目  录

1 VLAN

1.1 VLAN简介

1.1.1 VLAN概述

1.1.2 VLAN报文封装

1.1.3 协议规范

1.2 配置VLAN基本属性

1.3 配置VLAN接口基本属性

1.4 配置基于端口的VLAN

1.4.1 基于端口的VLAN简介

1.4.2 配置基于Access端口的VLAN

1.4.3 配置基于Trunk端口的VLAN

1.4.4 配置基于Hybrid端口的VLAN

1.5 配置基于IP子网的VLAN

1.5.1 基于IP子网的VLAN简介

1.5.2 配置基于IP子网的VLAN

1.6 配置基于协议的VLAN

1.6.1 基于协议的VLAN简介

1.6.2 配置基于协议的VLAN

1.7 VLAN显示和维护

1.8 基于端口的VLAN典型配置举例

1.9 基于IP子网的VLAN典型配置举例

1.10 基于协议的VLAN典型配置举例

2 Private VLAN

2.1 Private VLAN简介

2.2 配置Private VLAN

2.3 Private VLAN显示和维护

2.4 Private VLAN典型配置举例一

2.5 Private VLAN典型配置举例二

2.6 Private VLAN典型配置举例三

2.7 Private VLAN典型配置举例四

 

1 VLAN

1.1  VLAN简介

1.1.1  VLAN概述

以太网是一种基于CSMA/CD（Carrier Sense Multiple Access/Collision Detect，带冲突检测的载波侦听多路访问）技术的共享通讯介质。采用以太网技术构建的局域网，既是一个冲突域，又是一个广播域。当网络中主机数目较多时会导致冲突严重、广播泛滥、性能显著下降，甚至网络不可用等问题。通过在以太网中部署网桥或二层交换机，可以解决冲突严重的问题，但仍然不能隔离广播报文。在这种情况下出现了VLAN（Virtual Local Area Network，虚拟局域网）技术，这种技术可以把一个物理LAN划分成多个逻辑的LAN——VLAN。处于同一VLAN的主机能直接互通，而处于不同VLAN的主机则不能直接互通。这样，广播报文被限制在同一个VLAN内，即每个VLAN是一个广播域。如图1-1所示，VLAN 2内的主机可以互通，但与VLAN 5内的主机不能互通。

图1-1 VLAN示意图

 

VLAN的划分不受物理位置的限制：物理位置不在同一范围的主机可以属于同一个VLAN；一个VLAN包含的主机可以连接在同一个交换机上，也可以跨越交换机，甚至可以跨越路由器。

VLAN根据划分方式不同可以分为不同类型。基于端口划分VLAN是其中最简单、最有效的VLAN划分方式。它按照设备端口来定义VLAN成员，将指定端口加入到指定VLAN中之后，端口就可以转发该VLAN的报文。本章将介绍基于端口的VLAN。

VLAN的优点如下：

·     限制广播域。广播域被限制在一个VLAN内，节省了带宽，提高了网络处理能力。

·     增强局域网的安全性。VLAN间的二层报文是相互隔离的，即一个VLAN内的主机不能和其他VLAN内的主机直接通信，如果不同VLAN要进行通信，则需通过路由器或三层交换机等三层设备。

·     灵活构建虚拟工作组。通过VLAN可以将不同的主机划分到不同的工作组，同一工作组的主机可以位于不同的物理位置，网络构建和维护更方便灵活。

1.1.2  VLAN报文封装

要使网络设备能够分辨不同VLAN的报文，需要在报文中添加标识VLAN的字段。IEEE 802.1Q协议规定，在以太网报文的目的MAC地址和源MAC地址字段之后、协议类型字段之前加入4个字节的VLAN Tag，用以标识VLAN的相关信息。

图1-2 VLAN Tag的组成字段

 

如图1-2所示，VLAN Tag包含四个字段，分别是TPID（Tag Protocol Identifier，标签协议标识符）、Priority、CFI（Canonical Format Indicator，标准格式指示位）和VLAN ID。

·     TPID：用来表示报文是否带有VLAN Tag，长度为16比特，缺省情况下，TPID取值为0x8100，但各设备厂商可以自定义该字段的值。当邻居设备将TPID值配置为非0x8100时，为了能够识别这样的报文，实现互通，必须在本设备上修改TPID值，确保和邻居设备的TPID值配置一致。如果报文的TPID值为配置值或0x8100，则该报文被认为带有VLAN Tag。配置TPID值的相关命令请参见“二层技术-以太网交换命令参考”中的“QinQ”。

·     Priority：用来表示报文的802.1p优先级，长度为3比特，相关内容请参见“ACL和QoS配置指导\QoS”中的“附录”。

·     CFI：用来表示MAC地址在不同的传输介质中是否以标准格式进行封装，长度为1比特。取值为0表示MAC地址以标准格式进行封装，为1表示以非标准格式封装。在以太网中，CFI取值为0。

·     VLAN ID：用来表示该报文所属VLAN的编号，长度为12比特。由于0和4095为协议保留取值，所以VLAN ID的取值范围为1～4094。

网络设备根据报文是否携带VLAN Tag以及携带的VLAN Tag信息，来对报文进行处理，利用VLAN ID来识别报文所属的VLAN。详细的处理方式请参见“1.4.1  基于端口的VLAN简介”。

 

1.1.3  协议规范

与VLAN相关的协议规范有：

·     IEEE 802.1Q：IEEE Standard for Local and Metropolitan Area Networks-Virtual Bridged Local Area Networks

1.2  配置VLAN基本属性

表1-1 配置VLAN基本属性

配置	命令	说明
进入系统视图	system-view	-
（可选）创建一个VLAN并进入VLAN视图，或批量创建VLAN	vlan { vlan-id1 [ to vlan-id2 ] | all }	缺省情况下，系统只有一个缺省VLAN（VLAN 1）
进入VLAN视图	vlan vlan-id	批量创建VLAN时，为必选；否则，无需执行本命令
指定当前VLAN的名称	name text	缺省情况下，VLAN的名称为“VLAN vlan-id”，其中vlan-id为该VLAN的编号。例如，VLAN 100的名称为“VLAN 0100”
配置当前VLAN的描述信息	description text	缺省情况下，VLAN的描述信息为“VLAN vlan-id”，其中vlan-id为该VLAN的编号。例如，VLAN 100的描述信息为“VLAN 0100”

 

 

1.3  配置VLAN接口基本属性

不同VLAN间的主机不能直接通信，通过在设备上配置VLAN接口，可以实现VLAN间的三层互通。

VLAN接口是一种三层的虚拟接口，它不作为物理实体存在于设备上。每个VLAN对应一个VLAN接口，在为VLAN接口配置了IP地址后，该IP地址即可作为本VLAN内网络设备的网关地址，对需要跨网段的报文进行基于IP地址的三层转发。

配置VLAN接口基本属性时，需要注意：

·     在创建VLAN接口之前，对应的VLAN必须已经存在，否则将不能创建指定的VLAN接口。

·     在Primary VLAN interface下配置了三层互通的Secondary VLAN不能创建对应的VLAN接口。有关Secondary VLAN的详细介绍，请参见“二层技术-以太网交换配置指导”中的“Private VLAN”。

表1-2 配置VLAN接口基本属性

配置	命令	说明
进入系统视图	system-view	-
创建VLAN接口并进入VLAN接口视图	interface vlan-interface vlan-interface-id	如果该VLAN接口已经存在，则直接进入该VLAN接口视图 缺省情况下，未创建VLAN接口
配置VLAN接口的IP地址	ip address ip-address { mask | mask-length } [ sub ]	缺省情况下，未配置VLAN接口的IP地址
配置当前VLAN接口的描述信息	description text	缺省情况下，VLAN接口的描述信息为该VLAN接口的接口名，如“Vlan-interface1 Interface”
（可选）指定转发当前接口流量的成员设备	service slot slot-number	缺省情况下，没有指定转发当前接口流量的成员设备
配置VLAN接口的MTU值	mtu size	缺省情况下，VLAN接口的MTU值为1500字节
（可选）配置VLAN接口的期望带宽	bandwidth bandwidth-value	缺省情况下，接口的期望带宽＝接口的波特率÷1000（kbit/s）
（可选）恢复当前VLAN接口的缺省配置	default	-
（可选）取消手工关闭VLAN接口	undo shutdown	缺省情况下，未手工关闭VLAN接口。此时VLAN接口状态受VLAN中端口状态的影响，即：当VLAN中所有以太网端口状态均为down时，VLAN接口为down状态，即关闭状态；当VLAN中有一个或一个以上的以太网端口处于up状态时，则VLAN接口处于up状态

