配置和实施私有vlan

实验拓扑：

任务一：

将所有交换机的 VTP 模式调整为Transparent，sw1添加vlan101、vlan102；sw2添加vlan103、vlan104.

sw1(config)#vtp mode transparent 
sw1(config)#vlan 101
sw1(config-vlan)#exit
sw1(config)#vlan 102
sw1(config-vlan)#exit

sw2(config)#vtp mode transparent 
sw2(config)#vlan 103
sw2(config-vlan)#exit
sw2(config)#vlan 104
sw2(config-vlan)#exit

sw3(config)#vtp mode transparent 

SW1 和 SW2 在本任务中只负责数据交换，建立逻辑通信链路，具体配置如下：

a:将 SW1 的e1/0和e0/2配置为 vlan101 的 Access 接口，这样 R1 的e0/0口和SW3的e0/2就建立了逻辑通信链路，可以看作R1的e0/0和SW3的e0/2之间已经直连在一起了
b:将 SW1 的e1/1和e0/3配置为 vlan101 的 Access 接口，这样 R2 的e0/0口和 SW3 的e0/3就建立了逻辑通信链路
c:将 SW2 的e0/2和e1/0配置为 vlan103 的 Access 接口，这样 R3 的e0/0口和 SW3 的e1/0就建立了逻辑通信链路
d:将 SW2 的e1/1和e0/3配置为 vlan104 的 Access 接口，这样 R4 的e0/0口和 SW3 的e1/1就建立了逻辑通信链路
完成以上设置后，就能建立出 R1、R2、R3、R4 都直连在 SW3 的逻辑结构

sw1(config)#interface range e1/0,e0/2   
sw1(config-if-range)#switchport mode access  
sw1(config-if-range)#switchport access vlan 101
sw1(config-if-range)#no shutdown 
sw1(config-if-range)#exit
sw1(config)#interface range e1/1,e0/3
sw1(config-if-range)#switchport mode access 
sw1(config-if-range)#switchport access vlan 102
sw1(config-if-range)#no shutdown 
sw1(config-if-range)#exit

sw2(config)#interface range e0/2,e1/0   
sw2(config-if-range)#switchport mode access 
sw2(config-if-range)#switchport access vlan 103
sw2(config-if-range)#no shutdown 
sw2(config-if-range)#exit      
sw2(config)#interface range e1/1,e0/3
sw2(config-if-range)#switchport mode access 
sw2(config-if-range)#switchport access vlan 104
sw2(config-if-range)#no shutdown 
sw2(config-if-range)#exit

将 SW3 的e0/2、e0/3、e1/0、e1/1，4 个接口配置为 access 接口，加入默认的vlan1

sw3(config)#interface range e0/2-3,e1/0-1
sw3(config-if-range)#switchport mode access 
sw3(config-if-range)#switchport access vlan 1
sw3(config-if-range)#no shutdown 
sw3(config-if-range)#exit

配置 4 台路由器的接口 IP：

R1(e0/0):192.168.1.1/24
R2(e0/0):192.168.1.2/24
R3(e0/0):192.168.1.3/24
R4(e0/0):192.168.1.4/24

r1(config)#interface ethernet 0/0
r1(config-if)#ip address 192.168.1.1 255.255.255.0
r1(config-if)#no shutdown

r2(config)#interface ethernet 0/0
r2(config-if)#ip address 192.168.1.2 255.255.255.0
r2(config-if)#no shutdown

r3(config)#interface ethernet 0/0
r3(config-if)#ip address 192.168.1.3 255.255.255.0
r3(config-if)#no shutdown

r4(config)#interface ethernet 0/0
r4(config-if)#ip address 192.168.1.4 255.255.255.0
r4(config-if)#no shutdown 

检测：

1：检测vlan数据库，确认valn以及它们的Access接口配置正确。

2：确认4台路由器之间可以相互通信。

任务二：配置Protected-Port

配置 SW3 的e1/0和e1/1为 Protected 端口
确保 R1 和 R2 能互相通信，也能和 R3、R4 通信
R3 和 R4 之间不能互相通信
R3 能和 R1、R2 通信
R4 能和 R1、R2 通信

SW3(config)#interface range e1/0-1
SW3(config-if-range)#switchport protected 

任务三：配置团体vlan

删除任务 2 中关于 Protect-Ports 的配置

配置私有 vlan 特性：
创建 vlan20 和 vlan30 作为辅助 vlan，两个 vlan 均为团体 vlan
创建 vlan10，为主 vlan，关联两个辅助 vlan20 和 30
R1 和 R2 是 vlan20 的主机、R3 和 R4 是 vlan30 的主机
完成配置后，R1和R2 能互相通信，R3 和 R4 能互相通信

sw3(config)#vlan 20
sw3(config-vlan)#private-vlan community 
sw3(config-vlan)#exit
sw3(config)#vlan 30
sw3(config-vlan)#private-vlan community 
sw3(config)#vlan 10
sw3(config-vlan)#private-vlan primary 
sw3(config-vlan)#private-vlan association 20,30

任务四：配置混杂端口

将 R1 调整为私有 vlan 混杂端口的主机
保持 R2 为 vlan20（团体 vlan）的主机
保持 R3、R3 为 vlan30（团体 vlan）的主机
完成本任务后，R1 能和 R2、R3、R4 互相通信；R3 和 R4 之间能互相通信；R2 只能与 R1 通信（不能和其他辅助 vlan 的主机通信）

SW3(config)#interface e0/2
SW3(config-if)#switchport mode private-vlan promiscuous  
SW3(config-if)#switchport private-vlan mapping 10 20,30 

任务五：配置隔离vlan

创建 vlan40，将该 vlan 定义为私有 vlan 的辅助 vlan，主 vlan 是 vlan10，类型是隔离 vlan
将 R3 和 R4 配置为 vlan40 的主机
完成本配置后，R3 和 R4 之间都不能通信，它们只能和混杂端口的主机（R1）通信

sw3config)#vlan 40 
sw3(config-vlan)#private-vlan isolated  
sw3(config-vlan)#exit
sw3(config)#vlan 10 
sw3(config-vlan)#private-vlan association add 40 
sw3(config-vlan)#exit
sw3(config)#interface e0/2
sw3(config-if)#switchport private-vlan mapping 10 20,30,40
sw3(config-if)#exit
sw3(config)#interface range e1/0-1
sw3(config-if-range)#switchport private-vlan host-association 10 40