Конфигурация изолированных частных VLAN на коммутаторах
В некоторых случаях необходимо предотвратить соединение уровня 2 (L2) между устройствами на коммутаторе, не поместив устройства в разные подсети IP. С помощью данной установки можно предотвратить потерю IP-адресов. Частные сети VLAN (PVLAN) изолируют устройства уровня 2 в одной подсети IP. Можно направить порты на коммутаторе только на конкретные порты с шлюзом по умолчанию, резервным сервером или подключенным Cisco LocalDirector.
В данной статье описана процедура настройки изолированных сетей PVLAN на коммутаторах Cisco Catalyst с ПО Catalyst OS (CatOS) или Cisco IOS®. Так же предполагается, что сеть уже существует, и с ее помощью можно установить соединение между различными портами в добавление к PVLAN. Если в наличии есть несколько коммутаторов, убедитесь, магистраль между ними функционирует правильно и позволяет работать сетям PVLAN на магистрали. Не все коммутаторы и версии программного обеспечения поддерживают частные VLAN.
Примечание. Некоторые коммутаторы поддерживают только функцию Edge сетей PVLAN. Термин "защищенные порты" также относится в данной функции. На портах Edge сетей PVLAN есть ограничение, которое предотвращает связь с другими защищенными портами на одном коммутаторе. Однако защищенные порты на отдельных коммутаторах могут взаимодействовать друг с другом. Следует различать данную функцию с конфигурацией обычной PVLAN, которая отображена в данном статье.
Используемые компоненты
Сведения, содержащиеся в данном документе, касаются следующих версий программного и аппаратного обеспечения.
- Коммутатор Catalyst 4003 с модулем управления 2, который использует CatOS версии 6.3(5)
- Коммутатор Catalyst 4006 с модулем управления 3, который использует ПО Cisco IOS версии 12.1(12c)EW1
Теоретические сведения
PVLAN – это VLAN с конфигурацией для изоляции уровня 2 от других портов с таким же доменом широковещательной рассылки или подсетью. Можно назначить особый набор портов в PVLAN и таким образом контролировать доступ к портам на уровне 2. А также можно настроить сети PVLAN и обычные VLAN на одном коммутаторе.
Существует три типа портов PVLAN: случайный, изолированный и общий.
- Случайный порт взаимодействует с другими портами PVLAN. Изолированный порт – это порт, который используют для взаимодействия с внешними маршрутизаторами, LocalDirectors, устройствами управления сетью, резервными серверами, административными рабочими станциями и другими устройствами. На других коммутаторах порт для модуля маршрутизатора (например плата многоуровневой коммутации [MSFC]) должен быть случайным.
- На изолированном порте есть полное разделение уровня 2 от других портов с такой же PVLAN. Данное разделение содержит широковещательные рассылки. Исключением является только случайный порт. Разрешение конфиденциальности на уровне 2 присутствует в блоке исходящего трафика ко всем изолированным портам. Трафик, приходящий из изолированного порта, направляется только на все изолированные порты.
- Общие порты могут взаимодействовать друг с другом и со случайными портами. У данных портов есть изоляция уровня 2 от других портов в других сообществах или от изолированных портов в сети PVLAN. Рассылки распространяются только между связанными портами сообщества и разнородными портами.
Правила и ограничения
- PVLAN не могут включать в себя сети VLAN 1 или 1002-1005.
- Необходимо установить режим протокола VTP на transparent.
- Можно только задать одну изолированную VLAN для основной VLAN.
- Можно только назначить VLAN в качестве PVLAN, если у данной VLAN есть назначения текущих портов доступа. Удалите порты в данной сети VLAN перед преобразованием VLAN в PVLAN.
- Не настраивайте порты PVLAN как EtherChannels.
- Из-за ограничений аппаратного обеспечения модули коммутаторов Catalyst 6500/6000 Fast Ethernet ограничивают конфигурацию изолированного или общего порта VLAN, если порт в специализированной интегральной схеме одного COIL (ASIC) представляет собой следующее.