 

1.4  配置基于端口的VLAN

1.4.1  基于端口的VLAN简介

基于端口划分VLAN是最简单、最有效的VLAN划分方法。它按照设备端口来定义VLAN成员，将指定端口加入到指定VLAN中之后，端口就可以转发该VLAN的报文。

1. 端口的链路类型

根据端口在转发报文时对VLAN Tag的不同处理方式，可将端口的链路类型分为三种：

·     Access：端口只能发送一个VLAN的报文，发出去的报文不带VLAN Tag。一般用于和不能识别VLAN Tag的用户终端设备相连，或者不需要区分不同VLAN成员时使用。

·     Trunk：端口能发送多个VLAN的报文，发出去的端口缺省VLAN的报文不带VLAN Tag，其他VLAN的报文都必须带VLAN Tag。通常用于网络传输设备之间的互连。

·     Hybrid：端口能发送多个VLAN的报文，端口发出去的报文可根据需要配置某些VLAN的报文带VLAN Tag，某些VLAN的报文不带VLAN Tag。在一些应用场景下，需要使用Hybrid端口的功能。比如在1：2 VLAN映射中，服务提供商网络的多个VLAN的报文在进入用户网络前，需要剥离外层VLAN Tag，此时Trunk端口不能实现该功能，因为Trunk端口只能使该端口缺省VLAN的报文不带VLAN Tag通过。有关1：2 VLAN映射的详细介绍，请参见“二层技术-以太网交换配置指导”中的“VLAN映射”。

2. 端口缺省VLAN

除了可以设置端口允许通过的VLAN外，还可以设置端口的缺省VLAN，即端口VLAN ID（Port VLAN ID，PVID）。在缺省情况下，所有端口的缺省VLAN均为VLAN 1，但用户可以根据需要进行配置。

·     Access端口的缺省VLAN就是它所在的VLAN。

·     Trunk端口和Hybrid端口可以允许多个VLAN通过，能够配置缺省VLAN。

·     当执行undo vlan命令删除的VLAN是某个端口的缺省VLAN时，对Access端口，端口的缺省VLAN会恢复到VLAN 1；对Trunk或Hybrid端口，端口的缺省VLAN配置不会改变，即它们可以使用已经不存在的VLAN作为缺省VLAN。

 

3. 端口对报文的处理方式

在配置了端口链路类型和缺省VLAN后，端口对报文的接收和发送的处理有几种不同情况，具体情况请参看表1-3。

表1-3 不同链路类型端口收发报文的差异

端口类型	对接收报文的处理		对发送报文的处理
	当接收到的报文不带Tag时	当接收到的报文带有Tag时
Access端口	为报文添加端口缺省VLAN的Tag	·     当报文的VLAN ID与端口的缺省VLAN ID相同时，接收该报文 ·     当报文的VLAN ID与端口的缺省VLAN ID不同时，丢弃该报文	去掉Tag，发送该报文
Trunk端口	·     当端口的缺省VLAN ID在端口允许通过的VLAN ID列表里时，接收该报文，给报文添加端口缺省VLAN的Tag ·     当端口的缺省VLAN ID不在端口允许通过的VLAN ID列表里时，丢弃该报文	·     当报文的VLAN ID在端口允许通过的VLAN ID列表里时，接收该报文 ·     当报文的VLAN ID不在端口允许通过的VLAN ID列表里时，丢弃该报文	·     当报文的VLAN ID与端口的缺省VLAN ID相同，且是该端口允许通过的VLAN ID时：去掉Tag，发送该报文 ·     当报文的VLAN ID与端口的缺省VLAN ID不同，且是该端口允许通过的VLAN ID时：保持原有Tag，发送该报文
Hybrid端口			当报文的VLAN ID是端口允许通过的VLAN ID时，发送该报文，并可以通过port hybrid vlan命令配置端口在发送该VLAN（包括缺省VLAN）的报文时是否携带Tag

 

1.4.2  配置基于Access端口的VLAN

配置基于Access端口的VLAN有两种方法：一种是在VLAN视图下进行配置，另一种是在接口视图下进行配置。

表1-4 配置基于Access端口的VLAN（在VLAN视图下）

配置	命令	说明
进入系统视图	system-view	-
进入VLAN视图	vlan vlan-id	-
向当前VLAN中添加一个或一组Access端口	port interface-list	缺省情况下，系统将所有端口都加入到VLAN 1

 

表1-5 配置基于Access端口的VLAN（在接口视图下）

操作		命令	说明
进入系统视图		system-view	-
进入相应视图	二层以太网接口视图	interface interface-type interface-number	·     进入二层以太网接口视图后，下面进行的配置只在当前接口下生效 ·     进入二层聚合接口视图后，下面进行的配置将在二层聚合接口以及相应的所有成员端口下生效。在配置过程中，如果某个成员端口配置失败，系统会自动跳过该成员端口继续配置其他成员端口；如果二层聚合接口配置失败，则不会再配置成员端口 ·     进入S通道接口视图/S通道聚合接口视图后，下面进行的配置只在当前接口下生效。有关S通道接口的详细介绍，请参见“EVB配置指导”中的“EVB”
	二层聚合接口视图	interface bridge-aggregation interface-number
	S通道接口视图	interface s-channel interface-number.channel-id
	S通道聚合接口视图	interface schannel-aggregation interface-number:channel-id
配置端口的链路类型为Access类型		port link-type access	缺省情况下，端口的链路类型为Access
将当前Access端口加入到指定VLAN		port access vlan vlan-id	缺省情况下，所有Access端口都属于VLAN 1 在将Access端口加入到指定VLAN之前，该VLAN必须已经存在

 

1.4.3  配置基于Trunk端口的VLAN

Trunk端口可以允许多个VLAN通过，只能在接口视图下进行配置。

配置基于Trunk端口的VLAN时，需要注意：

·     Trunk端口和Hybrid端口之间不能直接切换，只能先设为Access端口，再设置为其他类型端口。

·     配置缺省VLAN后，必须使用port trunk permit vlan命令配置允许缺省VLAN的报文通过，出接口才能转发缺省VLAN的报文。

表1-6 配置基于Trunk端口的VLAN

操作		命令	说明
进入系统视图		system-view	-
进入相应视图	二层以太网接口视图	interface interface-type interface-number	·     进入二层以太网接口视图后，下面进行的配置只在当前接口下生效 ·     进入二层聚合接口视图后，下面进行的配置将在二层聚合接口以及相应的所有成员端口下生效。在配置过程中，如果某个成员端口配置失败，系统会自动跳过该成员端口继续配置其他成员端口；如果二层聚合接口配置失败，则不会再配置成员端口 ·     进入S通道接口视图/S通道聚合接口视图后，下面进行的配置只在当前接口下生效
	二层聚合接口视图	interface bridge-aggregation interface-number
	S通道接口视图	interface s-channel interface-number.channel-id
	S通道聚合接口视图	interface schannel-aggregation interface-number:channel-id
配置端口的链路类型为Trunk类型		port link-type trunk	缺省情况下，端口的链路类型为Access类型
允许指定的VLAN通过当前Trunk端口		port trunk permit vlan { vlan-id-list | all }	缺省情况下，Trunk端口只允许VLAN 1的报文通过
（可选）设置Trunk端口的缺省VLAN		port trunk pvid vlan vlan-id	缺省情况下，Trunk端口的缺省VLAN为VLAN 1

 

