专有VLAN技术在宿舍网络中的应用研究

□李 永

一、专有VLAN的关键技术

两层隔离技术是PVLAN技术实施的特有技术配置部署优势，通过配置部署该技术，实现上层VLAN部署在局域网中全局可见，而下层VLAN部署可以实现VLAN之间或VLAN内部主机之间的相互隔离。

(一)PVLAN类型。一是主VLAN：PVLAN的一级VLAN。二是隔离VLAN(isolated VLAN)：PVLAN二级VLAN,同一个PVLAN部署时只允许部署一个该类型的二级VLAN。三是团体VLAN(community VLAN)：PVLAN的二级VLAN，同一个PVLAN部署时允许部署多个该类型的二级VLAN.

(二)PVLAN接口类型。一是Isolated port：该类型接口配置时只能和promiscuous类型接口的终端用户实施数据通信。二是community port：该类型接口之间可以进行数据通信，也可以和promiscuous类型接口的终端用户进行数据通信，适用于同组内终端用户的相互数据通信。三是promiscuous port：该类型接口用于上连接口，可以和PVLAN内部的所有端口上的终端用户进行数据通信。

(三)PVLAN数据通信规则。一是primary VLAN:与之关联的所有isolated VLAN，community VLAN内的终端用户进行数据通信。二是community VLAN:与之处于相同community VLAN内的community port终端用户通信，也可以与PVLAN中的promiscuous端口通信。三是isolated VLAN:不能与处于相同isolated VLAN内的其它isolated port的终端用户进行数据通信，但可以与promiscuous端口的终端用户进行数据通信。

(四)配置命令。

配置PVLANs。

Switch(config-vlan)#private-vlan [primary | isolated | community]

Switch(config-vlan)#private-vlan association {secondary_vlan_list| add svl | remove svl}

Switch#show vlan private-vlan type

配置PVLAN端口。

Switch(config-if)#switchport mode private-vlan {host | promiscuous}

Switch(config-if)#switchport private-vlan host-associationprimary_vlan_IDsecondary_vlan_ID}

Switch(config-if)#private-vlan mappingprimary_vlan_ID{secondary_vlan_list| add svl | remove svl}

Switch#show interfaces private-vlan mapping

二、南京技师学院宿舍生活区域PVLAN的设计与实现

(一)南京技师学院宿舍生活区域设计要求。一是网络配置部署能给处在共同子网内的设备之间提供更高的安全性。二是网络配置部署应严禁避免接入层交换机的设备之间的互联互通。三是网络配置部署时需要内部隔离部分终端用户设备，隔离的设备之间严禁进行数据通信。四是网络配置部署方案中，应按照网络角色要求让某些设备联通，而让它们和其他设备不能相互通信。五是使用专有的借口映射技术，实现与该VLAN之外的VLAN进行数据通信。图1给出南京技师学院宿舍生活区域网络结构图。

图1 南京技师学院宿舍生活区域网络结构图

(二)关键设备的配置部署。

Sw1(config)#vlan 50

Sw1(config-vlan)#private-vlan primary

Sw1(config-vlan)#vlan 500

Sw1(config-vlan)#private-vlan isolated

Sw1(config-vlan)#vlan 501

Sw1(config-vlan)#privated-vlan community

Sw1(config-vlan)#vlan 50

Sw1(config-vlan)#privated-vlan association 500,501

Sw1(config-vlan)#interface range fa3/1-2

Sw1(config-if)#switchport

Sw1(config-if)#switchport mode private-vlan host

Sw1(config-if)#switchport mode private-vlan host-association 50 500

Sw1(config-if)#no shutdown

Sw1(config-if)#interface range fa3/46, fa3/48

Sw1(config-if)#switchport

Sw1(config-if)#switchport mode private-vlan host

Sw1(config-if)#switchport mode private-vlan host-association 50 501

Sw1(config-if)#no shutdown

Sw1(config-if)#interface g1/2

Sw1(config-if)#switchport

Sw1(config-if)#switchport mode private-vlan promiscuous

Sw1(config-if)#switchport mode private-vlan mapping 50 500,501

Sw1(config-if)#no shutdown

Sw1(config-if)#interface vlan 50

Sw1(config-if)#ip address 172.16.90.253

Sw1(config-if)# private-vlan mapping 50 500,501

Sw1(config-if)#no shutdown

Sw1(config-if)#end

Sw1#copy running-config startup-config

三、结语

专用VLAN技术解决了多个VLAN和IP子网隔离二层数据通信安全连接的弊端。PVLAN中的终端可以直接部署到PVLAN网络中，达到与默认网关连接的目的，同时按照PVLAN中一级、二级VLAN的通信规则，实现内部终端的相互通信。