基于PVLAN的工作原理的设计方案

引言

随着网络的迅速发展，网络用户通信的安全性要求越来越高;传统的解决方法是给每个客户分配一个VLAN和相关的IP子网，通过使用VLAN,每个客户被从第2层隔离开，可以防止任何恶意的行为和Ethernet的信息探听。然而，这种分配每个客户单一VLAN和IP子网的模型造成了以下局限：交换机固有的VLAN数目的限制;复杂的STP:对于每个VLAN,每个相关的Span?

ning Tree的拓扑都需要管理;IP地址的紧缺：IP子网的划分势必造成一些IP地址的浪费;路由的限制：每个子网都需要相应的默认网关的配置。为了解决以上问题，一种高级VLAN 技术--专用VLAN(Private VLAN)应运而生。

1 PVLAN 基本结构

Private VLAN 是能够为相同VLAN 内不同端口提供隔离的VLAN.PVLAN 可以将一个VLAN 的二层广播域划分成多个子域，每个子域都由一对VLAN 组成：

Primary VLAN( 主VLAN)和Secondary VLAN( 辅助VLAN)，如图1所示。

Primary VLAN:是PVLAN的高级VLAN,每个PVLAN中只有一个主VLAN.Secondary VLAN:是PVLAN中的子VLAN,并且映射到一个主VLAN.每台接入设备都连接到辅助VLAN.辅助VLAN有以下两种类型：

Isolated VLAN:同一个隔离VLAN中的端口互相不能进行二层通信，一个私有VLAN 域中只有一个隔离VLAN.

Community VLAN:同一个团体VLAN 中的端口可以进行二层通信，但是不能与其他团体VLAN中的端口进行二层通信，一个私有VLAN 中可以有多个团体VLAN.

PVLAN各组成之间通信关系如图2所示。

在Private VLAN 的概念中，有三种交换机端口类型：

Isolated port:属于Isolated PVLAN,只能和Promis?

cuous port通信，Isolated port彼此不能交换流量;Community port:属于Community PVLAN,可以和Promiscuous port通信，彼此可以交换流量;Promiscuous port:与路由器或第3层交换机接口相连，它收到的流量可以发往Isolated port和Community port.

而代表一个Private VLAN整体的是Primary VLAN.

前面两类VLAN 需要和它绑定在一起，同时它还包括Promiscuous port.

2 PVLAN 的工作机制

VLAN是根据目标MAC地址、VLAN及交换机端口三项动态学习得到这个表进行数据交换的。PVLAN采用两层VLAN 隔离技术，只有上层VLAN 全局可见，下层VLAN 相互隔离。它是通过主VLAN 和各辅助VLAN之间的MAC地址表同步技术来实现的。

如图3所示，设置PVLAN,Vlan10是Primary VLAN,映射Secondary VLAN 是2 和3;端口配置如图3 所示。

经过这个配置，交换机内部会形成一个Vlan?端口映射的表项，见表1.

MAC地址同步技术有两步：

(1) Secondary VLAN 学到的地址同步到PrimaryVLAN中，出接口不变通过这个同步，此时SWB的MAC地址表由：

此时，从SWA过来的所有单播数据帧，在SWB都知道了明确的MAC 地址和出接口了，那么下行的单播就不会单播变广播了，而会匹配表项直接单播发送。

(2) Primary VLAN 学到的地址同步到SecondaryVLAN中，出接口不变在：

此时，只要PCA 上有确切的SWA 的MAC 地址，它再去ping SWA,数据包在SWB上就有明确的MAC地址和出接口了，那么上行的单播就不会单播变广播了。这样不管用户的数据是上行还是下行，数据传输都尽量避免了广播。

3 PVLAN 的应用实例及配置步骤

PVLAN的应用对于保证接入网络的数据通信的安全性是非常有效的，用户只需与自己的默认网关连接。

一个PVLAN不需要多个VLAN和IP子网就提供了具备第2 层数据通信安全性的连接。所有的用户都接入PVLAN,从而实现了所有用户与默认网关的连接，而与PVLAN内的其他用户没有任何访问。PVLAN功能可以保证同一个VLAN中的各个端口相互之间不能通信，但可以穿过Trunk端口。这样即使同一VLAN 中的用户，相互之间也不会受到广播的影响。

实例应用背景：

要求：主机A、B、C为一组，要能够互相通信，并且可以和网关、服务器Z进行通信，但不能与主Vlan 100里的其余主机通信;主机D、E为一组，他们之间不能互相通信，但是可以和网关、计费服务器Z进行通信，同样也不能与主Vlan 100里其余主机通信;根据要求，利用PVLAN技术，可设计网络拓扑如图4所示。

配置步骤如下：

(1)创建各VLAN并声明VLAN类型;

(2)关联主VLAN与各辅助VLAN;

(3)给各VLAN划分端口;

(4)辅助VLAN映射主VLAN三层接口;

(5)设置各终端IP 地址与主VLAN SVI 接口IP 在一个网段，默认网关为SVI接口IP地址。

这样就实现了不同用户在同一个VLAN 二层的隔离，并只能通过网关实现与其他用户的通信，增强了接入网络的安全性。