1.4.4  配置基于Hybrid端口的VLAN

Hybrid端口可以允许多个VLAN通过，只能在接口视图下进行配置。

配置基于Hybrid端口的VLAN时，需要注意：

·     Hybrid端口和Trunk端口之间不能直接切换，只能先设为Access端口，再设置为其他类型端口。

·     在设置允许指定的VLAN通过Hybrid端口之前，允许通过的VLAN必须已经存在。

·     配置缺省VLAN后，必须使用port hybrid vlan命令配置允许缺省VLAN的报文通过，出接口才能转发缺省VLAN的报文。

表1-7 配置基于Hybrid端口的VLAN

操作		命令	说明
进入系统视图		system-view	-
进入相应视图	二层以太网接口视图	interface interface-type interface-number	·     进入二层以太网接口视图后，下面进行的配置只在当前接口下生效 ·     进入二层聚合接口视图后，下面进行的配置将在二层聚合接口以及相应的所有成员端口下生效。在配置过程中，如果某个成员端口配置失败，系统会自动跳过该成员端口继续配置其他成员端口；如果二层聚合接口配置失败，则不会再配置成员端口 ·     进入S通道接口视图S通道聚合接口视图后，下面进行的配置只在当前接口下生效
	二层聚合接口视图	interface bridge-aggregation interface-number
	S通道接口视图	interface s-channel interface-number.channel-id
	S通道聚合接口视图	interface schannel-aggregation interface-number:channel-id
配置端口的链路类型为Hybrid类型		port link-type hybrid	缺省情况下，端口的链路类型为Access类型
允许指定的VLAN通过当前Hybrid端口		port hybrid vlan vlan-id-list { tagged | untagged }	缺省情况下，Hybrid端口只允许VLAN 1的报文以Untagged方式通过（即VLAN 1的报文从该端口发送出去后不携带VLAN Tag）
（可选）设置Hybrid端口的缺省VLAN		port hybrid pvid vlan vlan-id	缺省情况下，Hybrid端口的缺省VLAN为VLAN 1

 

1.5  配置基于IP子网的VLAN

 

1.5.1  基于IP子网的VLAN简介

基于IP子网的VLAN（简称子网VLAN）是根据报文源IP地址及子网掩码来进行划分的。设备从端口收到Untagged报文后，会根据报文的源IP地址来确定报文所属的VLAN，然后将报文自动划分到指定VLAN中传输。

此特性主要用于将指定网段或IP地址的报文划分到指定的VLAN中传送。

1.5.2  配置基于IP子网的VLAN

表1-8 配置基于IP子网的VLAN

操作		命令	说明
进入系统视图		system-view	-
进入VLAN视图		vlan vlan-id	如果指定的VLAN不存在，则该命令先完成VLAN的创建，然后再进入该VLAN的视图
配置当前VLAN与指定的IP子网或IP地址关联		ip-subnet-vlan [ ip-subnet-index ] ip ip-address [ mask ]	缺省情况下，VLAN没有与任何IP子网或IP地址关联 VLAN关联的IP网段或IP地址不允许是组播网段或组播地址
退回系统视图		quit	-
进入相应视图	二层以太网接口视图	interface interface-type interface-number	·     进入二层以太网接口视图后，下面进行的配置只在当前接口下生效 ·     进入二层聚合接口视图后，下面进行的配置将在二层聚合接口以及相应的所有成员端口下生效。在配置过程中，如果某个成员端口配置失败，系统会自动跳过该成员端口继续配置其他成员端口；如果二层聚合接口配置失败，则不会再配置成员端口
	二层聚合接口视图	interface bridge-aggregation interface-number
配置当前端口的链路类型为Hybrid类型		port link-type hybrid	缺省情况下，所有端口的链路类型均为Access类型
允许子网VLAN通过当前端口		port hybrid vlan vlan-id-list { tagged | untagged }	缺省情况下，Hybrid端口只允许VLAN 1的报文以Untagged方式通过，即VLAN 1的报文从该端口发送出去后不携带VLAN Tag
配置当前端口与子网VLAN关联		port hybrid ip-subnet-vlan vlan vlan-id	缺省情况下，端口没有与任何子网VLAN关联

 

1.6  配置基于协议的VLAN

 

1.6.1  基于协议的VLAN简介

基于协议的VLAN（简称协议VLAN）是根据端口接收到的报文所属的协议（族）类型以及封装格式来给报文分配不同的VLAN ID。可用来划分VLAN的协议有IP、IPX、AT（AppleTalk，Apple计算机网络协议），封装格式有Ethernet II、802.3 raw、802.2 LLC、802.2 SNAP等。

“协议类型＋封装格式”又称为协议模板，一个协议VLAN下可以绑定多个协议模板，不同的协议模板再用协议索引（protocol-index）来区分。因此，一个协议模板可以用协议vlan-id和protocol-index来唯一标识。然后通过命令行将协议vlan-id和protocol-index与端口绑定。

端口对收到的Untagged报文会做如下处理：

·     如果该报文携带的协议类型和封装格式与协议vlan-id和protocol-index标识的协议模板相匹配，则为其添加协议vlan-id的VLAN Tag。

·     如果该报文携带的协议类型和封装格式与协议vlan-id和protocol-index标识的协议模板不匹配，则为其添加PVID的VLAN Tag。

端口对收到的Tagged报文（携带VLAN Tag的报文），处理方式和基于端口的VLAN一样：如果端口允许该VLAN的报文通过，则正常转发；如果不允许，则丢弃该报文。

此特性主要应用于将网络中提供的服务类型与VLAN相关联，方便管理和维护。

1.6.2  配置基于协议的VLAN

表1-9 配置基于协议的VLAN

操作		命令	说明
进入系统视图		system-view	-
进入VLAN视图		vlan vlan-id	如果指定的VLAN不存在，则该命令先完成VLAN的创建，然后再进入该VLAN的视图
配置当前VLAN与指定的协议模板关联		protocol-vlan [ protocol-index ] { at | ipv4 | ipv6 | ipx { ethernetii | llc | snap } | mode { ethernetii etype etype-id | llc { dsap dsap-id [ ssap ssap-id ] | ssap ssap-id } | snap etype etype-id } }	缺省情况下，当前VLAN没有与任何协议模板关联
退出VLAN视图		quit	-
进入相应视图	二层以太网接口视图	interface interface-type interface-number	·     进入二层以太网接口视图后，下面进行的配置只在当前接口下生效 ·     进入二层聚合接口视图后，下面进行的配置将在二层聚合接口以及相应的所有成员端口下生效。在配置过程中，如果某个成员端口配置失败，系统会自动跳过该成员端口继续配置其他成员端口；如果二层聚合接口配置失败，则不会再配置成员端口
	二层聚合接口视图	interface bridge-aggregation interface-number
配置当前端口的链路类型为Hybrid类型		port link-type hybrid	缺省情况下，所有端口的链路类型均为Access类型
允许协议VLAN通过当前端口		port hybrid vlan vlan-id-list { tagged | untagged }	缺省情况下，Hybrid端口只允许VLAN 1的报文以Untagged方式通过，即VLAN 1的报文从该端口发送出去后不携带VLAN Tag
配置当前端口与协议VLAN关联		port hybrid protocol-vlan vlan vlan-id { protocol-index [ to protocol-end ] | all }	缺省情况下，端口没有与任何协议VLAN关联

 

1.7  VLAN显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后VLAN的运行情况，通过查看显示信息验证配置的效果。

表1-10 VLAN显示和维护

操作	命令
显示VLAN接口相关信息	display interface [ vlan-interface ] [ brief [ down ] ] display interface [ vlan-interface [ interface-number ] ] [ brief [ description ] ]
显示端口关联的子网VLAN的信息	display ip-subnet-vlan interface { interface-type interface-number1 [ to interface-type interface-number2 ] | all }
显示指定的或所有子网VLAN的信息	display ip-subnet-vlan vlan { vlan-id1 [ to vlan-id2 ] | all }
显示端口关联的协议VLAN的信息	display protocol-vlan interface { interface-type interface-number1 [ to interface-type interface-number2 ] | all }
显示指定的或所有协议VLAN的信息	display protocol-vlan vlan { vlan-id1 [ to vlan-id2 ] | all }
显示VLAN相关信息	display vlan [ vlan-id1 [ to vlan-id2 ] | all | dynamic | reserved | static ]
显示设备上当前存在的Hybrid或Trunk端口	display port { hybrid | trunk }

 

1.8  基于端口的VLAN典型配置举例

1. 组网需求

·     Host A和Host C属于部门A，但是通过不同的设备接入公司网络；Host B和Host D属于部门B，也通过不同的设备接入公司网络。

·     为了通信的安全性，也为了避免广播报文泛滥，公司网络中使用VLAN技术来隔离部门间的二层流量。其中部门A使用VLAN 100，部门B使用VLAN 200。

