VLAN应用篇系列:(10)H3C交换机 PVLAN功能(V7为PVLAN,V5为isolate-user-vlan) | 网络之路博客(公众号同名)(其他平台网络之路Blog)
登录
  • 欢迎网络之路博客网站,分享有用的知识点,公众号:网络之路博客,B站:网络之路Blog
  • 如果您觉得本站对您有帮助,那么赶紧使用Ctrl+D 收藏吧,支持我们下
  • 远程技术支持的淘宝店铺已经开张了哦,传送门:需要的朋友可以点击查看

VLAN应用篇系列:(10)H3C交换机 PVLAN功能(V7为PVLAN,V5为isolate-user-vlan)

【汇总】通俗易懂学VLAN

文档帖子汇总实战系列学习视频学习必备软件
    博主也只是业余时间写写技术文档,请大家见谅,大家觉得不错的话,可以推荐给朋友哦,博主会努力推出更好的系列文档的。如果大家有任何疑问或者文中有错误跟疏忽的地方,欢迎大家留言指出,博主看到后会第一时间修改,谢谢大家的支持,更多技术文章尽在网络之路博客,http://ccieh3c.com

说明

高级的隔离功能在H3C设备上面也是有的,之前介绍了思科与华为设备上面的配置,这次主要以H3C V7版本为主介绍PVLAN,在V5版本是称为isolate-user-vlan,通常拥在在运营商或者某些特殊场景下,采用LAN接入小区宽带,一般会采用用户之间相互隔离,但是传统的VLAN来说,一个VLAN一个客户,而一个交换机最多只有4094个VLAN,很多情况下是不够的,该技术就是屏蔽掉接入层的VLAN ID,只有汇聚层的ID可见,保证在4094个VLAN下是可用的。这里主要以V7版本的来介绍,V5版本后面会给出命令。

拓扑

vlan

其中G1/0/4为上行接口,也就是加入primary VLAN的接口,VLAN为2,而下面的G1/0/1~G1/0/2属于VLAN 3,G1/0/3,G1/0/5属于VLAN 4,实现的效果是,VLAN 3内的PC可以互访,而VLAN 4内的PC是不可以互访的,并且VLAN 3与VLAN 4都可以访问primary VLAN连接的网络,来访问外网或者内网的其他资源。

S5800交换机配置

【创建VLAN】
[H3C-S5800]vlan 2 to 4

【把VLAN2定义为primary VLAN,并且关联secondary VLAN 3 与4】
[H3C-S5800]vlan 2
[H3C-S5800-vlan2]private-vlan primary
[H3C-S5800-vlan2]private-vlan secondary 3 to 4

【定义上行接口在promiscuous模式】
[H3C-S5800]int g1/0/4
[H3C-S5800-GigabitEthernet1/0/4]port private-vlan 2 promiscuous

【定义下行接口在host模式,VLAN3】
[H3C-S5800]int range g1/0/1 to g1/0/2
[H3C-S5800-if-range]port private-vlan host
[H3C-S5800-if-range]port access vlan 3

【定义下行接口子啊host模式,VLAN 4】
[H3C-S5800]int range g1/0/3 g1/0/5
[H3C-S5800-if-range]port access vlan 4
[H3C-S5800-if-range]port private-vlan host

【测试】

(VLAN 3用户,1的IP是192.168.1.1,2的IP是192.168.1.2)
(VLAN 4用户,1的IP是192.168.1.3,2的IP是192.168.1.4)
这里测试它们之间能够互访。
【VLAN 3的用户测试】

vlan

【VLAN 4的用户测试】

vlan

可以看到VLAN 3以及VLAN 4各自VLAN内的VLAN都能互访,那么问题来了,那怎么实现让某个VLAN内的主机不能互访呢?

【实现VLAN内不能互访的功能,以VLAN 4为主测试】
[H3C-S5800]vlan 4
[H3C-S5800-vlan4]private-vlan isolated

vlan

这时候测试就显示VLAN 4内的主机已经不能通信了。

【查看PVLAN的状态】

vlan

可以看到从上面往下面看的话,primaryVLAN是多少,secondary VLAN是多少,然后primary VLAN是除了自己的接口以外,然后还会把secondary的接口也放入到自己的VLAN,能处理它们的流量,而secondary VLAN 的话则只包含自身定义的,还包含primary的,这样的话,无论是VLAN 3还是VLAN 4都能访问到VLAN 2的流量。

vlan

可以看到,secondary VLAN,默认的模式为secondary,这个模式是能够让VLAN内的PC相互访问的,而在Isolated模式的,则VLAN内的PC不能互访。