- Магистраль
- Назначение анализатора коммутируемого порта (SPAN)
- лучайный порт PVLAN
Модуль |
Порты по ASIC |
WS-X6224-100FX-MT, WS-X6248-RJ-45, WS-X6248-TEL | Порты 1-12, 13-24, 25-36, 37-48 |
WS-X6024-10FL-MT | Порты 1-12, 13-24 |
WS-X6548-RJ-45, WS-X6548-RJ-21 | Порты 1-48 |
С помощью команды show pvlan capability (CatOS) также отображается возможность преобразования порта в порт PVLAN. В ПО Cisco IOS нет эквивалентной команды.
- Если удалить VLAN, которая используется в конфигурации PVLAN, порты, связанные с VLAN станут неактивными.
- Настройте интерфейсы VLAN уровня 3 (L3) только для первичных VLAN. Интерфейсы VLAN для изолированных и общих VLAN являются неактивными, если в сети VLAN проходит процесс конфигурации изолированных или общих VLAN.
- Можно расширить сети PVLAN среди коммутаторов с помощью магистралей.
Примечание. Необходимо вручную вводить конфигурацию одной PVLAN на каждом коммутаторе, так как VTP в режиме transparent не предоставляет данные сведения.
Конфигурация
В этом разделе предоставляются сведения по конфигурации функций, описанных в данном документе.
Схема сети
В данном документе используется следующая схема сети.
В данном сценарии в устройствах в изолированной VLAN (101) есть ограничения от взаимодействия на уровне 2 друг с другом. Однако устройства не могут подключаться к Интернету. Кроме того, у порта Gig 3/26 на 4006 случайное назначение. Данная дополнительная конфигурация позволяет устройству на порте GigabitEthernet 3/26 соединиться с устройствами в изолированной VLAN. С помощью данной конфигурации также можно, например, делать резервную копию данных от всех устройств хостов PVLAN до рабочей станции администрирования. Другое использование случайных портов подразумевает соединение с внешним маршрутизатором, LocalDirector, устройством управления сетью и другими устройствами.
Конфигурация первичных и изолированных сетей VLAN
Чтобы создать первичные и вторичные сети VLAN, а также связать различные порты с данными VLAN, выполните следующие действия. В данных действиях описаны примеры ПО CatOS и Cisco IOS. Выполните соответствующий набор команд для установки OS.
- Создайте первичную PVLAN.
- CatOS
Switch_CatOS (enable) set vlan primary_vlan_id
pvlan-type primary name primary_vlan
!--- Примечание. Эта команда должна вводиться в одной строке.
VTP advertisements transmitting temporarily stopped, and will resume after the command finishes.
Vlan 100 configuration successful
-
Программное обеспечение Cisco IOS
Switch_IOS(config)#vlan primary_vlan_id
Switch_IOS(config-vlan)#private-vlan primary
Switch_IOS(config-vlan)#name primary-vlan
Switch_IOS(config-vlan)#exit
- CatOS
- Создайте одну или несколько изолированных сетей VLAN
- CatOS
Switch_CatOS> (enable) set vlan secondary_vlan_id pvlan-type isolated name isolated_pvlan
!--- Примечание. Эта команда должна вводиться в одной строке
VTP advertisements transmitting temporarily stopped,
and will resume after the command finishes.
Vlan 101 configuration successful
- Программное обеспечение Cisco IOS
Switch_IOS(config)#vlan secondary_vlan_id
Switch_IOS(config-vlan)#private-vlan isolated
Switch_IOS(config-vlan)#name isolated_pvlan
Switch_IOS(config-vlan)#exit
- CatOS
- Свяжите изолированную(ые) сеть(и) VLAN с первичной VLAN.
- CatOS
Switch_CatOS> (enable) set pvlan primary_vlan_id secondary_vlan_id
Vlan 101 configuration successful
Successfully set association between 100 and 101.
- Программное обеспечение Cisco IOS
Switch_IOS(config)#vlan primary_vlan_id
Switch_IOS(config-vlan)#private-vlan association secondary_vlan_id
Switch_IOS(config-vlan)#exit
- CatOS
- Проверьте конфигурацию частной VLAN.