·     现要求不管是否使用相同的设备接入公司网络，同一VLAN内的主机能够互通，即Host A和Host C能够互通，Host B和Host D能够互通。

2. 组网图

图1-3 基于端口的VLAN组网图

 

3. 配置步骤

(1)     配置Device A

# 创建VLAN 100，并将Ten-GigabitEthernet1/0/1加入VLAN 100。

<DeviceA> system-view

[DeviceA] vlan 100

[DeviceA-vlan100] port ten-gigabitethernet 1/0/1

[DeviceA-vlan100] quit

# 创建VLAN 200，并将Ten-GigabitEthernet1/0/2加入VLAN 200。

[DeviceA] vlan 200

[DeviceA-vlan200] port ten-gigabitethernet 1/0/2

[DeviceA-vlan200] quit

# 为了使Device A上VLAN 100和VLAN 200的报文能发送给Device B，将Ten-GigabitEthernet1/0/3的链路类型配置为Trunk，并允许VLAN 100和VLAN 200的报文通过。

[DeviceA] interface ten-gigabitethernet 1/0/3

[DeviceA-Ten-GigabitEthernet1/0/3] port link-type trunk

[DeviceA-Ten-GigabitEthernet1/0/3] port trunk permit vlan 100 200

(2)     Device B上的配置与Device A上的配置相同，不再赘述。

(3)     将Host A和Host C配置在一个网段，比如192.168.100.0/24；将Host B和Host D配置在一个网段，比如192.168.200.0/24。

4. 验证配置

(1)     Host A和Host C能够互相ping通，但是均不能ping通Host B。Host B和Host D能够互相ping通，但是均不能ping通Host A。

(2)     通过查看显示信息验证配置是否成功。

# 查看Device A上VLAN 100和VLAN 200的配置信息，验证以上配置是否生效。

[DeviceA-Ten-GigabitEthernet1/0/3] display vlan 100

 VLAN ID: 100

 VLAN type: Static

 Route interface: Not configured

 Description: VLAN 0100

 Name: VLAN 0100

 Tagged ports:

    Ten-GigabitEthernet1/0/3

 Untagged ports:

    Ten-GigabitEthernet1/0/1

[DeviceA-Ten-GigabitEthernet1/0/3] display vlan 200

 VLAN ID: 200

 VLAN type: Static

 Route interface: Not configured

 Description: VLAN 0200

 Name: VLAN 0200

 Tagged ports:

    Ten-GigabitEthernet1/0/3

 Untagged ports:

    Ten-GigabitEthernet1/0/2

1.9  基于IP子网的VLAN典型配置举例

1. 组网需求

如下图所示，办公区的主机属于不同的网段192.168.5.0/24和192.168.50.0/24，Device C在收到来自办公区主机的报文时，根据报文的源IP地址，使来自不同网段主机的报文分别在指定的VLAN中传输。

2. 组网图

图1-4 基于IP子网的VLAN组网图

 

3. 配置思路

创建VLAN100、VLAN200，配置子网与VLAN的关联关系，并配置端口与VLAN的关联关系。

4. 配置步骤

(1)     配置Device C

# 配置子网192.168.5.0/24与VLAN 100关联。

<DeviceC> system-view

[DeviceC] vlan 100

[DeviceC-vlan100] ip-subnet-vlan ip 192.168.5.0 255.255.255.0

[DeviceC-vlan100] quit

# 配置子网192.168.50.0/24与VLAN 200关联。

[DeviceC] vlan 200

[DeviceC-vlan200] ip-subnet-vlan ip 192.168.50.0 255.255.255.0

[DeviceC-vlan200] quit

# 配置端口Ten-GigabitEthernet1/0/11允许通过VLAN 100的报文。

[DeviceC] interface ten-gigabitethernet 1/0/11

[DeviceC-Ten-GigabitEthernet1/0/11] port link-type hybrid

[DeviceC-Ten-GigabitEthernet1/0/11] port hybrid vlan 100 tagged

[DeviceC-Ten-GigabitEthernet1/0/11] quit

# 配置端口Ten-GigabitEthernet1/0/12允许通过VLAN 200的报文。

[DeviceC] interface ten-gigabitethernet 1/0/12

[DeviceC-Ten-GigabitEthernet1/0/12] port link-type hybrid

[DeviceC-Ten-GigabitEthernet1/0/12] port hybrid vlan 200 tagged

[DeviceC-Ten-GigabitEthernet1/0/12] quit

# 配置端口Ten-GigabitEthernet1/0/1和基于IP子网的VLAN 100、VLAN 200关联。

[DeviceC] interface ten-gigabitethernet 1/0/1

[DeviceC-Ten-GigabitEthernet1/0/1] port link-type hybrid

[DeviceC-Ten-GigabitEthernet1/0/1] port hybrid vlan 100 200 untagged

[DeviceC-Ten-GigabitEthernet1/0/1] port hybrid ip-subnet-vlan vlan 100

[DeviceC-Ten-GigabitEthernet1/0/1] port hybrid ip-subnet-vlan vlan 200

[DeviceC-Ten-GigabitEthernet1/0/1] quit

(2)     配置Device A和Device B

配置Device A和Device B允许对应VLAN通过。

5. 显示与验证

# 查看所有子网VLAN的信息。

[DeviceC] display ip-subnet-vlan vlan all

 VLAN ID: 100

  Subnet index      IP address      Subnet mask

  0                 192.168.5.0     255.255.255.0

 

 VLAN ID: 200

  Subnet index      IP address      Subnet mask

  0                 192.168.50.0    255.255.255.0

# 查看端口Ten-GigabitEthernet1/0/1关联的子网VLAN的信息。

[DeviceC] display ip-subnet-vlan interface ten-gigabitethernet 1/0/1

 Interface: Ten-GigabitEthernet1/0/1

  VLAN ID   Subnet index    IP address       Subnet mask       Status

  100       0               192.168.5.0      255.255.255.0     Active

  200       0               192.168.50.0     255.255.255.0     Active

1.10  基于协议的VLAN典型配置举例

1. 组网需求

实验室网络中大部分主机运行IPv4网络协议，另外为了教学需要还布置了IPv6实验局，因此，同时有些主机运行着IPv6网络协议。为了避免互相干扰，现要求基于网络协议将IPv4流量和IPv6流量二层互相隔离。

2. 组网图

图1-5 基于协议的VLAN组网图

 

3. 配置思路

创建VLAN 100及VLAN 200。将VLAN 100与IPv4协议、ARP协议绑定，VLAN 200与IPv6协议绑定，通过协议VLAN来实现IPv4流量和IPv6流量二层互相隔离。

