在Cisco交换机上使用protected port隔离二层trunk端口

案例环境：

我司酒店客房，房间内部署面板AP。面板AP的前面板网口同时给住客提供有线接入。

出于安全考虑，要求AP的capwap隧道使用一个vlan100，住客的有线网接入使用另一个vlan200。所有业务在各个客房之间二层隔离，从客房只能访问网关。

上述需求，因为涉及了多个vlan，故需要在楼层接入交换机的端口上使用trunk。

根据资料，cisco提供了一种pvlan扩展技术，支持在trunk上使用，且无需下联设备支持pvlan。

但是此种特性只在4500等系列的交换机上才有支持。常用于楼层接入的固定配置三层交换机并不支持这种高级特性（只支持基本的pvlan）。

但是，思科大多数交换机支持一个叫protected port的技术（也被称为private vlan edge）。

此技术有如下特点：

·隔离范围仅限一台交换机内（堆叠交换机也被视为一台）。

·同属于protected的端口之间不能互相发送数据（包括单播、组播、广播），但PIM等由CPU软件转发的除外。所有protected端口之间想要传输数据，必须通过三层设备。

·protected端口和非protected端口之间可以正常通信。

·基于端口，而不是vlan，因此可以应用在trunk端口上。

配置方法很简单，在需要的接口下面，打switchport protected命令即可。

实际测试结果表明，应用protected port功能的接口均被二层隔离（包括trunk口上所有的vlan）。

但这些隔离的端口都可以与L3交换机上的vlan interface通信。

可以满足前述需求。