- CatOS
Switch_CatOS> (enable) show pvlan
Primary Secondary Secondary-Type Ports
------- --------- ---------------- ------------
100 101 isolated
- Программное обеспечение Cisco IOS
Switch_IOS#show vlan private-vlan
Primary Secondary Type Ports
------- --------- ----------------- -------
100 101 isolated
- CatOS
Назначение портов для сетей PVLAN
Совет. Перед выполнением данной процедуры выполните команду show pvlan capability mod/port (для CatOS), чтобы определить возможность преобразования порта в порт PVLAN.
Примечание. Перед выполнением шага 1 данной процедуры выполните команду switchport в режиме конфигурации интерфейса, чтобы настроить порт в качестве коммутируемого интерфейса уровня 2.
- Настройте порты хоста на всех соответствующих коммутаторах.
- CatOS
Switch_CatOS> (enable)set pvlan primary_vlan_id secondary_vlan_id mod/port
!--- Примечание. Эта команда должна вводиться в одной строке.
Successfully set the following ports to Private Vlan 100,101: 2/20
- Программное обеспечение Cisco IOS
Switch_IOS(config)#interface gigabitEthernet mod/port
Switch_IOS(config-if)#switchport private-vlan host primary_vlan_id secondary_vlan_id
!--- Примечание. Эта команда должна вводиться в одной строке.
Switch_IOS(config-if)#switchport mode private-vlan host
Switch_IOS(config-if)#exit
- CatOS
- Настройте случайный порт на одном из коммутаторов.
- CatOS
Switch_CatOS> (enable) set pvlan mapping primary_vlan_id secondary_vlan_id mod/port
!--- Примечание. Эта команда должна вводиться в одной строке.
Successfully set mapping between 100 and 101 on 3/26
Примечание. Для Catalyst 6500/6000 если модуль управления использует CatOS в качестве системного ПО, порт MSFC на модуле управления (15/1 или 16/1) должен быть случайным, если необходим коммутатор уровня 3 между сетями VLAN.
- Программное обеспечение Cisco IOS
Switch_IOS(config)#interface interface_type mod/port
Switch_IOS(config-if)#switchport private-vlan mapping primary_vlan_id secondary_vlan_id
!--- Примечание. Эта команда должна вводиться в одной строке.
Switch_IOS(config-if)#switchport mode private-vlan promiscuous
Switch_IOS(config-if)#end
- CatOS
Конфигурация уровня 3
В дополнительном разделе описаны шаги конфигурации, чтобы разрешить маршрутизатор входящего трафика PVLAN. Если необходимо только активировать соединение уровня 2, данный этап можно опустить.
- Настройте интерфейс VLAN также, как и при настройке для обычной маршрутизации уровня 3.
В данную конфигурацию входит:
- Конфигурация IP-адреса
- Активация интерфейса с помощью команды no shutdown
- Проверка существования сети VLAN в базе данных VLAN
- Сопоставьте вторичные сети VLAN, которые необходимо маршрутизировать, первичной VLAN.
- Switch_IOS(config)#interface vlan primary_vlan_id
- Switch_IOS(config-if)#private-vlan mapping secondary_vlan_list
- Switch_IOS(config-if)#end
Примечание. Настройте интерфейсы VLAN уровня 3 (L3) только для первичных VLAN. Интерфейсы VLAN для изолированных и общих VLAN являются неактивными с помощью конфигурации изолированных или общих VLAN.
- Выполните команду show interfaces private-vlan mapping (ПО Cisco IOS) или show pvlan mapping (CatOS), чтобы проверить сопоставление.
- Если необходимо изменить список вторичных VLAN после конфигурации сопоставления, используйте ключевое слово add или remove.
- Switch_IOS(config-if)#private-vlan mapping add secondary_vlan_list
- or
- Switch_IOS(config-if)#private-vlan mapping remove secondary_vlan_list
cat6000> (enable) set pvlan mapping primary_vlan secondary_vlan 15/1
Successfully set mapping between 100 and 101 on 15/1
Выполните команду show pvlan mapping, чтобы проверить сопоставление.
cat6000> (enable) show pvlan mapping
Port | Primary | Secondary |
15/1 | 100 | 101 |
Конфигурации
В данной статье используются следующие конфигурации.
