Private VLAN
实验1
实验需求
按照图示配置 IP 地址
在 SW1 上配置 Private VLAN，Primary VLAN 为 Vlan30，Secondary VLAN 为 Vlan10 和 Vlan20
SW2 通过 Vlan100 下行连接 SW1，要求 PC3 和 PC4 都能以 Vlan100 访问 PC5
在 SW1 上配置 Private VLAN，Primary VLAN 为 Vlan30，Secondary VLAN 为 Vlan10 和 Vlan20
分析：根据需求，通过配置 Private VLAN 来使 Secondary VLAN 对上行设备不可见，实现 VLAN 复用的效果
VLAN30 为 Prmary VLAN，Vlan10 和 Vlan20 为其 Secondary VLAN，把连接上行设备的接口 G1/0/3 口配置为上行接口，连接终端的 G1/0/1 和 G1/0/2 口配置为客户端接口
步骤 1：在 SW1 上创建 Vlan10，Vlan20，Vlan30
<H3C>sy
System View: return to User View with Ctrl+Z.
[H3C]sysn sw1
[sw1]vlan 10
[sw1-vlan10]vlan 20
[sw1-vlan20]vlan 30
步骤 2：在 SW1 上配置 Vlan30 为 Prmary VLAN，Secondary VLAN 为 Vlan10 和 Vlan20
[sw1-vlan30]private-vlan primary
[sw1-vlan30]private-vlan secondary 10 20
步骤 3：在 SW1 上配置 G1/0/3 口为上行接口，G1/0/1 和 G1/0/2 口为下行接口，并把 G1/0/1 口加入 Vlan10，把 G1/0/2 口加入 Vlan20
[sw1-vlan30]int g1/0/3
[sw1-GigabitEthernet1/0/3]port private-vlan 30 promiscuous
[sw1-GigabitEthernet1/0/3]int g1/0/1
[sw1-GigabitEthernet1/0/1]port access vlan 10
[sw1-GigabitEthernet1/0/1]port private-vlan host
[sw1-GigabitEthernet1/0/1]int g1/0/2
[sw1-GigabitEthernet1/0/2]port access vlan 20
[sw1-GigabitEthernet1/0/2]port private-vlan host
[sw1-GigabitEthernet1/0/2]
3,SW2 通过 Vlan100 下行连接 SW1，要求 PC3 和 PC4 都能以 Vlan100 访问 PC5
分析：根据 Private VLAN 原理，SW1 向 G1/0/3 接口发出的所有 Vlan 的数据帧都将剥离 tag 发出，SW2 收到的必定是未携带 tag 的数据帧，把 SW2 的 G1/0/2 和 G1/0/2 口都以 Access 类型加入 Vlan100，SW2 就会把收到的 SW1 转发过来的数据帧重新打上 Vlan 100 的 tag，从而实现 PC3 和 PC4 都能够以 Vlan100 访问 PC5
步骤 1：在 SW2 上创建 Vlan100，并把 G1/0/1 和 G1/0/2 口以 Access 类型加入 Vlan100
[sw2]vlan 100
[sw2-vlan100]port g1/0/1
[sw2-vlan100]port g1/0/2
效果测试：PC3 和 PC4 都能够 Ping 通 PC5
<PC3>ping 192.168.1.1
实验2
配置：
ASW
[ASW]undo info-center enable ##关闭日志消息：不然一直弹消息，还是蛮烦的
[ASW]vlan 10
[ASW-vlan10]vlan 2 to 3
[ASW]vlan 10
[ASW-vlan10]private-vlan primary ## 设置为private vlan 的primary
[ASW-vlan10]private-vlan secondary 2 3 ## 配置primary 与 secondary 2 3的映射关系
[ASW-vlan10]qu
将g1/0/1 设置为promiscuous 模式
[ASW]int g1/0/1
[ASW-GigabitEthernet1/0/1]port private-vlan 10 promiscuous
[ASW-GigabitEthernet1/0/1]qu
将g1/0/2 绑定 VLAN 2
[ASW]interface gigabitethernet 1/0/2
[ASW-GigabitEthernet1/0/2]port access vlan 2
