《基于PVLAN的工作原理的设计方案.doc》由会员分享，可在线阅读，更多相关《基于PVLAN的工作原理的设计方案.doc（3页珍藏版）》请在三一文库上搜索。
1、基于PVLAN的工作原理的设计方案引言随着网络的迅速发展，网络用户通信的安全性要求越来越高；传统的解决方法是给每个客户分配一个VLAN和相关的IP子网，通过使用VLAN，每个客户被从第2层隔离开，可以防止任何恶意的行为和Ethernet的信息探听。然而，这种分配每个客户单一VLAN和IP子网的模型造成了以下局限：交换机固有的VLAN数目的限制；复杂的STP：对于每个VLAN，每个相关的Span？ning Tree的拓扑都需要管理；IP地址的紧缺：IP子网的划分势必造成一些IP地址的浪费；路由的限制：每个子网都需要相应的默认网关的配置。为了解决以上问题，一种高级VLAN 技术-专用VLAN（Pr
2、ivate VLAN）应运而生。1 PVLAN 基本结构Private VLAN 是能够为相同VLAN 内不同端口提供隔离的VLAN.PVLAN 可以将一个VLAN 的二层广播域划分成多个子域，每个子域都由一对VLAN 组成：Primary VLAN（ 主VLAN）和Secondary VLAN（ 辅助VLAN），如图1所示。Primary VLAN：是PVLAN的高级VLAN，每个PVLAN中只有一个主VLAN.Secondary VLAN：是PVLAN中的子VLAN，并且映射到一个主VLAN.每台接入设备都连接到辅助VLAN.辅助VLAN有以下两种类型：Isolated VLAN：同一个隔
3、离VLAN中的端口互相不能进行二层通信，一个私有VLAN 域中只有一个隔离VLAN.Community VLAN：同一个团体VLAN 中的端口可以进行二层通信，但是不能与其他团体VLAN中的端口进行二层通信，一个私有VLAN 中可以有多个团体VLAN.PVLAN各组成之间通信关系如图2所示。在Private VLAN 的概念中，有三种交换机端口类型：Isolated port：属于Isolated PVLAN，只能和Promis？cuous port通信，Isolated port彼此不能交换流量；Community port：属于Community PVLAN，可以和Promiscuous
4、port通信，彼此可以交换流量；Promiscuous port：与路由器或第3层交换机接口相连，它收到的流量可以发往Isolated port和Community port.而代表一个Private VLAN整体的是Primary VLAN.前面两类VLAN 需要和它绑定在一起，同时它还包括Promiscuous port.2 PVLAN 的工作机制VLAN是根据目标MAC地址、VLAN及交换机端口三项动态学习得到这个表进行数据交换的。PVLAN采用两层VLAN 隔离技术，只有上层VLAN 全局可见，下层VLAN 相互隔离。它是通过主VLAN 和各辅助VLAN之间的MAC地址表同步技术来实现
5、的。如图3所示，设置PVLAN，Vlan10是Primary VLAN，映射Secondary VLAN 是2 和3;端口配置如图3 所示。经过这个配置，交换机内部会形成一个Vlan？端口映射的表项，见表1.MAC地址同步技术有两步：（1） Secondary VLAN 学到的地址同步到PrimaryVLAN中，出接口不变通过这个同步，此时SWB的MAC地址表由：此时，从SWA过来的所有单播数据帧，在SWB都知道了明确的MAC 地址和出接口了，那么下行的单播就不会单播变广播了，而会匹配表项直接单播发送。（2） Primary VLAN 学到的地址同步到SecondaryVLAN中，出接口不变在
6、：此时，只要PCA 上有确切的SWA 的MAC 地址，它再去ping SWA，数据包在SWB上就有明确的MAC地址和出接口了，那么上行的单播就不会单播变广播了。这样不管用户的数据是上行还是下行，数据传输都尽量避免了广播。3 PVLAN 的应用实例及配置步骤PVLAN的应用对于保证接入网络的数据通信的安全性是非常有效的，用户只需与自己的默认网关连接。一个PVLAN不需要多个VLAN和IP子网就提供了具备第2 层数据通信安全性的连接。所有的用户都接入PVLAN，从而实现了所有用户与默认网关的连接，而与PVLAN内的其他用户没有任何访问。PVLAN功能可以保证同一个VLAN中的各个端口相互之间不能通
7、信，但可以穿过Trunk端口。这样即使同一VLAN 中的用户，相互之间也不会受到广播的影响。实例应用背景：要求：主机A、B、C为一组，要能够互相通信，并且可以和网关、服务器Z进行通信，但不能与主Vlan 100里的其余主机通信；主机D、E为一组，他们之间不能互相通信，但是可以和网关、计费服务器Z进行通信，同样也不能与主Vlan 100里其余主机通信；根据要求，利用PVLAN技术，可设计网络拓扑如图4所示。配置步骤如下：（1）创建各VLAN并声明VLAN类型；（2）关联主VLAN与各辅助VLAN;（3）给各VLAN划分端口；（4）辅助VLAN映射主VLAN三层接口；（5）设置各终端IP 地址与主VLAN SVI 接口IP 在一个网段，默认网关为SVI接口IP地址。这样就实现了不同用户在同一个VLAN 二层的隔离，并只能通过网关实现与其他用户的通信，增强了接入网络的安全性。