4. 配置步骤

(1)     配置Device

# 创建VLAN 100，将端口Ten-GigabitEthernet1/0/11加入VLAN 100。

<Device> system-view

[Device] vlan 100

[Device-vlan100] description protocol VLAN for IPv4

[Device-vlan100] port ten-gigabitethernet 1/0/11

[Device-vlan100] quit

# 创建VLAN 200，将端口Ten-GigabitEthernet1/0/12加入VLAN 200。

[Device] vlan 200

[Device-vlan200] description protocol VLAN for IPv6

[Device-vlan200] port ten-gigabitethernet 1/0/12

# 将IPv6协议报文划分到VLAN 200中传输。

[Device-vlan200] protocol-vlan 1 ipv6

[Device-vlan200] quit

# 将IPv4协议报文和采用Ethernet II封装格式的ARP协议报文（ARP报文对应的封装格式为Ethernet II）划分到VLAN 100中传输。

[Device] vlan 100

[Device-vlan100] protocol-vlan 1 ipv4

[Device-vlan100] protocol-vlan 2 mode ethernetii etype 0806

[Device-vlan100] quit

# 配置端口Ten-GigabitEthernet1/0/1为Hybrid端口，并在转发VLAN 100和VLAN 200的报文时去掉VLAN Tag。

[Device] interface ten-gigabitethernet 1/0/1

[Device-Ten-GigabitEthernet1/0/1] port link-type hybrid

[Device-Ten-GigabitEthernet1/0/1] port hybrid vlan 100 200 untagged

# 配置端口Ten-GigabitEthernet1/0/1与VLAN 100的协议模板1（即IPv4协议模板）、协议模板2（即ARP协议模板）和VLAN 200的协议模板1（即IPv6协议模板）进行绑定。

[Device-Ten-GigabitEthernet1/0/1] port hybrid protocol-vlan vlan 100 1 to 2

[Device-Ten-GigabitEthernet1/0/1] port hybrid protocol-vlan vlan 200 1

[Device-Ten-GigabitEthernet1/0/1] quit

# 配置端口Ten-GigabitEthernet1/0/2为Hybrid端口，在转发VLAN 100和VLAN 200的报文时去掉VLAN Tag。

[Device] interface ten-gigabitethernet 1/0/2

[Device-Ten-GigabitEthernet1/0/2] port link-type hybrid

[Device-Ten-GigabitEthernet1/0/2] port hybrid vlan 100 200 untagged

# 配置端口Ten-GigabitEthernet1/0/2与VLAN 100的协议模板1（即IPv4协议模板）、协议模板2（即ARP协议模板）和VLAN 200的协议模板1（即IPv6协议模板）进行绑定。

[Device-Ten-GigabitEthernet1/0/2] port hybrid protocol-vlan vlan 100 1 to 2

[Device-Ten-GigabitEthernet1/0/2] port hybrid protocol-vlan vlan 200 1

[Device-Ten-GigabitEthernet1/0/2] quit

(2)     L2 Switch A和L2 Switch B采用缺省配置。

(3)     配置Host和Server

将IPv4 Host A、IPv4 Host B和IPv4 Server配置在一个网段，比如192.168.100.0/24；将IPv6 Host A、IPv6 Host B和IPv6 Server配置在一个网段，比如2001::1/64。

5. 显示与验证

(1)     通过网络状况查看

VLAN 100内的主机和服务器能够互相ping通；VLAN 200内的主机和服务器能够互相ping通。但VLAN 100内的主机/服务器与VLAN 200内的主机/服务器之间会ping失败。

(2)     通过显示信息查看

# 查看所有协议VLAN的信息。

[Device] display protocol-vlan vlan all

 VLAN ID: 100

  Protocol index  Protocol type

  1               IPv4

  2               Ethernet II Etype 0x0806

 

 VLAN ID: 200

  Protocol index  Protocol type

  1               IPv6

# 查看所有端口关联的协议VLAN的信息。

[Device] display protocol-vlan interface all

 Interface: Ten-GigabitEthernet1/0/1

  VLAN ID  Protocol index  Protocol type             Status

  100      1               IPv4                      Active

  100      2               Ethernet II Etype 0x0806  Active

  200      1               IPv6                      Active

 

 Interface: Ten-GigabitEthernet 1/0/2

  VLAN ID  Protocol index  Protocol type             Status

  100      1               IPv4                      Active

  100      2               Ethernet II Etype 0x0806  Active

  200      1               IPv6                      Active

2 Private VLAN

2.1  Private VLAN简介

Private VLAN采用Primary VLAN和Secondary VLAN两层VLAN结构，用于简化网络配置，节省VLAN资源。

·     Primary VLAN用于上行，一个Primary VLAN可以和多个Secondary VLAN相对应。上行连接的设备只知道Primary VLAN，而不必关心Secondary VLAN，Primary VLAN下面的Secondary VLAN对上行设备不可见。

·     Secondary VLAN用于连接用户，Secondary VLAN之间二层报文互相隔离。如果希望实现同一Primary VLAN下Secondary VLAN用户之间报文的互通，可以通过配置上行设备（如图2-1中的Device A）的本地ARP/ND代理功能来实现三层报文的互通；或者通过在本地设备（如图2-1中的Device B）上配置Primary VLAN下指定Secondary VLAN间三层互通，并在Primary VLAN interface上配置IP地址和本地代理ARP/ND功能。

如图2-1所示，设备Device B上启动了Private VLAN功能。其中VLAN 10是Primary VLAN；VLAN 2、VLAN 5、VLAN 8是Secondary VLAN；VLAN 2、VLAN 5、VLAN 8都映射到VLAN 10；VLAN 2、VLAN 5、VLAN 8对Device A不可见。

图2-1 Private VLAN示意图

 

2.2  配置Private VLAN

Private VLAN配置主要包括下面几个步骤：

(1)     配置Primary VLAN。

(2)     配置Secondary VLAN。

(3)     配置上行/下行端口。

·     当上行端口（如图2-1中Device B上与Device A相连的端口）只对应一个Primary VLAN，配置该端口工作在promiscuous模式，可以实现上行端口加入Primary VLAN及同步加入对应的Secondary VLAN的功能；当上行端口对应多个Primary VLAN，配置该端口工作在trunk promiscuous模式，可以实现上行端口加入多个Primary VLAN及同步加入对应的Secondary VLAN的功能。

·     当下行端口（如图2-1中Device B上与用户相连的端口）只对应一个Secondary VLAN，配置该端口工作在host模式，可以实现下行端口同步加入Secondary VLAN对应的Primary VLAN的功能；当下行端口对应多个Secondary VLAN，配置该端口工作在trunk secondary模式，可以实现下行端口加入多个Secondary VLAN及同步加入对应的Primary VLAN的功能。

有关promiscuous/trunk promiscuous/host/trunk secondary模式的详细介绍，请参见“二层技术-以太网交换命令参考”中的“Private VLAN”的相关命令。

(4)     配置Primary VLAN和Secondary VLAN间的映射关系。

(5)     配置Primary VLAN下指定Secondary VLAN间三层互通。

配置Private VLAN时，需要注意：

·     在完成表2-1中的配置后，建议用户作如下配置：对于工作模式为promiscuous的端口，确保端口的缺省VLAN为Primary VLAN，端口以Untagged方式加入Primary VLAN和Secondary VLAN；对于工作模式为host的端口，确保缺省VLAN为Secondary VLAN，端口以Untagged方式加入Primary VLAN和Secondary VLAN；对于工作模式为trunk promiscuous和trunk secondary的端口，确保端口以Tagged方式加入Primary VLAN和以Tagged方式加入Secondary VLAN。

表2-1 配置Private VLAN

操作				命令	说明
进入系统视图				system-view	-
创建VLAN，并进入VLAN视图				vlan vlan-id	-
设置VLAN类型为Primary VLAN				private-vlan primary	缺省情况下，VLAN的类型不是Primary VLAN
退回系统视图				quit	-
创建一个或多个Secondary VLAN				vlan { vlan-id1 [ to vlan-id2 ] | all }	-
设置同一Secondary VLAN内各端口二层互通				undo private-vlan isolated	二者选其一 缺省情况下，同一Secondary VLAN内的端口能够二层互通 当同一Secondary VLAN内各端口的工作模式均为host模式，且Primary VLAN与Secondary VLAN之间建立映射关系后该配置才生效
				private-vlan community
退回系统视图				quit	-
进入二层以太网接口视图或二层聚合接口视图				interface interface-type interface-number	-
配置上行端口的工作模式为promiscuous/trunk promiscuous模式		配置上行端口在指定VLAN中工作在promiscuous模式		port private-vlan vlan-id promiscuous	二者选其一 缺省情况下，在指定VLAN中端口不工作在promiscuous/trunk promiscuous模式
		配置上行端口在指定VLAN中工作在trunk promiscuous模式		port private-vlan vlan-id-list trunk promiscuous
退回系统视图				quit	-
进入二层以太网接口视图或二层聚合接口视图				interface interface-type interface-number	-
配置下行端口加入Secondary VLAN	配置端口的链路类型			port link-type { access | hybrid | trunk }	-
	将当前端口加入指定VLAN		Access端口	port access vlan vlan-id	三者选其一
			Trunk端口	port trunk permit vlan { vlan-id-list | all }
			Hybrid端口	port hybrid vlan vlan-id-list { tagged | untagged }
退回系统视图				quit	-
进入二层以太网接口视图或二层聚合接口视图				interface interface-type interface-number	-
配置下行端口的工作模式为host/trunk secondary模式		配置下行端口工作在host模式		port private-vlan host	二者选其一 缺省情况下，端口不工作在host/trunk secondary模式
		配置下行端口在指定VLAN中工作在trunk secondary模式		port private-vlan vlan-id-list trunk secondary
进入Primary VLAN视图				vlan vlan-id	-
配置当前Primary VLAN和指定Secondary VLAN间的映射关系				private-vlan secondary vlan-id-list	缺省情况下，用户创建的Primary VLAN和Secondary VLAN没有任何映射关系
退回系统视图				quit	-
（可选）配置Primary VLAN下指定Secondary VLAN间三层互通		进入Primary VLAN对应的VLAN接口视图		interface vlan-interface vlan-id	-
		配置当前Primary VLAN下指定Secondary VLAN间三层互通		private-vlan secondary vlan-id-list	缺省情况下，Secondary VLAN之间三层不互通
		配置Primary VLAN接口的IP地址		ip address ip-address { mask-length | mask } [ sub ]	二者选其一 缺省情况下，没有配置VLAN接口的IP地址
				ipv6 address { ipv6-address prefix-length | ipv6-address/prefix-length }
		开启本地代理ARP功能		local-proxy-arp enable	二者选其一 缺省情况下，本地代理ARP功能和本地代理ND功能均处于关闭状态
		开启本地代理ND功能		local-proxy-nd enable

