H3C-Private VLAN配置示例

一、H3C-Private VLAN配置

1、组网介绍

        如图所示在某小区内需要接入用户PCA和PCB，为两位用户分配的VLAN分别为VLAN20和VLAN30，现需要为两个用户提供Internet服务，为两位用户分配了对外服务VLAN10。为了最大限度利用VLAN标签，同时隐藏用户网络信息，要求利用Primary VLAN技术实现PCA和PCB通过上行服务VLAN10访问Internet需求，同时PCA和PCB不能直接通过二层通信，需要通过三层进行通信。

2、需求分析

        根据需求PCA和PACB不能直接访问Internet，需要借助对外服务VLAN10，PCA和PCB不能直接进行二层通信，可知SWA的上行接口VLAN10为Primary VLAN，下行接口VLAN20 30是Secondary VLAN。

        同时，因为PCA和PCB不能直接进行二层通信，需要进行三层通信，则需要在SWB的VLANIF40接口开启本地ARP代理功能，实现PCA和PCB进行三层通信。

3、实验步骤

（1）SWA设备创建VLAN并划分至对应接口

        在SWA上创建VLAN20，VLAN30和VLAN10，将PCA所连接的端口G1/0/1添加到VLAN20中，将PCB所连接的端口G1/0/2添加到VLAN30中，将SWA连接SWB的端口G1/0/3添加到VLAN10中。

[SWA]vlan 10

[SWA-vlan10]port GigabitEthernet 1/0/3

[SWA-vlan10]vlan 20

[SWA-vlan20]port GigabitEthernet 1/0/1

[SWA-vlan20]vlan 30

[SWA-vlan30]port GigabitEthernet 1/0/2

[SWA-vlan30]

（2）在SWB上创建VLAN40，将连接SWB的端口G1/0/3添加到VLAN40中，给VLANIF40接口配置IP地址192.168.1.254/24。

[SWB-vlan40]port GigabitEthernet 1/0/1

[SWB]int Vlan-interface 40

[SWB-Vlan-interface40]ip add 192.168.1.254 24

（3）SWA设备配置private-vlan

      步骤一：在SWA上设置VLAN10为Primary VLAN，Secondary VLAN为20 30。同时，配置PrimaryVLAN和Secondary VLAN间的映射关系。

[SWA-vlan10]private-vlan primary

[SWA-vlan10]private-vlan secondary 20 30

        步骤二：配置上行/下行端口

        在配置Primary VLAN上行端口时需要注意：

1. 当上行端口只对应一个Primary VLAN，配置该端口工作在promiscuous模式，可以实现上行端口加入Primary VLAN及同步加入对应的Secondary VLAN的功能；
2. 当上行端口对应多个Primary VLAN，配置该端口工作在trunk promiscuous模式，可以实现上行端口加入多个Primary VLAN及同步加入对应的Secondary VLAN的功能。

       在配置Primary VLAN下行端口时需要注意：

1. 当下行端口只对应一个Secondary VLAN，配置该端口工作在host模式，可以实现下行端口同步加入Secondary VLAN对应的Primary VLAN的功能；
2. 当下行端口对应多个Secondary VLAN，配置该端口工作在trunk secondary模式，可以实现下行端口加入多个Secondary VLAN及同步加入对应的Primary VLAN的功能。

        本实验属于上下行只有一个的情况，因此配置命令如下：

[SWA]int g1/0/3

[SWA-GigabitEthernet1/0/3]port private-vlan 10 promiscuous 

[SWA-GigabitEthernet1/0/3]int g1/0/1

[SWA-GigabitEthernet1/0/1]port private-vlan host 

[SWA-GigabitEthernet1/0/1]int g1/0/2

[SWA-GigabitEthernet1/0/2]port private-vlan host

        步骤三：private-vlan配置验证

        配置完成后，PCA和PCB与SWB可以互通，但PCA和PCB之间不能互通。如下所示：

（4）SWB设备本地ARP代理配置

        步骤一：本地ARP代理配置

        Private VLAN中Secondary VLAN用于连接用户，Secondary VLAN之间二层帧互相隔离。如果希望实现同一Primary VLAN下Secondary VLAN用户之间互通，可以通过配置上行设备的本地代理ARP功能来实现三层报文的互通。

        因此，则需要在SWB三层设备的VLAN40接口下开启本地ARP代理功能。配置命令如下所示：

[SWB]INT Vlan-interface 40

[SWB-Vlan-interface40]local-proxy-arp enable

        步骤二：本地ARP功能验证

        当在SWB上配置了本地ARP代理之后，PCA和PCB便可以进行三层通信。如下图所示：

        至此，Private VLAN实验完成。