CCNP实验:PVLAN(Private VLAN)在局域网中的应用
【实验环境】
真机C3560以上，暂时无法完成实验
【实验目的】
模拟DMZ区域对隔离的需求。所有服务器均处在同一VLAN，为保证安全，现要求不同应用的服务器之间无法通讯，属于同一应用的服务器之间可以通讯，管理员与网关接口可以跟所有服务器通讯：
C1可以和C2/C3/C4/C5互访
C2和C3可以互访
C4和C5不能互访
这里就可以使用PVLAN技术简化配置，在主VLAN 10的下面再创建2个VLAN 501(community类型，成员可以互访)和VLAN 502(isolated类型，成员不可互访)，并且2个VLAN之间不能互访，主VLAN可以与次级VLAN之间互访。
【实验拓扑】
【实验描述】
所有服务器C1-C5均处在VLAN 10下，网段10.10.10.0/24，IP主机地址与接口号同。
primary VLAN：10
Secondary VLAN：community VLAN：501/isolated VLAN：502
Promiscuous Port：f1/1
Host Port：f1/2,f1/3,f1/4,f1/5
交换机管理VLAN：10.10.10.254/24
【实验步骤】
1、配置各服务器IP地址
C1:ip 10.10.10.1/24
C2:ip 10.10.10.2/24
C3:ip10.10.10.3/24
C4:ip10.10.10.4/24
C5:ip10.10.10.5/24
2、将交换机的VTP模式改为透明模式，否则无法使用PVLAN技术
SW(config)#vtp mode transparent
3、创建Primary VLAN及Secondary VLAN
SW(config)#vlan 10
SW(config-vlan)#private-vlan primary
SW(config-vlan)#vlan 501
SW(config-vlan)#private-vlan community
SW(config-vlan)#vlan 502
SW(config-vlan)#private-vlan isolated
4、关联Primary VLAN及Secondary VLAN
SW(config)#vlan 10
SW(config-vlan)#private-vlan association 501-502
5、将端口f1/1设置为Promiscuous Port并映射Secondary VLAN
SW(config)#int f1/1
SW(config-if)#switchport mode private-vlan promiscuous //设置端口为混杂模式
SW(config-if)#switchport private-vlan mapping 10 501-502 //使用mapping关联主VLAN和能够访问的私有VLAN
6、将端口f1/2,f1/3设置为Host Port并映射community VLAN
SW(config)#int range f1/2 - 3
SW(config-if)#switchport mode private-vlan host //设置端口为host模式
SW(config-if)#switchport private-vlan host-association 10 501 //使用host-association关联主VLAN和所属的私有VLAN
7、将端口f1/4,f1/5设置为Host Port并映射isolated VLAN
SW(config)#int range f1/4 - 5
SW(config-if)#switchport mode private-vlan host //设置端口为host模式
SW(config-if)#switchport private-vlan host-association 10 502 //使用host-association关联主VLAN和所属的私有VLAN
8、在交换机上检查PVLAN设置
SW#show vlan private-vlan
结果暂无
9、测试各服务器之间的连通性
结果暂无
10、配置交换机的三层管理接口(SVI)
SW(config)#int vlan 10
SW(config-if)#ip address 10.10.10.254 255.255.255.0
SW(config-if)#no shutdown
11、测试交换机SVI接口连通性
结果暂无
12、配置三层接口PVLAN映射，开启三层交换功能，使得Secondary VLAN也可以远程访问SVI接口
SW(config)#int vlan 10
SW(config-if)#private-vlan mapping 501-502
SW(config-if)#exit
SW(config)#ip routing
11、再次测试交换机SVI接口连通性
结果暂无
实验完成。