 

2.3  Private VLAN显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后Private VLAN的运行情况，通过查看显示信息验证配置的效果。

表2-2 Private-VLAN显示和维护

操作	命令
显示Primary VLAN和其包含的Secondary VLAN的信息	display private-vlan [ primary-vlan-id ]

 

2.4  Private VLAN典型配置举例一

1. 组网需求

·     Device B上的VLAN 5为Primary VLAN，包含上行端口Ten-GigabitEthernet1/0/5和两个Secondary VLAN（VLAN 2和VLAN 3），VLAN 2包含端口Ten-GigabitEthernet1/0/2，VLAN 3包含端口Ten-GigabitEthernet1/0/1。

·     Device C上的VLAN 6为Primary VLAN，包含上行端口Ten-GigabitEthernet1/0/5和两个Secondary VLAN（VLAN 3和VLAN 4），VLAN 3包含端口Ten-GigabitEthernet1/0/3，VLAN 4包含端口Ten-GigabitEthernet1/0/4。

·     从Device A看，下接的Device B只有一个VLAN（VLAN 5），下接的设备C只有一个VLAN（VLAN 6）。

2. 组网图

图2-2 配置Private VLAN组网图

 

3. 配置步骤

下面只列出Device B和Device C的配置过程。

(1)     配置Device B

# 配置VLAN 5为Primary VLAN。

<DeviceB> system-view

[DeviceB] vlan 5

[DeviceB-vlan5] private-vlan primary

[DeviceB-vlan5] quit

# 创建Secondary VLAN。

[DeviceB] vlan 2 to 3

# 配置上行端口Ten-GigabitEthernet1/0/5在VLAN 5中工作在promiscuous模式。

[DeviceB] interface ten-gigabitethernet 1/0/5

[DeviceB-Ten-GigabitEthernet1/0/5] port private-vlan 5 promiscuous

[DeviceB-Ten-GigabitEthernet1/0/5] quit

# 将下行端口Ten-GigabitEthernet1/0/1、Ten-GigabitEthernet1/0/2分别添加到VLAN 3、VLAN 2，并配置它们工作在host模式。

[DeviceB] interface ten-gigabitethernet 1/0/1

[DeviceB-Ten-GigabitEthernet1/0/1] port access vlan 3

[DeviceB-Ten-GigabitEthernet1/0/1] port private-vlan host

[DeviceB-Ten-GigabitEthernet1/0/1] quit

[DeviceB] interface ten-gigabitethernet 1/0/2

[DeviceB-Ten-GigabitEthernet1/0/2] port access vlan 2

[DeviceB-Ten-GigabitEthernet1/0/2] port private-vlan host

[DeviceB-Ten-GigabitEthernet1/0/2] quit

# 配置Primary VLAN和Secondary VLAN间的映射关系。

[DeviceB] vlan 5

[DeviceB-vlan5] private-vlan secondary 2 to 3

[DeviceB-vlan5] quit

(2)     配置Device C

# 配置VLAN 6为Primary VLAN。

<DeviceC> system-view

[DeviceC] vlan 6

[DeviceC–vlan6] private-vlan primary

[DeviceC–vlan6] quit

# 创建Secondary VLAN。

[DeviceC] vlan 3 to 4

# 配置上行端口Ten-GigabitEthernet1/0/5在VLAN 6中工作在promiscuous模式。

[DeviceC] interface ten-gigabitethernet 1/0/5

[DeviceC-Ten-GigabitEthernet1/0/5] port private-vlan 6 promiscuous

[DeviceC-Ten-GigabitEthernet1/0/5] quit

# 将下行端口Ten-GigabitEthernet1/0/3、Ten-GigabitEthernet1/0/4分别添加到VLAN 3、VLAN 4，并配置它们工作在host模式。

[DeviceC] interface ten-gigabitethernet 1/0/3

[DeviceC-Ten-GigabitEthernet1/0/3] port access vlan 3

[DeviceC-Ten-GigabitEthernet1/0/3] port private-vlan host

[DeviceC-Ten-GigabitEthernet1/0/3] quit

[DeviceC] interface ten-gigabitethernet 1/0/4

[DeviceC-Ten-GigabitEthernet1/0/4] port access vlan 4

[DeviceC-Ten-GigabitEthernet1/0/4] port private-vlan host

[DeviceC-Ten-GigabitEthernet1/0/4] quit

# 配置Primary VLAN和Secondary VLAN间的映射关系。

[DeviceC] vlan 6

[DeviceC-vlan6] private-vlan secondary 3 to 4

[DeviceC-vlan6] quit

4. 显示与验证

# 显示Device B上的Private VLAN配置情况（Device C的显示结果类似，这里不再列出）。

[DeviceB] display private-vlan

 Primary VLAN ID: 5

 Secondary VLAN ID: 2-3

 

 VLAN ID: 5

 VLAN type: Static

 Private VLAN type: Primary

 Route interface: Not configured

 Description: VLAN 0005

 Name: VLAN 0005

 Tagged   ports: None

 Untagged ports:

    Ten-GigabitEthernet1/0/1         Ten-GigabitEthernet1/0/2            Ten-GigabitEthernet1/0/5

 

 VLAN ID: 2

 VLAN type: Static

 Private VLAN type: Secondary

 Route interface: Not configured

 Description: VLAN 0002

 Name: VLAN 0002

 Tagged   ports: None

 Untagged ports:

    Ten-GigabitEthernet1/0/2            Ten-GigabitEthernet1/0/5

 

 VLAN ID: 3

 VLAN type: Static

 Private VLAN type: Secondary

 Route interface: Not configured

 Description: VLAN 0003

 Name: VLAN 0003

 Tagged   Ports: None

 Untagged Ports:

    Ten-GigabitEthernet1/0/1            Ten-GigabitEthernet1/0/5

2.5  Private VLAN典型配置举例二

1. 组网需求

·     Device B上的VLAN 5和VLAN 10为Primary VLAN，其上行端口Ten-GigabitEthernet1/0/1需要允许VLAN 5和VLAN 10的报文携带VLAN Tag通过。

·     Device B的下行端口Ten-GigabitEthernet1/0/2允许Secondary VLAN 2通过，Ten-GigabitEthernet1/0/3允许Secondary VLAN 3通过，VLAN 2和VLAN 3映射到Primary VLAN 5。

·     Device B的下行端口Ten-GigabitEthernet1/0/6允许Secondary VLAN 6通过，Ten-GigabitEthernet1/0/8允许Secondary VLAN 8通过，VLAN 6和VLAN 8映射到Primary VLAN 10。

·     从Device A看，下接的Device B只有VLAN 5和VLAN 10。

2. 组网图

图2-3 组网图

 

