A Cisco traduziu este documento com a ajuda de tecnologias de tradução automática e humana para oferecer conteúdo de suporte aos seus usuários no seu próprio idioma, independentemente da localização. Observe que mesmo a melhor tradução automática não será tão precisa quanto as realizadas por um tradutor profissional. A Cisco Systems, Inc. não se responsabiliza pela precisão destas traduções e recomenda que o documento original em inglês (link fornecido) seja sempre consultado.
Este documento descreve o apoio do VLAN privado (PVLAN) no Cisco Unified Computing System (UCS), uma característica introduzida na liberação 1.4 do Cisco UCS Manager (UCSM). Igualmente detalha as características, as advertências, e a configuração quando os PVLAN são usados em um ambiente UCS.
ESTE DOCUMENTO É PARA O USO COM VERSÕES DA VERSÃO 2.2(2C) E ANTERIOR UCSM. Nas versões mais tarde do que a versão 2.2(2C), as mudanças foram feitas a UCSM e a ESXi DV são apoiadas. Há igualmente umas mudanças em como etiquetar trabalha para o PVLAN NIC.
A Cisco recomenda que você tenha conhecimento destes tópicos:
Este documento não se restringe a versões de software e hardware específicas.
As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a sua rede estiver ativa, certifique-se de que entende o impacto potencial de qualquer comando.
Um VLAN privado é um VLAN configurado para o isolamento L2 de outras portas dentro do mesmo VLAN privado. As portas que pertencem a um PVLAN são associadas com um grupo comum do apoio VLAN, que são usados a fim criar a estrutura PVLAN.
Há três tipos de portas PVLAN:
Refira o RFC 5517, os VLAN privados dos Cisco Systems: Segurança escalável em um ambiente do Multi-cliente a fim compreender a teoria, a operação, e os conceitos dos PVLAN.
O UCS assemelha-se proximamente ao nexo 5000/2000 de arquitetura, onde o nexo 5000 é análogo ao UCS 6100 e ao nexo 2000 aos prolongamentos da tela UCS 2104.
Muitas limitações da funcionalidade PVLAN no UCS são causadas pelas limitações encontradas no nexo 5000/2000 de aplicação.
Os pontos importantes a recordar são:
Este capas de documento diversas configurações diferentes disponíveis para o PVLAN com o UCS:
A topologia para todos os exemplos com um interruptor distribuído é:
A topologia para todos os exemplos sem o interruptor distribuído é:
Nesta configuração, você está passando o tráfego PVLAN com o UCS a uma porta misturada que seja ascendente. Porque você não pode enviar preliminar e VLAN secundários no mesmo vNIC, você precisa um vNIC para cada lâmina para cada PVLAN, a fim levar o tráfego PVLAN.
Este procedimento descreve como criar o preliminar e todos os vlan isolada.
Nota: Este exemplo usa 266 como o preliminar e 166 como isolado; o VLAN ID será determinado pelo local.
Estes procedimentos descrevem como configurar um nexo 5K para passar completamente o PVLAN a um 4900 Switch ascendente onde a porta misturada esteja. Quando isto não pôde ser necessário em todos os ambientes, use esta configuração caso você dever passar o PVLAN através de um outro interruptor.
No nexo 5K, incorpore estes comandos, e configuração do uplink da verificação:
Nexus5000-5(config)# feature private-vlan
Nexus5000-5(config)# vlan 166
Nexus5000-5(config-vlan)# private-vlan isolated
Nexus5000-5(config-vlan)# vlan 266
Nexus5000-5(config-vlan)# private-vlan primary
Nexus5000-5(config-vlan)# private-vlan association 166
No 4900 Switch, tome estas etapas, e estabelece a porta misturada. As extremidades PVLAN na porta misturada.
Switch(config-if)#switchport mode trunk
switchport private-vlan mapping 266 166
switchport mode private-vlan promiscuous
No roteador fluxo acima, crie uma subinterface para o VLAN 266 somente. Neste nível, as exigências dependem em cima da configuração de rede que você se está usando:
Este procedimento descreve como testar a configuração.