[ASW-GigabitEthernet1/0/2]port private-vlan host
[ASW-GigabitEthernet1/0/2]quit
将g1/0/3 绑定 VLAN 3
[ASW]int g1/0/3
[ASW-GigabitEthernet1/0/3]port access vlan 3
[ASW-GigabitEthernet1/0/3]port private-vlan host
[ASW-GigabitEthernet1/0/3]quit
[ASW]interface vlan-interface 10
[ASW-Vlan-interface10]ip address 192.168.1.1 255.255.255.0 ## 配置SVI接口地址
[ASW-Vlan-interface10]local-proxy-arp enable ## 开启本地ARP代理
[ASW-Vlan-interface10]private-vlan secondary 2 3 ## 在VLAN 10接口中映射secondary 2 3
[ASW-Vlan-interface10]quit
实验3（H3CSE372和371题库里面的拓扑复刻）
二层隔离
SW1
创建VLAN
[SW1]vlan 10
[SW1-vlan10]vlan 2 to 3
[SW1]vlan 10
[SW1-vlan10]private-vlan primary ## 配置 VLAN 10 为 Primary VLAN
[SW1-vlan10]private-vlan secondary 2 3 ## 配置 Primary和Secondary VLAN 2 3 的映射关系
[SW1-vlan10]qu
[SW1]int g1/0/1
[SW1-GigabitEthernet1/0/1]port private-vlan 10 promiscuous # 设置为promiscuous模式
[SW1-GigabitEthernet1/0/1]qu
将g1/0/2 绑定 VLAN 2
[SW1]int g1/0/2
[SW1-GigabitEthernet1/0/2]port access vlan 2
[SW1-GigabitEthernet1/0/2]port private-vlan host
[SW1-GigabitEthernet1/0/2]qu
将g1/0/3 绑定 VLAN 3
[SW1]int g1/0/3
[SW1-GigabitEthernet1/0/3]port access vlan 3
[SW1-GigabitEthernet1/0/3]port private-vlan host
[SW1-GigabitEthernet1/0/3]qu
[SW1]int vlan 10
[SW1-Vlan-interface10]ip address 192.168.10.10 24
SW2
[SW2]vlan 20
[SW2-vlan20]vlan 4
[SW2-vlan4]qu
[SW2]vlan 20
[SW2-vlan20]private-vlan primary
[SW2-vlan20]private-vlan secondary 4
[SW2-vlan20]qu
[SW2]int g1/0/1
[SW2-GigabitEthernet1/0/1]port private-vlan 20 promiscuous
[SW2-GigabitEthernet1/0/1]qu
[SW2]int g1/0/2
[SW2-GigabitEthernet1/0/2]port access vlan 4
[SW2-GigabitEthernet1/0/2]port private-vlan host
[SW2-GigabitEthernet1/0/2]qu
[SW2]int vlan 20
[SW2-Vlan-interface20]ip address 192.168.10.20 24
分析
针对SW1 来说，可以看到，所谓的Private VLAN，本质上是在用Hybrid口的特性
当配置好上面的命令时，查看配置，就能理解到这些功能，大家也可以自己去理解一下，都可以得到这些的，不难，本质上就是Hybrid端口
对于SW1 的 GigabitEthernet1/0/1，可以对 VLAN 2 3 10 去标签，pvid 10
对于SW1 的 GigabitEthernet1/0/2，可以对 VLAN 2 10 去标签 pvid 2
对于SW1 的 GigabitEthernet1/0/3，可以对 VLAN 3 10 去标签 pvid 3
对于SW2 的 GigabitEthernet1/0/1，可以对 VLAN 4 20 去标签 pvid 20
对于SW2 的 GigabitEthernet1/0/2，可以对 VLAN 4 20 去标签 pvid 4
按照上面的特性，我们就可以得到
PC1 能ping通 PC3
PC2 能ping通 PC3
PC3 能ping通 PC1 和 PC2