- Access_Layer (Коммутатор Catalyst 4003. ПО CatOS)
- Ядро (Коммутатор Catalyst 4006. ПО Cisco IOS)
Access_Layer (Коммутатор Catalyst 4003. ПО CatOS) |
Access_Layer> (enable) show config This command shows non-default configurations only. Use 'show config all' to show both default and non-default configurations. .............
set vlan 1002 name fddi-default type fddi mtu 1500 said 101002 state active !--- Выходные данные команды подавляются. #module 1 : 0-port Switching Supervisor
set spantree portvlancost 2/24 cost 3
|
Ядро (Коммутатор Catalyst 4006. ПО Cisco IOS) |
Core#show running-config Building configuration... !--- Выходные данные команды подавляются. ! ip subnet-zero switchport switchport trunk encapsulation dot1q switchport trunk encapsulation dot1q ! ! ! interface Vlan25 ip address 10.25.1.1 255.255.255.0 ip address 10.1.1.1 255.255.255.0 |
Частные сети VLAN в нескольких коммутаторах
Частные сети VLAN можно использовать в нескольких коммутаторах двумя способами. В этом разделе описаны данные способы.
- Обычные магистрали
- Магистрали частных сетей VLAN
Обычные магистрали
С помощью обычных VLAN сети PVLAN могут взаимодействовать с несколькими коммутаторами. Порт магистрали переносит первичную и вторичные VLAN на соседний коммутатор. Порт магистрали взаимодействует с частной VLAN также, как и с другими сетями VLAN. Функция сетей PVLAN в нескольких коммутаторах состоит в том, чтобы трафик изолированного порта на одном коммутаторе не достигал изолированного порта на другом коммутаторе.
Настройте сети PVLAN на всех промежуточных устройствах, в которых находятся устройства без портов PVLAN, чтобы поддержать безопасность конфигурации PVLAN и избежать другого использования сетей VLAN, настроенных в качестве сетей PVLAN.
Порты магистрали направляют трафик из обычных VLAN, а также из первичных, изолированных и общих VLAN.
Совет. Cisco рекомендует использовать стандартные порты магистрали, если оба коммутатора с магистральным соединением поддерживают сети PVLAN.
Так как протокол VTP не поддерживает сети PVLAN, необходимо настроить их вручную на всех коммутаторах в сети уровня 2. Если не настроить объединение первичной и вторичных сетей VLAN в некоторых коммутаторах в сети, базы данных уровня 2 в данных коммутаторах не объединятся. Это может привести к лавинной маршрутизации трафика PVLAN на данных коммутаторах.
Магистрали частных сетей VLAN
Порт магистрали PVLAN может вмещать несколько вторичных сетей PVLAN, а также сети, отличные от сетей PVLAN. Пакеты получают и передают с помощью тегов вторичных или обычных VLAN на портах магистрали PVLAN.
Поддерживается только инкапсуляция IEEE 802.1q. С помощью изолированных портов магистрали можно объединять трафик всех вторичных портов на магистрали. С помощью случайных портов магистрали можно объединять несколько случайных портов, необходимых в данной топологии, в один порт магистрали, который вмещает несколько первичных сетей VLAN.
Проверка
Используйте этот раздел для того, чтобы подтвердить, что ваша конфигурация работает правильно.
CatOS
- show pvlan – отображает конфигурацию PVLAN. Проверьте связь изолированных и первичных сетей VLAN друг с другом. А также проверьте отображение портов хоста.
- show pvlan mapping – отображает сопоставление PVLAN с конфигурацией на случайных портах.
Программное обеспечение Cisco IOS
- show vlan private-vlan – отображает сведения о PVLAN со связанными портами.
- show interface mod/port switchport – отображает сведения об интерфейсах. Проверьте правильность работы рабочего режима, а также рабочие параметры PVLAN.
- show interfaces private-vlan mapping – отображает настроенное сопоставление сетей PVLAN.
Процедура проверки
Выполните следующие шаги:
- Проверьте конфигурацию PVLAN на коммутаторах.
Проверьте связь/сопоставление первичных и вторичных сетей PVLAN друг с другом. А также проверьте включение необходимых портов.
