智象运维干货 | 交换机不同VLAN之间及相同VLAN之内进行隔离

文中所展示的内容为VLAN与VLAN之间分隔关系，如相同VLAN用户之间进行分隔，相同VLAN一组用户之间允许通信并与其它一组用户之间进行分隔，属于VLAN的高级应用范畴。本文来源于智象运维某大神的日常工作记录分享。

 

基于CISCO产品

​一、 普通VLAN

VLAN称为虚拟局域网，主要功能用于将一个大的广播域分割成多个小的广播域，用来减小发现广播攻击时的受攻范围的。VLAN不是用来隔离网络的而是用来缩小广播域的。不同VLAN之间可以通过SVI、单臂等方式通信，因此谈不上隔离一说。在同一个VLAN中的所有主机都位于一个广播域，广播数据包会发送到每一个主机。

若要对不同VLAN之间通信进行隔离，需要在VLAN的网关接口上使用ACL访问规则进行控制。

 

二、 Protected Port (Private vlan edge)

某些特殊需求下需要禁止同台一交换机上相同VLAN号的主机之间通信，但又不能将这些禁止通信的主机划到不同VLAN，因为这些主机还需要和VLAN中的其它主机通信，只是不能和部分主机通信。要限制交换机上相同VLAN的主机通信，通过将交换机上的接口配置成Protected Port来实现。

如：交换机上