen en verkeer zonder tags te verzenden.

Dit artikel bevat instructies voor het configureren van instellingen voor private VLAN’s op een switch.

Opmerking: Klik hier om het privé-VLAN te configureren met behulp van het webgebaseerde hulpprogramma van de switch .

Toepasselijke apparaten

• Sx300 Series
• Sx350 Series
• SG350X Series
• Sx500 Series
• Sx550X Series

Softwareversie

• 1.4.7.06 — SX300, SX500
• 2.2.8.04 – Sx350, SG350X, Sx550X

Private VLAN-instellingen op de Switch configureren via de CLI

Een privaat primair VLAN maken

Stap 1. Log in op de switch. De standaardwaarden voor gebruikersnaam en wachtwoord zijn cisco/cisco. Als u een nieuwe gebruikersnaam of wachtwoord heeft geconfigureerd, moet u deze inloggegevens gebruiken.

Opmerking: de opdrachten kunnen afwijken, afhankelijk van het exacte model van de switch. In dit voorbeeld wordt de SG350X-switch benaderd via Telnet.

Stap 2. Activeer vanuit de modus Privileged EXEC van de switch de modus Global Configuration met de volgende opdracht:

Stap 3. Activeer vanuit de modus Global Configuration de interface-configuratiecontext met de volgende opdracht:

• VLAN-id — Specificeert de te configureren VLAN-id.

Opmerking: in dit voorbeeld wordt VLAN 2 gebruikt.

Stap 4. In de context van de interfaceconfiguratie, vorm de interface van VLAN als primair privé VLAN door het volgende in te gaan:

Opmerking: standaard zijn er geen privé VLAN’s geconfigureerd op de switch.

Belangrijk: Vergeet niet de volgende richtlijnen te onthouden bij het configureren van een privaat VLAN:

• Het VLAN-type kan niet worden gewijzigd als er een private VLAN-poort is die lid is van het VLAN.
• Het VLAN-type kan niet worden gewijzigd als het is gekoppeld aan andere privé-VLAN’s.
• Het VLAN-type wordt niet bewaard als een eigenschap van het VLAN wanneer het VLAN wordt verwijderd.

Stap 5. (Optioneel) Als u het VLAN wilt terugbrengen naar de normale VLAN-configuratie, voert u het volgende in:

Stap 6. (Optioneel) Voer het volgende in om terug te gaan naar de geprivilegieerde EXEC-modus van de switch:

Stap 7. (Optioneel) Sla in de modus Privileged EXEC van de switch de geconfigureerde instellingen op in het configuratiebestand voor opstarten. Voer hiervoor de volgende opdracht in:

Stap 8. (Optioneel) Gebruik het toetsenbord om Y voor Ja of N voor Nee te kiezen wanneer de prompt ‘Overwrite file [startup-config]…’ wordt getoond voor het overschrijven van het huidige configuratiebestand voor opstarten.

U zou nu met succes het belangrijkste VLAN op uw switch door CLI moeten hebben gecreëerd.

Een secundair VLAN maken

Stap 1. Activeer vanuit de modus Privileged EXEC van de switch de modus Global Configuration met de volgende opdracht:

Stap 2. Activeer vanuit de modus Global Configuration de interface-configuratiecontext met de volgende opdracht:

Opmerking: in dit voorbeeld wordt VLAN 10 gebruikt.

Stap 3. In de context van de interfaceconfiguratie, vorm de interface van VLAN als secundair privé VLAN door het volgende in te gaan:

De opties zijn:

• gemeenschap — Wijs VLAN als gemeenschap VLAN aan.
• geïsoleerd — Wijs VLAN als geïsoleerd VLAN aan.

Opmerking: in dit voorbeeld is VLAN 10 geconfigureerd als een geïsoleerd VLAN.

Stap 4. (Optioneel) Herhaal stap 2 en 3 om extra secundair VLAN te configureren voor uw privaat VLAN.

Opmerking: in dit voorbeeld worden VLAN 20 en VLAN 30 geconfigureerd als community-VLAN’s.

Stap 5. (Optioneel) Als u het VLAN wilt terugbrengen naar de normale VLAN-configuratie, voert u het volgende in:

Stap 6. (Optioneel) Voer het volgende in om terug te gaan naar de geprivilegieerde EXEC-modus van de switch:

U had nu met succes secundaire VLAN’s op uw switch moeten maken via de CLI.

Koppel het secundaire VLAN aan het primaire privé-VLAN

Stap 1. Activeer vanuit de modus Privileged EXEC van de switch de modus Global Configuration met de volgende opdracht:

Stap 2. Voer de context voor de VLAN-interfaceconfiguratie van het primaire VLAN in door het volgende in te voeren:

Opmerking: in dit voorbeeld is het primaire VLAN VLAN VLAN 2.