Access_Layer> (enable) show pvlanPrimary Secondary Secondary-Type Ports 100 101 isolated 2/20 Core#show vlan private-vlan
Primary Secondary Type Ports 100 101 i solated Gi3/26 - Проверьте правильность конфигурации случайного порта.
Следующие выходные данные указывают, что рабочий режим портов – promiscuous, рабочие сети VLAN – 100 и 101.
Core#show interface gigabitEthernet 3/26 switchport
Name: Gi3/26
Switchport: Enabled
Administrative Mode: private-Vlan promiscuous
Operational Mode: private-vlan promiscuous
Administrative Trunking Encapsulation: negotiate
Operational Trunking Encapsulation: native
Negotiation of Trunking: Off
Access Mode VLAN: 1 (default)
Trunking Native Mode VLAN: 1 (default)
Voice VLAN: none
Administrative Private VLAN Host Association: none
Administrative Private VLAN Promiscuous Mapping: 100 (primary_for_101) 101 (isolated_under_100)
Private VLAN Trunk Native VLAN: none
Administrative Private VLAN Trunk Encapsulation: dot1q
Administrative Private VLAN Trunk Normal VLANs: none
Administrative Private VLAN Trunk Private VLANs: none
Operational Private VLANs:
100 (primary_for_101) 101 (isolated_under_100)
Trunking VLANs Enabled: ALL
Pruning VLANs Enabled: 2-1001
Capture Mode Disabled
Capture VLANs Allowed: ALL
- Запустите пакет запроса ICMP-эхо из порта хоста на случайный порт.
Помните, что так как оба устройства находятся в первичной VLAN, они могут быть в одной сети.
host_port#show arp
Protocol Address Age (min) Hardware Addr Type Interface Internet 10.1.1.100 - 0008.a390.fc80 ARPA FastEthernet0/24
!--- MAC-адреса, отличные от клиентских адресов, не известны.
host_port#ping 10.1.1.254
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.254, timeout is 2 seconds:
.!!!!
Success rate is 80 percent (4/5), round-trip min/avg/max = 1/2/4 ms
!--- Запрос "ICMP-эхо" выполнен успешно. Первый запрос "ICMP-эхо" выполнен неудачно при
!--- при попытке устройства выполнить с помощью ARP сопоставление с MAC-адресом однорангового узла.
host_port#show arp
Protocol Address Age (min) Hardware Addr Type Interface Internet 10.1.1.100 - 0008.a390.fc80 ARPA FastEthernet0/24 Internet 10.1.1.254 0 0060.834f.66f0 ARPA FastEthernet0/24 - Выполните запрос ICMP-эхо между портами хоста.
В следующем промере host_port_2 (10.1.1.99) отправляет запрос ICMP-эхо на host_port (10.1.1.100). Выполнение данного запроса не удалось. Однако выполнение запроса ICMP-эхо из другого порта хоста на случайный порт прошло успешно.
host_port_2#ping 10.1.1.100
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.100, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
!--- Запрос "ICMP-эхо" между портами хоста, как и требовалось, выполнен неудачно.
host_port_2#ping 10.1.1.254
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.1.1.254, timeout is 2 seconds:
!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 4/4/4 ms
!--- Запрос "ICMP-эхо" к случайному порту по-прежнему выполняется успешно.
host_port_2#show arp
Protocol Address Age (min) Hardware Addr Type Interface
Internet 10.1.1.99 - 0005.7428.1c40 ARPA Vlan1
Internet 10.1.1.254 2 0060.834f.66f0 ARPA Vlan1
!--- Таблица ARP содержит только запись для данного порта и
!--- случайного порта.
- Cannot add a private vlan mapping to a port with another Private port in
- the same ASIC.
- Failed to set mapping between <vlan> and <vlan> on <mod/port>
- Port with another Promiscuous port in the same ASIC cannot be made
- Private port.
- Failed to add ports to association.
Устранение неполадок
Поиск и устранение неполадок в сетях PVLAN
В данном разделе описаны некоторые основные проблемы, которые возникают во время конфигурации PVLAN.
