挨踢茶馆

  • 首页
  • AWS
  • 网络技术
    • 思科语音
    • 路由交换
  • 给我留言
  • 关于我
挨踢茶馆
专注于网络技术、云计算的技术博客
  1. 首页
  2. 信息安全
  3. 正文

Private Vlan简介及配置实例

2012 年 6 月 25 日 15302点热度 0人点赞 1条评论

  作为CCNP Switch中的一个课程,也是网络二层交换技术的一个安全机制,PVLAN(Private Vlan)是必不可少的一项了。PVLAN提供了一种二层隔离的手段,能让指定Vlan内用户互相隔离(Isolated Vlan),但是能分别对外访问;或者同一VLAN互相能访问(Community Vlan),也能对外访问。下面挨踢小茶详细介绍下这种技术。

 什么情况下需要配置Private Vlan?

  其实在大型的网络拓扑环境中,PVLAN的用处是比较小的,这项功能一般只适用于比较特殊的环境, 为了安全考虑而实施的策略,特别适用于存在于DMZ区域的服务器集群。如图所示,下面是一个简化版本的网络拓扑结构,存在1个路由器网关,一个交换机和4台服务器。一般企业中服务器可能是仅对内的,也可能是对内对外一起使用的,这就可能存在安全隐患:万一别人攻破了对外的服务器,可以利用这个服务器当跳板,攻陷内网服务器甚至整个内网数据。Private Vlan提供了一种安全的机制,能让如图中的Mailserver 1和Mailserver2在不影响外部访问的情况下,互相无法访问对方。而另一边的Webserver和DB server则能互访。

pvlandiag

其中PVLAN存在3种可配置的接口模式:

  1. Promiscuous ports :这是PVLAN的开放端口,能和所有其他端口进行无阻碍的通信
  2. Community ports:这种接口能和其他community口或者promiscuous口进行通信
  3. Isolated ports:只能和promiscuous口进行通信

配置实例

  首先把交换机的VTP模式更改为透明模式(Transparent mode),然后再全局配置模式下创建Vlan并且赋予Private Vlan身份(primary, community或者isolated),然后关联这几个Vlan。

vlan 50
private-vlan primary
!
vlan 51
private-vlan community
!
vlan 52
private-vlan isolated
!
vlan 50
private-vlan association 51,52

针对不同接口配置不同的接口模式。

interface Gi0/5
switchport mode private-vlan host
switchport private-vlan host-association 50 51
!
interface Gi0/6
switchport mode private-vlan host
switchport private-vlan host-association 50 51
!
interface Gi0/7
switchport mode private-vlan host
switchport private-vlan host-association 50 52
!
interface Gi0/8
switchport mode private-vlan host
switchport private-vlan host-association 50 52
!
interface Gi0/1
switchport mode private-vlan promiscuous
switchport private-vlan mapping 50 add 51,52

配置结果

CORE#sh vlan private-vlan

Primary Secondary Type Ports
------- --------- ----------------- ---------------------
50 51 community Gi0/5, Gi0/6, Gi0/1
50 52 isolated Gi0/7, Gi0/8, Gi0/1

CORE#sh vlan private-vlan type

Vlan Type
---- -----------------
50 primary
51 community
52 isolated

参考:http://blog.alwaysthenetwork.com/tutorials/private-vlan-tutorial/

更详细的PVLAN技术请浏览Securing Networks with Private VLANs and VLAN Access Control Lists

标签: PVLAN
最后更新:2012 年 6 月 24 日

挨踢小茶

网络工程师/云计算架构师/云步道师/摄影爱好者

点赞
< 上一篇
下一篇 >

文章评论

  • 义乌货运

    网络知识,看不太懂

    2012 年 6 月 25 日
    回复
  • razz evil exclaim smile redface biggrin eek confused idea lol mad twisted rolleyes wink cool arrow neutral cry mrgreen drooling persevering
    取消回复

    挨踢小茶

    网络工程师/云计算架构师/云步道师/摄影爱好者

    最新 热点 随机
    最新 热点 随机
    Web3 Social 2023 @深圳 AIGC Prompt 的艺术和模型调优 UWA Day 2022 - 如何通过云计算构架高性能、高可靠、智能化的游戏 一文看懂 Amazon EKS 中的网络规划 利用 Direct Connect Gateway 和 Transit Gateway 打造跨国企业网络环境 SD-WAN 和专线混合组网中的高可用设计 为了加速Wordpress网站我踩过了哪些坑?含泪告诉你 利用 SD-WAN 和专线混合组网,加速境内外企业 IDC 和多云数据中心 运行7年之后博客更新主题 立业不读架构书,阅尽诗书也枉然
    Web3 Social 2023 @深圳
    庆元宵之纪念博客正式成立两个月 PortFast,UplinkFast,BackboneFast介绍及其配置 小米手机将于1月4日13点开放发售10万台 外国小孩因圣诞节礼物不是苹果产品猛骂爹妈 GoDaddy支持SOPA法案,20000用户转域名 GoDaddy承认域名转出在增加,现反对SOPA法案 使用软件VPN,硬件VPN或AWS DirectConnect连接客户网络与AWS [译]2016年的Scale-out架构和新的数据保护功能 辞旧迎新,直面挑战 [译]用识别安全程序锁定Windows系统

    COPYRIGHT © 2012-2023

    Theme Kratos Made By Seaton Jiang

    粤ICP备12007665号-1