【定义VLANIF接口,并且让secondary VLAN能够用primary VLAN的VLANFI接口作为网关】

[H3C-S5800]int vlan 2
[H3C-S5800-Vlan-interface2]ip address 192.168.1.254 24
[H3C-S5800-Vlan-interface2]private-vlan secondary 3 to 4

vlan

可以看到VLAN 3与VLAN 4的用户都能访问VLAN 2 primary VLAN的接口流量,这样的话 可以通过该接口来访问外网或者其他内部网络。

vlan

配置了VLANIF接口后,在通过display查看的时候 是会显示的

【特殊需求:VLAN间的PC需要互访,也就是VLAN 3与VLAN 4之间的互访】

说明:默认情况下,secondary VLAN之间的PC是不能互访的,是相互隔离,如果需要它们之间能够访问的话,那么就必须开启本地代理ARP功能,使得它们三层之间能够通过VLANIF接口代转。

vlan

可以看到VLAN3-1(192.168.1.1)去访问192.168.1.3的时候是显示请求超时的,因为默认情况下,secondary VLAN间访问是被拒绝的。

[H3C-S5800]int vlan 2
[H3C-S5800-Vlan-interface2]local-proxy-arp enable

vlan

可以看到已经可以访问192.168.1.3了

vlan

可以看到192.168.1.3的对应的ARP解析的MAC地址是跟192.168.1.254网关的MAC是一样的,这说明并不是192.168.1.3回应的,而是通过了192.168.1.254这个网关的MAC来代理访问的。
【默认路由,让下面的客户端能够访问外网】
[H3C-S5800]ip route-static 0.0.0.0 0.0.0.0 192.168.1.253

出口路由器配置

【配置内网接口IP地址】
[H3C-GW]int g0/0
[H3C-GW-GigabitEthernet0/0]ip add 192.168.1.253 24

【配置外网接口IP地址】
[H3C-GW]int g0/1
[H3C-GW-GigabitEthernet0/1]ip add 202.100.1.1 24

【配置默认路由指向外网】
[H3C-GW]ip route-static 0.0.0.0 0.0.0.0 202.100.1.2
说明:这里不需要回程路由,因为都在同一个网段,可以解析到。

【NAT配置】
[H3C-GW]acl advanced 3000
[H3C-GW-acl-ipv4-adv-3000]rule permit ip source any

[H3C-GW]int g0/1
[H3C-GW-GigabitEthernet0/1]nat outbound 3000
这里配置了一个ACL匹配了所有流量,然后调用在外网口,做easy IP的NAT,用接口地址做PAT转换访问internet。

vlan
vlan

可以看到,两个secondary VLAN内的用户访问外网是没任何问题的,然后在NAT会话里面也有看到对应的转换。

V5版本 isolate-user-vlan配置思路

跟V7演示的拓扑类似。
【创建对应的VLAN】
[H3C]vlan 2 to 4

【把对应的接口加入对应的VLAN】
[H3C]vlan 2
[H3C-vlan2]port e0/4/0

[H3C-vlan2]vlan 3
[H3C-vlan3]port e0/4/1 to e0/4/2

[H3C-vlan3]vlan 4
[H3C-vlan4]port e0/4/3 to e0/4/4
说明:其中VLAN 2为primary VLAN,而VLAN3与4为secondary VLAN。

【定义哪个为primary VLAN】
[H3C]vlan 2
[H3C-vlan2]isolate-user-vlan enable

【关联secondary VLAN】
[H3C]isolate-user-vlan 2 secondary 3 to 4

vlan

其实跟V7的效果是类似的,显示也是差不多。

【配置SVI接口】
[H3C]interface vlan 2
[H3C-Vlan-interface2]ip address 192.168.1.254 24

vlan

配置了后 接口是会在查看的里面显示的。

【开启本地代理ARP功能,让secondary VLAN之间可以互访】
[H3C]int vlan 2
[H3C-Vlan-interface2]local-proxy-arp enable

关于博客资源下载说明

首先,感谢大家对网络之路博客的支持,本站所有资源都是开放下载,不做任何限制,资源都是上传在百度盘,分为两种类型:
(1)第一种是书籍PDF与视频类,全部放在博客分享,觉得对大家学习有帮助的博主会收集好、然后以博主的经验整理分类后排序好分享出来。
(2)第二种是技术性文章与视频,全部放在公众号(网络之路博客)/B站(网络之路Blog)发布,以博主原创为主,主要分享系列为主,由浅入深的带大家了解工作中常用到的一些网络技术,当然也会分享一些比较经典的案例。
(3)分享资源有涉及到您的利益以及版权问题,请联系博主,24小时候内删除。
想第一时间收到最新更新内容吗,点击获取~~~

点击查看详情

(广告)博主自主原创最新实战课程

点击查看详情


(广告)远程技术支持(设备调试),有搞不定的找我,价格实惠,为您解决实际工作上的问题

远程技术调试与技术支持,点击查看详情


原创与收集的内容,允许转载,转载时请务必以超链接形式标明文章原始出处,博客地址http://ccieh3c.com。

喜欢 (3)
[]
分享 (0)
公众号:网络之路博客(其他平台网络之路Blog)
分享一些自己懂的技术知识点,希望对大家有帮助。
发表我的评论
取消评论
表情 贴图 加粗 删除线 居中 斜体 签到

Hi,您需要填写昵称和邮箱!

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址
(2)个小伙伴在吐槽
  1. 9呢?
    ,,2016-11-26 00:35 回复 Android 4.2.2 | Safari 534.30