Руководство по настройке коммутаторов Cisco Catalyst для частных VLAN

Конфигурация изолированных частных VLAN на коммутаторах Содержание Введение Предварительные условия Требования Используемые компоненты Условные обозначения Базовые сведения Правила и ограничения Конфигурация Схема сети Конфигурация первичных и изолированных сетей VLAN Назначение портов для частных сетей VLAN Конфигурация уровня 3 Конфигурации Частные сети VLAN в нескольких коммутаторах Проверка Поиск и устранение неполадок Поиск и устранение неполадок в частных сетях VLAN Дополнительные сведения Введение В некоторых случаях необходимо предотвратить соединение уровня 2 (L2) между устройствами на коммутаторе, не поместив устройства в разные подсети IP.

С помощью данной установки можно предотвратить потерю IP-адресов. Частные сети VLAN (PVLAN) изолируют устройства уровня 2 в одной подсети IP. Можно направить порты на коммутаторе только на конкретные порты с шлюзом по умолчанию, резервным сервером или подключенным Cisco LocalDirector. В данном документе описана процедура настройки изолированных сетей PVLAN на коммутаторах Cisco Catalyst с ПО Catalyst OS (CatOS) или Cisco IOS®. Предварительные условия Требования В данном документе предполагается, что сеть уже существует, и с ее помощью можно установить соединение между различными портами в добавление к PVLAN.

Если в наличии есть несколько коммутаторов, убедитесь, магистраль между ними функционирует правильно и позволяет работать сетям PVLAN на магистрали. Не все коммутаторы и версии программного обеспечения поддерживают частные VLAN. Чтобы определить, поддерживает ли платформа или версия ПО сети PVLAN перед началом конфигурации, см. раздел Матрица поддержки коммутаторов Catalyst на частных сетях VLAN. Примечание. Некоторые коммутаторы (как указано в разделе Матрица поддержки коммутаторов Catalyst на частных сетях VLAN) поддерживают только функцию Edge сетей PVLAN. Термин "защищенные порты" также относится в данной функции.

На портах Edge сетей PVLAN есть ограничение, которое предотвращает связь с другими защищенными портами на одном коммутаторе. Однако защищенные порты на отдельных коммутаторах могут взаимодействовать друг с другом. Следует различать данную функцию с конфигурацией обычной PVLAN, которая отображена в данном документе. Дополнительные сведения о защищенных портах см. в разделе Конфигурация безопасности порта документа Конфигурация контроля трафика на уровне порта.

Стр. 1

Используемые компоненты Сведения, содержащиеся в данном документе, касаются следующих версий программного и аппаратного обеспечения. Коммутатор Catalyst 4003 с модулем управления 2, который использует CatOS версии 6.3(5) Коммутатор Catalyst 4006 с модулем управления 3, который использует ПО Cisco IOS версии 12.1(12c)EW1 Данные для документа были получены в специально созданных лабораторных условиях. Все устройства, используемые в этом документе, были запущены с чистой (заданной по умолчанию) конфигурацией. Если ваша сеть работает в реальных условиях, убедитесь, что вы понимаете потенциальное воздействие каждой команды.

Условные обозначения Дополнительную информацию о применяемых в документе обозначениях см. в документе Условные обозначения, используемые в технической документации Cisco. Теоретические сведения PVLAN – это VLAN с конфигурацией для изоляции уровня 2 от других портов с таким же доменом широковещательной рассылки или подсетью. Можно назначить особый набор портов в PVLAN и таким образом контролировать доступ к портам на уровне 2. А также можно настроить сети PVLAN и обычные VLAN на одном коммутаторе. Существует три типа портов PVLAN: случайный, изолированный и общий. Случайный порт взаимодействует с другими портами PVLAN.

Изолированный порт – это порт, который используют для взаимодействия с внешними маршрутизаторами, LocalDirectors, устройствами управления сетью, резервными серверами, административными рабочими станциями и другими устройствами. На других коммутаторах порт для модуля маршрутизатора (например плата многоуровневой коммутации [MSFC]) должен быть случайным. На изолированном порте есть полное разделение уровня 2 от других портов с такой же PVLAN. Данное разделение содержит широковещательные рассылки. Исключением является только случайный порт. Разрешение конфиденциальности на уровне 2 присутствует в блоке исходящего трафика ко всем изолированным портам.