Проблема 1
Отображается следующее сообщение об ошибке. %PM-SP-3-ERR_INCOMP_PORT: <mod/port> is set to inactive because <mod/port> is a trunk port
Объяснение. Из-за ограничений аппаратного обеспечения модули коммутаторов Catalyst 6500/6000 10/100-Mbps ограничивают конфигурацию изолированного или общего порта VLAN, если порт в специализированной интегральной схеме одного COIL является магистралью, назначением SPAN или случайным портом PVLAN. (Специализированная интегральная схема COIL контролирует 12 портов на большинстве модулей и 48 портов на модуле Catalyst 6548.)
Процедура разрешения. Если нет поддержки на порте PVLAN, выберите порт в другой ASIC на данном или на другом модуле. Чтобы возобновить деятельность портов, удалите конфигурацию изолированного или общего порта VLAN и выполните команды shutdown и no shutdown.
Примечание. В ПО Cisco IOS версии 12.2(17a)SX и более поздних ограничение 12 портов не применяется к коммутирующим модулям WS-X6548-RJ-45, WS-X6548-RJ-21 и WS-X6524-100FX-MM Ethernet.
Проблема 2
В процессе конфигурации PVLAN может отобразится одно из следующих сообщений.
Процедура разрешения. Выполните команду show pvlan capability (CatOS), которая указывает преобразование порта в порт PVLAN. Если нет поддержки для PVLAN на определенном порте, выберите порт в другой ASIC на данном или на другом модуле.
Примечание. В ПО Cisco IOS версии 12.2(17a)SX и более поздних ограничение 12 портов не применяется к коммутирующим модулям WS-X6548-RJ-45, WS-X6548-RJ-21 и WS-X6524-100FX-MM Ethernet.
Проблема 3
Не удается настроить PVLAN на некоторых платформах.
Решение. Проверьте, чтобы платформа поддерживала сети PVLAN.
Проблема 4
На MSFC коммутатора Catalyst 6500/6000 невозможно выполнить запрос ICMP-эхо на устройство, которое соединено с изолированным портом на данном коммутаторе.
Решение. На модуле управления проверьте, чтобы данный порт на MSFC (15/1 или 16/1) является случайным.
cat6000> (enable) set pvlan mapping primary_vlan secondary_vlan 15/1
Successfully set mapping between 100 and 101 on 15/1Также настройте интерфейс VLAN на MSFC, как указано в разделе Конфигурация уровня 3 данного документа.
Проблема 5
С помощью команды no shutdown невозможно активировать интерфейс VLAN для изолированных или общих сетей VLAN.
Решение. Из-за сущности сетей PVLAN невозможно активировать интерфейс VLAN для изолированных или общих сетей VLAN. Можно активировать только тот интерфейс VLAN, который относится к первичной VLAN.
Проблема 6
На устройствах Catalyst 6500/6000 с MSFC/MSFC2 записи ARP, полученные на интерфейсах PVLAN уровня 3 не устаревают.
Решение. Записи ARP, полученные на интерфейсах частных VLAN уровня 3, являются фиксированными и не устаревают. С помощью подключения нового оборудования с помощью IP-адреса создается сообщение. Запись ARP не создается. Таким образом, необходимо удалить ARP-записи порта PVLAN при изменении MAC-адреса. Чтобы добавить или удалить ARP-записи PVLAN вручную, выполните следующие команды.
Router(config)#no arp 11.1.3.30
IP ARP:Deleting Sticky ARP entry 11.1.3.30
Router(config)#arp 11.1.3.30 0000.5403.2356 arpa
IP ARP:Overwriting Sticky ARP entry 11.1.3.30, hw:00d0.bb09.266e by
hw:0000.5403.2356Второй способ – выполнить команду no ip sticky-arp в ПО Cisco IOS версии 12.1(11b)E и более поздних.
Есть вопросы?
Обращайтесь в "Аквилон-А", чтобы узнать подробности и получить именно то, что вам требуется.Чтобы связаться с нашими менеджерами, Вы можете:
сделать заказ, задать любой вопрос
позвонить по телефону 977 422-05-25 (многоканальный) - Проверьте правильность конфигурации случайного порта.