Stap 3. Voer het volgende in om de koppeling tussen het primaire VLAN en secundaire VLAN’s te configureren:

De opties zijn:

• voeg secundair-VLAN-lijst toe — Lijst van VLAN-ID’s van het secundaire type om toe te voegen aan een primair VLAN. Scheid niet-opeenvolgende VLAN-id’s met een komma (zonder spaties). Gebruik een koppelteken om een bereik van id’s aan te geven. Dit is de standaardactie.
• secundaire VLAN-lijst verwijderen — Lijst van VLAN-ID’s van het secundaire type om associatie uit een primair VLAN te verwijderen. Scheid niet-opeenvolgende VLAN-id’s met een komma (zonder spaties). Gebruik een koppelteken om een bereik van id’s aan te geven.

Opmerking: in dit voorbeeld worden secundaire VLAN’s 10, 20 en 30 toegevoegd aan het primaire VLAN.

Stap 4. Om terug te gaan naar de geprivilegieerde EXEC-modus van de switch voert u het volgende in:

U zou nu met succes de secundaire VLAN’s aan het primaire privé VLAN op uw switch via de CLI moeten hebben gekoppeld.

Poorten configureren voor de primaire en secundaire Private VLAN’s

Stap 1. Activeer vanuit de modus Privileged EXEC van de switch de modus Global Configuration met de volgende opdracht:

Stap 2. Activeer vanuit de modus Global Configuration de interface-configuratiecontext met de volgende opdracht:

De opties zijn:

• interface-id — Specificeert een te configureren interface-ID.
• bereik VLAN-bereik — Specificeert een lijst met VLAN’s. Scheid niet-opeenvolgende VLAN’s met een komma (zonder spaties). Gebruik een koppelteken om een bereik van VLAN’s aan te geven.

Opmerking: in dit voorbeeld wordt een interface ge1/0/10 ingevoerd.

Stap 3. Gebruik de opdracht switchport mode in de interface-configuratiecontext om de VLAN-lidmaatschapsmodus te configureren.

• promiscuous — Specificeert een private VLAN-promiscuous poort. Als deze optie wordt gebruikt, gaat u naar stap 5.
• host — Specificeert een privaat VLAN-hostpoort. Als deze optie wordt gebruikt, gaat u naar stap 6.

Opmerking: in dit voorbeeld is de poort gedefinieerd als promiscuous.

Stap 4. (Optioneel) Voer het volgende in om de poort of het bereik van poorten terug te brengen naar de standaardconfiguratie:

Stap 5. Om de vereniging van een promiscuous port met primaire en secundaire VLAN’s van het private VLAN te configureren, voert u het volgende in:

De opties zijn:

• Primair-VLAN-id — Specificeert de VLAN-id van het primaire VLAN.
• secundair-VLAN-id — Specificeert de VLAN-id van het secundaire VLAN.

Opmerking: in dit voorbeeld wordt de promiscuous interface toegewezen aan primair VLAN 2 en toegevoegd aan secundair VLAN 30.

Stap 6. Om de vereniging van een gastheerhaven met primaire en secundaire VLANs van privé VLAN te vormen, ga het volgende in:

De opties zijn:

• Primair-VLAN-id — Specificeert de VLAN-id van het primaire VLAN.
• secundair-VLAN-id — Specificeert de VLAN-id van het secundaire VLAN.

Opmerking: in dit voorbeeld wordt het bereik 40 tot 45 van de hostinterface toegewezen aan primair VLAN 2 en toegevoegd aan secundair VLAN 20.

Stap 7. Voer de volgende opdracht in om de interface-configuratiecontext af te sluiten:

Stap 8. (Optioneel) Herhaal stap 2 tot en met 7 om meer promiscuous- en hostpoorten te configureren en aan de corresponderende primaire en secundaire private VLAN’s toe te wijzen.

Opmerking: in dit voorbeeld wordt het bereik 36 tot 39 van de hostinterface toegewezen aan primair VLAN 2 en toegevoegd aan secundair VLAN 10.

Stap 9. Voer de opdracht end in om terug te gaan naar de modus Privileged EXEC:

Stap 10. (Optioneel) Voer het volgende in om de geconfigureerde privé-VLAN’s op uw switch te verifiëren:

Stap 11. (Optioneel) Sla in de modus Privileged EXEC van de switch de geconfigureerde instellingen op in het configuratiebestand voor opstarten. Voer hiervoor de volgende opdracht in:

Stap 12. (Optioneel) Gebruik het toetsenbord om Y voor Ja of N voor Nee te kiezen wanneer de prompt ‘Overwrite file [startup-config]…’ wordt getoond voor het overschrijven van het huidige configuratiebestand voor opstarten.

U moet nu met succes de koppeling van host- en losse poorten met privaat en secundair VLAN’s op uw switch via de CLI hebben geconfigureerd.

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
1.0	13-Dec-2018	Eerste vrijgave