Трафик, приходящий из изолированного порта, направляется только на все изолированные порты. Общие порты могут взаимодействовать друг с другом и со случайными портами. У данных портов есть изоляция уровня 2 от других портов в других сообществах или от изолированных портов в сети PVLAN. Рассылки распространяются только между связанными портами сообщества и разнородными портами. Примечание. В данном документе не описана конфигурация VLAN сообществ. Дополнительные сведения о сетях PVLAN см. в разделе Конфигурация частных сетей VLAN документа Общие сведения и конфигурация сетей VLAN.

Правила и ограничения В данном разделе представлены правила и ограничения, которым необходимо следовать перед внедрением сетей PVLAN. Более полный список см. в разделе Рекомендации по конфигурации частных сетей VLAN документа Конфигурация сетей VLAN. PVLAN не могут включать в себя сети VLAN 1 или 1002-1005. Необходимо установить режим протокола VTP на transparent . Можно только задать одну изолированную VLAN для основной VLAN.

Стр. 2

Можно только назначить VLAN в качестве PVLAN, если у данной VLAN есть назначения текущих портов доступа. Удалите порты в данной сети VLAN перед преобразованием VLAN в PVLAN. Не настраивайте порты PVLAN как EtherChannels. Из-за ограничений аппаратного обеспечения модули коммутаторов Catalyst 6500/6000 Fast Ethernet ограничивают конфигурацию изолированного или общего порта VLAN, если порт в специализированной интегральной схеме одного COIL (ASIC) представляет собой следующее. Магистраль Назначение анализатора коммутируемого порта (SPAN) Случайный порт PVLAN В следующей таблице отображен диапазон портов, которые относятся к одной ASIC на модулях Catalyst 6500/6000 FastEthernet.

С помощью команды show pvlan capability (CatOS) также отображается возможность преобразования порта в порт PVLAN. В ПО Cisco IOS нет эквивалентной команды. Если удалить VLAN, которая используется в конфигурации PVLAN, порты, связанные с VLAN станут неактивными. Настройте интерфейсы VLAN уровня 3 (L3) только для первичных VLAN. Интерфейсы VLAN для изолированных и общих VLAN являются неактивными, если в сети VLAN проходит процесс конфигурации изолированных или общих VLAN. Дополнительные сведения см. в разделе Конфигурация частных сетей VLAN. Можно расширить сети PVLAN среди коммутаторов с помощью магистралей. Примечание.

Необходимо вручную вводить конфигурацию одной PVLAN на каждом коммутаторе, так как VTP в режиме transparent не предоставляет данные сведения. Конфигурация В этом разделе предоставляются сведения по конфигурации функций, описанных в данном документе. Примечание. Чтобы получить дополнительную информацию о применяемых в данном документе командах, используйте Средство поиска команд ( только для зарегистрированных пользователей ). Схема сети В данном документе используется следующая схема сети. Модуль Порты по ASIC WS-X6224-100FX-MT, WS-X6248-RJ-45, WS- X6248-TEL Порты 1-12, 13-24, 25-36, 37-48 WS-X6024-10FL-MT Порты 1-12, 13-24 WS-X6548-RJ-45, WS-X6548-RJ-21 Порты 1-48

Стр. 3

В данном сценарии в устройствах в изолированной VLAN (101) есть ограничения от взаимодействия на уровне 2 друг с другом. Однако устройства не могут подключаться к Интернету. Кроме того, у порта Gig 3/26 на 4006 случайное назначение. Данная дополнительная конфигурация позволяет устройству на порте GigabitEthernet 3/26 соединиться с устройствами в изолированной VLAN. С помощью данной конфигурации также можно, например, делать резервную копию данных от всех устройств хостов PVLAN до рабочей станции администрирования. Другое использование случайных портов подразумевает соединение с внешним маршрутизатором, LocalDirector, устройством управления сетью и другими устройствами.

Конфигурация первичных и изолированных сетей VLAN Чтобы создать первичные и вторичные сети VLAN, а также связать различные порты с данными VLAN, выполните следующие действия. В данных действиях описаны примеры ПО CatOS и Cisco IOS. Выполните соответствующий набор команд для установки OS. Создайте первичную PVLAN. 1. CatOS Switch_CatOS> (enable) set vlan primary_vlan_id pvlan-type primary name primary_vlan !--- Примечание. Эта команда должна вводиться в одной строке. VTP advertisements transmitting temporarily stopped, and will resume after the command finishes.

Vlan 100 configuration successful Программное обеспечение Cisco IOS Switch_IOS(config)# vlan primary_vlan_id Switch_IOS(config-vlan)# private-vlan primary Switch_IOS(config-vlan)# name primary-vlan Switch_IOS(config-vlan)# exit

Стр. 4