(config)# interface vlan 266
(config-if)# ip address 209.165.200.225 255.255.255.224
(config-if)# private-vlan mapping 166
(config-if)# no shut
Nesta configuração, os sistemas neste vlan isolada não podem comunicar-se um com o otro, mas podem comunicar-se com outros sistemas através da porta misturada no 4900 Switch. Uma edição é como configurar dispositivos do downsteam. Neste caso, você está usando VMware e dois anfitriões.
Recorde que você deve usar um vNIC para cada PVLAN. Estes vNICs são apresentados ao vSphere ESXi de VMware, e você pode então criar grupos de porta e ter convidados a estes grupos de porta.
Se dois sistemas são adicionados ao grupo da mesma porta no mesmo interruptor, podem comunicar-se um com o otro porque suas comunicações são ligadas localmente o vSwitch. Neste sistema, há duas lâminas com dois hospeda cada um.
No primeiro sistema, dois grupos de porta diferentes foram criados - um 166 chamado, e se chamaram 166A. Cada um é conectado a um único NIC, que seja configurado no vlan isolada no UCS. Há atualmente somente um convidado para cada grupo de porta. Neste caso, porque estes são separados em ESXi, não podem falar entre si.
No segundo sistema, há somente um grupo de porta chamado 166. Há dois convidados neste grupo de porta. Nesta configuração, VM3 e VM4 podem comunicar-se um com o otro mesmo que você não queira este acontecer. A fim corrigir isto, você precisa de configurar um único NIC para cada máquina virtual (VM) que está no vlan isolada, e de criar então um grupo de porta anexado a esse vNIC. Uma vez que isto é configurado, põe somente um convidado no grupo de porta. Este não é um problema com um metal desencapado Windows instala porque você não tem estes vSwitches subjacentes.
Nesta configuração, você está passando a tráfego PVLAN com um N1K então o UCS a uma porta misturada que seja ascendente. Porque você não pode enviar preliminar e VLAN secundários no mesmo vNIC, você precisa um vNIC para cada uplink PVLAN a fim levar o tráfego PVLAN.
Este procedimento descreve como criar o preliminar e todos os vlan isolada.
Nota: Este exemplo usa 266 como o preliminar e 166 como isolado; o VLAN ID será determinado pelo local.
Estes procedimentos descrevem como configurar um nexo 5K a fim passar completamente o PVLAN a um 4900 Switch ascendente onde a porta misturada esteja. Quando isto não pôde ser necessário em todos os ambientes, use esta configuração caso você dever passar o PVLAN através de um outro interruptor.
No nexo 5K, incorpore estes comandos, e configuração do uplink da verificação:
Nexus5000-5(config)# feature private-vlan
Nexus5000-5(config)# vlan 166
Nexus5000-5(config-vlan)# private-vlan isolated
Nexus5000-5(config-vlan)# vlan 266
Nexus5000-5(config-vlan)# private-vlan primary
Nexus5000-5(config-vlan)# private-vlan association 166
No 4900 Switch, tome estas etapas, e estabelece a porta misturada. As extremidades PVLAN na porta misturada.
Switch(config-if)#switchport mode trunk
switchport private-vlan mapping 266 166
switchport mode private-vlan promiscuous
No roteador fluxo acima, crie uma subinterface para o VLAN 266 somente. Neste nível, as exigências dependem em cima da configuração de rede que você usa:
Este procedimento descreve como configurar o N1K como um tronco padrão, não um tronco PVLAN.
Switch(config)#port-profile type ethernet pvlan_uplink
Switch(config-port-prof)# vmware port-group
Switch(config-port-prof)# switchport mode trunk
Switch(config-port-prof)# switchport trunk allowed vlan 166,266
Switch(config-port-prof)# switchport trunk native vlan 266 <-- This is necessary to handle
traffic coming back from the promiscuous port.