3. 配置步骤

(1)     配置Device B

# 配置VLAN 5和VLAN 10为Primary VLAN。

<DeviceB> system-view

[DeviceB] vlan 5

[DeviceB-vlan5] private-vlan primary

[DeviceB-vlan5] quit

[DeviceB] vlan 10

[DeviceB-vlan10] private-vlan primary

[DeviceB-vlan10] quit

# 创建Secondary VLAN 2、3、6、8。

[DeviceB] vlan 2 to 3

[DeviceB] vlan 6

[DeviceB-vlan6] quit

[DeviceB] vlan 8

[DeviceB-vlan8] quit

# 配置上行端口Ten-GigabitEthernet1/0/1在VLAN 5和VLAN 10中工作在trunk promiscuous模式。

[DeviceB] interface ten-gigabitethernet 1/0/1

[DeviceB-Ten-GigabitEthernet1/0/1] port private-vlan 5 10 trunk promiscuous

[DeviceB-Ten-GigabitEthernet1/0/1] quit

# 将下行端口Ten-GigabitEthernet1/0/2加入VLAN 2，Ten-GigabitEthernet1/0/3加入VLAN 3，并配置他们工作在host模式。

[DeviceB] interface ten-gigabitethernet 1/0/2

[DeviceB-Ten-GigabitEthernet1/0/2] port access vlan 2

[DeviceB-Ten-GigabitEthernet1/0/2] port private-vlan host

[DeviceB-Ten-GigabitEthernet1/0/2] quit

[DeviceB] interface ten-gigabitethernet 1/0/3

[DeviceB-Ten-GigabitEthernet1/0/3] port access vlan 3

[DeviceB-Ten-GigabitEthernet1/0/3] port private-vlan host

[DeviceB-Ten-GigabitEthernet1/0/3] quit

# 配置Primary VLAN 5和Secondary VLAN 2、3间的映射关系。

[DeviceB] vlan 5

[DeviceB-vlan5] private-vlan secondary 2 to 3

[DeviceB-vlan5] quit

# 将下行端口Ten-GigabitEthernet1/0/6加入VLAN 6，Ten-GigabitEthernet1/0/8加入VLAN 8，并配置它们工作在host模式。

[DeviceB] interface ten-gigabitethernet 1/0/6

[DeviceB-Ten-GigabitEthernet1/0/6] port access vlan 6

[DeviceB-Ten-GigabitEthernet1/0/6] port private-vlan host

[DeviceB-Ten-GigabitEthernet1/0/6] quit

[DeviceB] interface ten-gigabitethernet 1/0/8

[DeviceB-Ten-GigabitEthernet1/0/8] port access vlan 8

[DeviceB-Ten-GigabitEthernet1/0/8] port private-vlan host

[DeviceB-Ten-GigabitEthernet1/0/8] quit

# 配置Primary VLAN 10和Secondary VLAN 6、8间的映射关系。

[DeviceB] vlan 10

[DeviceB-vlan10] private-vlan secondary 6 8

[DeviceB-vlan10] quit

(2)     配置Device A

# 创建VLAN 5和VLAN 10。

[DeviceA] vlan 5

[DeviceA-vlan5] quit

[DeviceA] vlan 10

[DeviceA-vlan10] quit

# 配置端口Ten-GigabitEthernet1/0/1为Hybrid端口，并允许VLAN 5和VLAN 10携带Tag通过。

[DeviceA] interface ten-gigabitethernet 1/0/1

[DeviceA-Ten-GigabitEthernet1/0/1] port link-type hybrid

[DeviceA-Ten-GigabitEthernet1/0/1] port hybrid vlan 5 10 tagged

[DeviceA-Ten-GigabitEthernet1/0/1] quit

4. 显示与验证

# 显示Device B上的Primary VLAN 5配置情况（Primary VLAN 10的显示结果类似，这里不再列出）。

[DeviceB] display private-vlan 5

 Primary VLAN ID: 5

 Secondary VLAN ID: 2-3

 

 VLAN ID: 5

 VLAN type: Static

 Private VLAN type: Primary

 Route interface: Not configured

 Description: VLAN 0005

 Name: VLAN 0005

 Tagged   ports:

    Ten-GigabitEthernet1/0/1

 Untagged ports:

    Ten-GigabitEthernet1/0/2          Ten-GigabitEthernet1/0/3

 

 VLAN ID: 2

 VLAN type: Static

 Private VLAN type: Secondary

 Route interface: Not configured

 Description: VLAN 0002

 Name: VLAN 0002

 Tagged   ports:

    Ten-GigabitEthernet1/0/1

 Untagged ports:

    Ten-GigabitEthernet1/0/2

 

 VLAN ID: 3

 VLAN type: Static

 Private VLAN type: Secondary

 Route interface: Not configured

 Description: VLAN 0003

 Name: VLAN 0003

 Tagged   ports:

    Ten-GigabitEthernet1/0/1

 Untagged ports:

    Ten-GigabitEthernet1/0/3

2.6  Private VLAN典型配置举例三

1. 组网需求

·     Device A上的VLAN 10和VLAN 20为Primary VLAN，上行端口Ten-GigabitEthernet1/0/5需要允许VLAN 10和VLAN 20的报文携带VLAN Tag通过。

·     Device A上的VLAN 11、12、21、22为Secondary VLAN，下行端口Ten-GigabitEthernet1/0/2允许VLAN 11和VLAN 21的报文携带VLAN Tag通过，下行端口Ten-GigabitEthernet1/0/1允许VLAN 22通过，下行端口Ten-GigabitEthernet1/0/3允许VLAN 12通过。

·     Secondary VLAN 11和Secondary VLAN 12映射到Primary VLAN 10；Secondary VLAN 21和Secondary VLAN 22映射到Primary VLAN 20。

2. 组网图

图2-4 组网图

 

