扫一扫
分享文章到微信
扫一扫
关注官方公众号
至顶头条
作者:论坛管理 来源:zdnet安全频道 2009年1月16日
关键字: VLAN
启示:传统VLAN无法应对大学宿舍
传统的解决方法是给每个客户分配一个VLAN和相关的IP子网,通过使用VLAN,每个客户被从第2层隔离开,可以防止任何恶意的行为和Ethernet 的信息探听。 然而,这种分配每个客户单一VLAN和IP子网的模型造成了巨大的可扩展方面的局限。这些局限主要有下述几方面:
* VLAN的限制:交换机固有的VLAN数目的限制;
* 复杂的STP:对于每个VLAN,每个相关的Spanning Tree的拓扑都需要管理;
* IP地址的紧缺:IP子网的划分势必造成一些IP地址的浪费;
* 路由的限制:每个子网都需要相应的默认网关的配置,如果使用HSRP,每个子网都需相应的缺省网关的配置
很多厂商的交换机中引入了一种新的VLAN机制,主要作用是将客户端只能与自己的缺省网关通信。这一新的VLAN特性就是专用VLAN(Private VLAN,PVLAN)。这种特性是不但适合大学校园,也很适用于IDC。
IDC环境是一个典型的多客户的服务器群结构,每个托管客户从一个公共的数据中心中的一系列服务器上提供Web服务,属于不同客户的服务器之间的安全就显得至关重要。一个专用VLAN不需要多个VLAN和IP子网就提供了这样的安全连接。在这一模型中,所有的服务器都接入专用VLAN,从而实现了所有服务器与缺省网关的连接,而与专用VLAN内的其他服务器没有任何访问。
分析:Private VLAN技术
Private VLAN是工作在第二层的网络技术。在Private VLAN的概念中,交换机端口有三种类型:Isolated port,Community port, Promisc- uous port。
它们分别对应不同的VLAN类型:Isolated port属于Isolated PVLAN,Community port属于Community PVLAN,而代表一个Private VLAN整体的是Primary VLAN,前面两类VLAN需要和它绑定在一起,同时它还包括Promiscuous port。在Isolated PVLAN中,Isolated port只能和Promiscuous port通信,彼此不能交换流量。
在Community PVLAN中,Community port不仅可以和Promiscuous port通信,而且彼此也可以交换流量。Promiscuous port 与路由器或第3层交换机接口相连,它收到的流量可以发往Isolated port和Community port。
PVLAN的应用对于保证接入网络的数据通信的安全性是非常有效的,用户只需与自己的默认网关连接,一个PVLAN不需要多个VLAN和IP子网就提供了具备第2层数据通信安全性的连接,所有的用户都接入PVLAN,从而实现了所有用户与默认网关的连接,而与PVLAN内的其他用户没有任何访问。PVLAN功能可以保证同一个 VLAN中的各个端口相互之间不能通信,但可以穿过Trunk端口。这样即使同一VLAN中的用户,相互之间也不会受到广播的影响。
在思科高端Cisco 6000和Cisco 4000 系列交换机上可以配置私有vlan,但在华为
深入:配置PVLAN的步骤
配置PVLAN的步骤包括:配置Primary VLAN、配置Secondary VLAN、设置Primary VLAN和Secondary VLAN间的映射关系,以上任务都是必选的,一旦启用PVLAN就必须配置。具体配置命令参考下面的建议。
(1)设置VTP的transparent(透明)模式
COS交换机
set vtp mode transparent
IOS交换机
(privileged) vlan database
(vlan_database) vtp transparent
在创建一个私用VLAN之前,您必须配置VTP为transparent(透明)模式。私用VLAN必须在单台交换机上配置,不能有其他交换机上VLAN的成员端口。私用VLAN也能带所有其他类型的Cisco交换机不知道的TLV。
IOS交换机
(global) vlan primary_number
(vlan-config) private-vlan primary
你必须首先创建主(primary)私用VLAN。后面的步骤要用主VLAN号(primary_number)来绑定次(secondary)VLAN和映射混杂(promiscuous)端口。
(3)创建isolated(被隔离)VLAN和community(群体)VLAN
COS交换机
set vlan secondary_number pvlan-type [isolated | community |twoway-community]
IOS交换机
(global) vlan secondary_number
(vlan-config) private-vlan [isolated | community]
配置isolated(被隔离)或community(群体)次VLAN来划分端口和控制流量。每一个这样的VLAN的(primary_number)都必须彼此不同和唯一,和主VLAN的number也要不同。Isolated(被隔离)VLAN的成员只能和在第6步中映射的混杂(promiscuous)端口进行通信。双向(two-way)的群体就像一个普通的群体一样,但是有更多功能:能用访问控制列表检查进出(双向) VLAN的流量,而且在私用VLAN内提供了更强的安全性。
(4)把isolated(被隔离)VLAN和community(群体)VLAN绑定到主VLAN上
COS交换机
set pvlan primary_number secondary_number
IOS交换机
(global) vlan primary_number
(vlan-config) private-vlan association secondary_number_list [addsecondary_number_list]
这条命令把次VLAN关联或者说绑定到主VLAN上。对于IOS命令来说,add选项允许以后关联其他VLAN。
(5)将端口加入isolated(被隔离)VLAN和community(群体)VLAN
COS交换机
set pvlan primary_number secondary_number mod/port [sc0]
IOS交换机
(global) interface type mod/port
(interface) switchport
(interface) switchport mode private-vlan host
(interface) switchport mode private-vlan host-association primary_number secondary_number
在已经创建和关联好了主次VLAN之后,必须把端口划给VLAN。对于COS交换机来说,可以把sc0接口加到私用VLAN中。
(6)给isolated(被隔离)VLAN和community(群体)VLAN映射混杂(promiscuous)端口
COS交换机
set pvlan mapping primary_number secondary_number mod/port
IOS交换机
(global) interface type mod/port
(interface) switchport
(interface) switchport mode private-vlan promiscuous
(interface) switchport mode private-vlan mapping primary_number secondary_number
在把端口划给次VLAN之后,为了能访问到isolated(被隔离)VLAN或者community(群体)VLAN之外,必须将VLAN映射到一个混杂(promiscuous)端口。