Switch(config-port-prof)# channel-group auto mode on mac-pinning
Switch(config-port-prof)# no shut
Switch(config-port-prof)# state enabled
Switch(config)# port-profile type vethernet pvlan_guest
Switch(config-port-prof)# vmware port-group
Switch(config-port-prof)# switchport mode private-vlan host
Switch(config-port-prof)# switchport private-vlan host-association 266 166
Switch(config-port-prof)# no shut
Switch(config-port-prof)# state enabled
Este procedimento descreve como testar a configuração.
Nesta configuração, você contém o tráfego PVLAN ao N1K com somente o VLAN principal usado rio acima.
Este procedimento descreve como adicionar o VLAN principal ao vNIC. Não há nenhuma necessidade para a configuração de PVLAN porque você precisa somente o VLAN principal.
Nota: Este exemplo usa 266 como o preliminar e 166 como isolado; o VLAN ID será determinado pelo local.
Estes procedimentos descrevem como configurar os dispositivos ascendentes. Neste caso, o Switches ascendente precisa somente portas de tronco, e precisa somente o tronco VLAN 266 porque é o único VLAN que o Switches ascendente considera.
No nexo 5K, incorpore estes comandos, e configuração do uplink da verificação:
Nexus5000-5(config-vlan)# vlan 266
No 4900 Switch, tome estas etapas:
No roteador fluxo acima, crie uma subinterface para o VLAN 266 somente. Neste nível, as exigências dependem em cima da configuração de rede que você usa.
Este procedimento descreve como configurar o N1K.
Switch(config)# vlan 166
Switch(config-vlan)# private-vlan isolated
Switch(config-vlan)# vlan 266
Switch(config-vlan)# private-vlan primary
Switch(config-vlan)# private-vlan association 166
Switch(config)#port-profile type ethernet pvlan_uplink
Switch(config-port-prof)# vmware port-group
Switch(config-port-prof)# switchport mode private-vlan trunk promiscuous
Switch(config-port-prof)# switchport private-vlan trunk allowed vlan 266 <-- Only need to
allow the primary VLAN
Switch(config-port-prof)# switchport private-vlan mapping trunk 266 166 <-- The VLANS must
be mapped at this point
Switch(config-port-prof)# channel-group auto mode on mac-pinning
Switch(config-port-prof)# no shut
Switch(config-port-prof)# state enabled
Switch(config)# port-profile type vethernet pvlan_guest
Switch(config-port-prof)# vmware port-group
Switch(config-port-prof)# switchport mode private-vlan host
Switch(config-port-prof)# switchport private-vlan host-association 266 166
Switch(config-port-prof)# no shut
Switch(config-port-prof)# state enabled
Este procedimento descreve como testar a configuração.
Esta é a única configuração suportada para o VLAN de comunidade com UCS.
Esta configuração é a mesma que aquela estabelecida no PVLAN isolado em N1K com porta misturada na seção do Porta-perfil do uplink N1K. A única diferença entre a comunidade e isolada é a configuração do PVLAN.
A fim configurar o N1K, crie e associe os VLAN como você fez no nexo 5K:
Switch(config)# vlan 166
Switch(config-vlan)# private-vlan community
Switch(config-vlan)# vlan 266
Switch(config-vlan)# private-vlan primary
Switch(config-vlan)# private-vlan association 16
Toda configuração restante é a mesma que o PVLAN isolado em N1K com porta misturada no porta-perfil do uplink N1K.
Uma vez que isto é configurado, você pode comunicar-se com todos os VM conectados ao porta-perfil do vEthernet usado para seu PVLAN.
Este procedimento descreve como testar a configuração.
Devido aos problemas de configuração nos DV e no sistema UCS, os PVLAN com DV e o UCS não são apoiados antes da versão 2.2(2c).
Não há atualmente nenhum procedimento de verificação disponível para estas configurações.
As seções anterior forneceram a informação que você pode se usar a fim pesquisar defeitos suas configurações.
A ferramenta Output Interpreter (clientes registrados somente) apoia determinados comandos de exibição. Use a ferramenta Output Interpreter a fim ver uma análise do emissor de comando de execução.