3. 配置步骤

(1)     配置Device A

# 配置VLAN 10和VLAN 20为Primary VLAN。

<DeviceA> system-view

[DeviceA] vlan 10

[DeviceA-vlan10] private-vlan primary

[DeviceA-vlan10] quit

[DeviceA] vlan 20

[DeviceA-vlan20] private-vlan primary

[DeviceA-vlan20] quit

# 创建VLAN 11、12、21、22。

[DeviceA] vlan 11 to 12

[DeviceA] vlan 21 to 22

# 配置Primary VLAN 10和Secondary VLAN 11、12间的映射关系。

[DeviceA] vlan 10

[DeviceA-vlan10] private-vlan secondary 11 12

[DeviceA-vlan10] quit

# 配置Primary VLAN 20和Secondary VLAN 21、22间的映射关系。

[DeviceA] vlan 20

[DeviceA-vlan20] private-vlan secondary 21 22

[DeviceA-vlan20] quit

# 配置上行端口Ten-GigabitEthernet1/0/5在VLAN 10和VLAN 20中工作在trunk promiscuous模式。

[DeviceA] interface ten-gigabitethernet 1/0/5

[DeviceA-Ten-GigabitEthernet1/0/5] port private-vlan 10 20 trunk promiscuous

[DeviceA-Ten-GigabitEthernet1/0/5] quit

# 将下行端口Ten-GigabitEthernet1/0/1加入VLAN 22，并配置工作在host模式。

[DeviceA] interface ten-gigabitethernet 1/0/1

[DeviceA-Ten-GigabitEthernet1/0/1] port access vlan 22

[DeviceA-Ten-GigabitEthernet1/0/1] port private-vlan host

[DeviceA-Ten-GigabitEthernet1/0/1] quit

# 将下行端口Ten-GigabitEthernet1/0/3加入VLAN 12，并配置工作在host模式。

[DeviceA] interface ten-gigabitethernet 1/0/3

[DeviceA-Ten-GigabitEthernet1/0/3] port access vlan 12

[DeviceA-Ten-GigabitEthernet1/0/3] port private-vlan host

[DeviceA-Ten-GigabitEthernet1/0/3] quit

# 配置下行端口Ten-GigabitEthernet1/0/2在VLAN 11和VLAN 21中工作在trunk secondary模式。

[DeviceA] interface ten-gigabitethernet 1/0/2

[DeviceA-Ten-GigabitEthernet1/0/2] port private-vlan 11 21 trunk secondary

[DeviceA-Ten-GigabitEthernet1/0/2] quit

(2)     配置Device B

# 创建VLAN 11和VLAN 21。

<DeviceB> system-view

[DeviceB] vlan 11

[DeviceB-vlan11] quit

[DeviceB] vlan 21

[DeviceB-vlan21] quit

# 配置端口Ten-GigabitEthernet1/0/2为Hybrid端口，并允许VLAN 11和VLAN 21携带Tag通过。

[DeviceB] interface ten-gigabitethernet 1/0/2

[DeviceB-Ten-GigabitEthernet1/0/2] port link-type hybrid

[DeviceB-Ten-GigabitEthernet1/0/2] port hybrid vlan 11 21 tagged

[DeviceB-Ten-GigabitEthernet1/0/2] quit

# 将端口Ten-GigabitEthernet1/0/4加入VLAN 11。

[DeviceB] interface ten-gigabitethernet 1/0/4

[DeviceB-Ten-GigabitEthernet1/0/4] port access vlan 11

[DeviceB-Ten-GigabitEthernet1/0/4] quit

# 将端口Ten-GigabitEthernet1/0/3加入VLAN 21。

[DeviceB] interface ten-gigabitethernet 1/0/3

[DeviceB-Ten-GigabitEthernet1/0/3] port access vlan 21

[DeviceB-Ten-GigabitEthernet1/0/3] quit

(3)     配置Device C

# 创建VLAN 10和VLAN 20。

<DeviceC> system-view

[DeviceC] vlan 10

[DeviceC-vlan10] quit

[DeviceC] vlan 20

[DeviceC-vlan20] quit

# 配置端口Ten-GigabitEthernet1/0/5为Hybrid端口，并允许VLAN 10和VLAN 20携带Tag通过。

[DeviceC] interface ten-gigabitethernet 1/0/5

[DeviceC-Ten-GigabitEthernet1/0/5] port link-type hybrid

[DeviceC-Ten-GigabitEthernet1/0/5] port hybrid vlan 10 20 tagged

[DeviceC-Ten-GigabitEthernet1/0/5] quit

4. 显示与验证

# 显示Device A上Primary VLAN 10的配置情况。

[DeviceA] display private-vlan 10

 Primary VLAN ID: 10

 Secondary VLAN ID: 11-12

 

 VLAN ID: 10

 VLAN type: Static

 Private-vlan type: Primary

 Route interface: Not configured

 Description: VLAN 0010

 Name: VLAN 0010

 Tagged   ports:

    Ten-GigabitEthernet1/0/2          Ten-GigabitEthernet1/0/5

 Untagged ports:

    Ten-GigabitEthernet1/0/3

 

 VLAN ID: 11

 VLAN type: Static

 Private-vlan type: Secondary

 Route interface: Not configured

 Description: VLAN 0011

 Name: VLAN 0011

 Tagged   ports:

    Ten-GigabitEthernet1/0/2          Ten-GigabitEthernet1/0/5

 Untagged ports: None

 

VLAN ID: 12

 VLAN type: Static

 Private-vlan type: Secondary

 Route interface: Not configured

 Description: VLAN 0012

 Name: VLAN 0012

 Tagged   ports:

    Ten-GigabitEthernet1/0/5

 Untagged ports:

    Ten-GigabitEthernet1/0/3

# 显示Device A上Primary VLAN 20的配置情况。

[DeviceA] display private-vlan 20

 Primary VLAN ID: 20

 Secondary VLAN ID: 21-22

 

 VLAN ID: 20

 VLAN type: Static

 Private-vlan type: Primary

 Route interface: Not configured

 Description: VLAN 0020

 Name: VLAN 0020

 Tagged   ports:

    Ten-GigabitEthernet1/0/2          Ten-GigabitEthernet1/0/5

 Untagged ports:

    Ten-GigabitEthernet1/0/1

 

 VLAN ID: 21

 VLAN type: Static

 Private-vlan type: Secondary

 Route interface: Not configured

 Description: VLAN 0021

 Name: VLAN 0021

 Tagged   ports:

    Ten-GigabitEthernet1/0/2          Ten-GigabitEthernet1/0/5

 Untagged ports: None

 

 VLAN ID: 22

 VLAN type: Static

 Private-vlan type: Secondary

 Route interface: Not configured

 Description: VLAN 0022

 Name: VLAN 0022

 Tagged   ports:

    Ten-GigabitEthernet1/0/5

 Untagged ports:

    Ten-GigabitEthernet1/0/1

2.7  Private VLAN典型配置举例四

1. 组网需求

·     Device B上的VLAN 10为Primary VLAN，包含上行端口Ten-GigabitEthernet1/0/1和两个Secondary VLAN（VLAN 2和VLAN 3），VLAN 2包含端口Ten-GigabitEthernet1/0/2，VLAN 3包含端口Ten-GigabitEthernet1/0/3。VLAN接口10的IP地址为192.168.1.1/24。

·     实现各Secondary VLAN间二层隔离和三层互通。

2. 组网图

图2-5 组网图

 

3. 配置步骤

# 创建VLAN 2和VLAN 3。

<DeviceB> system-view

[DeviceB] vlan 2 to 3

# 配置VLAN 10为Primary VLAN，其对应的Secondary VLAN为VLAN 2、VLAN 3。

[DeviceB] vlan 10

[DeviceB-vlan10] private-vlan primary

[DeviceB-vlan10] private-vlan secondary 2 3

[DeviceB-vlan10] quit

# 配置上行端口Ten-GigabitEthernet1/0/1工作在promiscuous模式。

[DeviceB] interface ten-gigabitethernet 1/0/1

[DeviceB-Ten-GigabitEthernet1/0/1] port private-vlan 10 promiscuous

[DeviceB-Ten-GigabitEthernet1/0/1] quit

# 将下行端口Ten-GigabitEthernet1/0/2加入VLAN 2，并配置工作在host模式。

[DeviceB] interface ten-gigabitethernet 1/0/2

[DeviceB-Ten-GigabitEthernet1/0/2] port access vlan 2

[DeviceB-Ten-GigabitEthernet1/0/2] port private-vlan host

[DeviceB-Ten-GigabitEthernet1/0/2] quit

# 将下行端口Ten-GigabitEthernet1/0/3加入VLAN 3，并配置工作在host模式。

[DeviceB] interface ten-gigabitethernet 1/0/3

[DeviceB-Ten-GigabitEthernet1/0/3] port access vlan 3

[DeviceB-Ten-GigabitEthernet1/0/3] port private-vlan host

[DeviceB-Ten-GigabitEthernet1/0/3] quit

# 配置Primary VLAN 10下Secondary VLAN 2、3之间三层互通。

[DeviceB] interface vlan-interface 10

[DeviceB-Vlan-interface10] private-vlan secondary 2 3

# 配置VLAN接口10的IP地址为192.168.1.1/24。

[DeviceB-Vlan-interface10] ip address 192.168.1.1 255.255.255.0

# 开启本地代理ARP功能。

[DeviceB-Vlan-interface10] local-proxy-arp enable

[DeviceB-Vlan-interface10] quit

4. 显示和验证

# 查看Private VLAN 10的相关信息，验证以上配置是否生效。

[DeviceB] display private-vlan 10

 Primary VLAN ID: 10

 Secondary-VLAN ID: 2-3

 

 VLAN ID: 10

 VLAN type: Static

 Private VLAN type: Primary

 Route interface: Configured

 IPv4 address: 192.168.1.1

 IPv4 subnet mask: 255.255.255.0

 Description: VLAN 0010

 Name: VLAN 0010

 Tagged   ports: None

 Untagged ports:

    Ten-GigabitEthernet1/0/1

    Ten-GigabitEthernet1/0/2

    Ten-GigabitEthernet1/0/3

 

 VLAN ID: 2

 VLAN type: Static

 Private VLAN type: Secondary

 Route interface: Configured

 IPv4 address: 192.168.1.1

 IPv4 subnet mask: 255.255.255.0

 Description: VLAN 0002

 Name: VLAN 0002

 Tagged   ports: None

 Untagged ports:

    Ten-GigabitEthernet1/0/1            Ten-GigabitEthernet1/0/2

 

 VLAN ID: 3

 VLAN type: Static

 Private VLAN type: Secondary

 Route interface: Configured

 IPv4 address: 192.168.1.1

 IPv4 subnet mask: 255.255.255.0

 Description: VLAN 0003

 Name: VLAN 0003

 Tagged   ports: None

 Untagged ports:

    Ten-GigabitEthernet1/0/1            Ten-GigabitEthernet1/0/3

可以看到，Secondary VLAN 2和Secondary VLAN 3的Route interface字段都显示为Configured，说明Secondary VLAN 2与Secondary VLAN 3间已配置三层互通。