(7)给isolated(被隔离)VLAN和community(群体)VLAN映射MSFC接口(可选)
COS交换机 COS set pvlan mapping primary_number secondary_number 15/1 session 15
(privileged)config t
(global)interface vlan primary_number
(interface)ip address address mask
IOS交换机 (global) interface primary_number
(interface) ip address address mask
(interface) private-vlan mapping primary_number secondary_number
如果您的交换机有一块MSFC,那么可以将私用VLAN映射到MSFC。对于运行COS的交换机来说,要把VLAN映射到端口15/1(对于在于2槽的MSFC来说是16/1),然后将VLAN接口上的IP地址配置为主VLAN的number。对于IOS交换机来说,要找到primary_number的VLAN接口,然后把主次VLAN是映射到那个端口。
提示:你可以配置私用边缘VLAN。3500XL交换机使用受保护端口(protected port)的概念来控制交换机上的流量。3500XL上受保护端口不会向同一交换机上的另一个受保护端口转发流量。这样做和isolated(被隔离)VLAN类似,因为受保护的端口彼此不能通信。使用下面的命令配置受保护的端口。要配置一个私用边缘VLAN,可以选定接口,键入命令port protected。为了核实该端口已经处于受保护的模式,可以使用命令show port protected。
(8)核实PVLAN的运行
在配置私用VLAN之后,可以使用下面的命令来核实它的运行:
COS交换机
show pvlan number
show pvlan mapping
show pvlan capability mod/port
IOS交换机
show vlan private-vlan [type]
show interface private-vlan mapping
show interface type mod/port switchport
这是一所外国语大学的网络拓扑图,由于考虑到安全
在这个案例中,需要交换机Sw-access1的端口1和2配置成了受保护的端口,它们都在VLAN 10里,Sw-core1上的VLAN 10服务器(VLAN10 Server)也在VLAN 10里。这就让PC只能连接到这台服务器,而不会连接到其它服务器。在汇集交换机上还创建了私用VLAN 90,它包括一次community VLAN 901和一个isolated VLAN 900,端口3/46的服务器2和端口3/48服务器3都在community VLAN 901内,而连接到端口3/1和3/2的服务器在isolated VLAN 900内。使10.10.90.5和10.10.90.6之间不能通讯,10.10.90.7和10.10.90.8能够互相通讯,但这四台主机都可以和10.10.90.2通讯。所有这些设备都被映射到连接在端口1/2上的路由器。
1.核心交换机Sw-core1的设置清单
Sw-core1#vlan database
Sw-core1(vlan)#vtp transparent
Sw-core1(vlan)#exit
Sw-core1#conf t
Sw-core1(config)#vlan 90
Sw-core1(config-vlan)#private-vlan primary
Sw-core1(config-vlan)#vlan 900
Sw-core1(config-vlan)#private-vlan isolated
Sw-core1(config-vlan)#vlan 901
Sw-core1(config-vlan)#private-vlan community
Sw-core1(config-vlan)#vlan 90
Sw-core1(config-vlan)#private-vlan association 900,901
Sw-core1(config-vlan)#interface range fastethernet 3/1 – 2
Sw-core1(config-if)#switchport mode private-vlan host
Sw-core1(config-if)#switchport mode private-vlan host-association 90 900
Sw-core1(config-if)#no shut
Sw-core1(config-if)#interface range fastethernet 3/46 , 3/48
Sw-core1(config-if)#switchport
Sw-core1(config-if)#switchport mode private-vlan host
Sw-core1(config-if)#switchport mode private-vlan host-association 90 901
Sw-core1(config-if)#no shut
Sw-core1(config-if)#interface gigabitethernet 1/2
Sw-core1(config-if)#switchport
Sw-core1(config-if)#switchport mode private-vlan promiscuous
Sw-core1(config-if)#switchport mode private-vlan mapping 90 900,901
Sw-core1(config-if)#no shut
Sw-core1(config-if)#interface vlan 90
Sw-core1(config-if)#ip address 10.10.90.1 255.255.255.0
Sw-core1(config-if)#private-vlan mapping 90 900,901
Sw-core1(config-if)#no shut
Sw-core1(config-if)#end
Sw-core1#copy running-config startup-config
(2)负责宿舍里面接入的交换机配置清单
Sw-access1# configure terminal
Sw-access1(config)#interface fastethernet 0/1
Sw-access1(config-if)#switchport access vlan 10
Sw-access1(config-if)#port protected
Sw-access1(config-if)#interface fastethernet 0/1
Sw-access1(config-if)#switchport access vlan 10
Sw-access1(config-if)#port protected
Sw-access1(config-if)#interface gigabitethernet 0/1
Sw-access1(config-if)#switchport mode trunk
Sw-access1(config-if)#switchport trunk encapsulation dot1q
Sw-access1(config-if)#end
Sw-access1# copy running-config startup-config
如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。
现场直击|2021世界人工智能大会
直击5G创新地带,就在2021MWC上海
5G已至 转型当时——服务提供商如何把握转型的绝佳时机
寻找自己的Flag
华为开发者大会2020(Cloud)- 科技行者