欢迎大家来到IT世界,在知识的湖畔探索吧!

说明

高级的隔离功能在H3C设备上面也是有的，之前介绍了思科与华为设备上面的配置，这次主要以H3C V7版本为主介绍PVLAN，在V5版本是称为isolate-user-vlan，通常拥在在运营商或者某些特殊场景下，采用LAN接入小区宽带，一般会采用用户之间相互隔离，但是传统的VLAN来说，一个VLAN一个客户，而一个交换机最多只有4094个VLAN，很多情况下是不够的，该技术就是屏蔽掉接入层的VLAN ID，只有汇聚层的ID可见，保证在4094个VLAN下是可用的。这里主要以V7版本的来介绍，V5版本后面会给出命令。

拓扑

其中G1/0/4为上行接口，也就是加入primary VLAN的接口，VLAN为2，而下面的G1/0/1~G1/0/2属于VLAN 3，G1/0/3，G1/0/5属于VLAN 4，实现的效果是，VLAN 3内的PC可以互访，而VLAN 4内的PC是不可以互访的，并且VLAN 3与VLAN 4都可以访问primary VLAN连接的网络，来访问外网或者内网的其他资源。

S5800交换机配置

【创建VLAN】
[H3C-S5800]vlan 2 to 4

【把VLAN2定义为primary VLAN，并且关联secondary VLAN 3 与4】
[H3C-S5800]vlan 2
[H3C-S5800-vlan2]private-vlan primary
[H3C-S5800-vlan2]private-vlan secondary 3 to 4

【定义上行接口在promiscuous模式】
[H3C-S5800]int g1/0/4
[H3C-S5800-GigabitEthernet1/0/4]port private-vlan 2 promiscuous

【定义下行接口在host模式，VLAN3】
[H3C-S5800]int range g1/0/1 to g1/0/2
[H3C-S5800-if-range]port private-vlan host
[H3C-S5800-if-range]port access vlan 3

【定义下行接口子啊host模式，VLAN 4】
[H3C-S5800]int range g1/0/3 g1/0/5
[H3C-S5800-if-range]port access vlan 4
[H3C-S5800-if-range]port private-vlan host

【测试】

（VLAN 3用户，1的IP是192.168.1.1，2的IP是192.168.1.2）
（VLAN 4用户，1的IP是192.168.1.3，2的IP是192.168.1.4）
这里测试它们之间能够互访。
【VLAN 3的用户测试】

【VLAN 4的用户测试】

可以看到VLAN 3以及VLAN 4各自VLAN内的VLAN都能互访，那么问题来了，那怎么实现让某个VLAN内的主机不能互访呢？

【实现VLAN内不能互访的功能，以VLAN 4为主测试】
[H3C-S5800]vlan 4
[H3C-S5800-vlan4]private-vlan isolated

这时候测试就显示VLAN 4内的主机已经不能通信了。

【查看PVLAN的状态】

可以看到从上面往下面看的话，primaryVLAN是多少，secondary VLAN是多少，然后primary VLAN是除了自己的接口以外，然后还会把secondary的接口也放入到自己的VLAN，能处理它们的流量，而secondary VLAN 的话则只包含自身定义的，还包含primary的，这样的话，无论是VLAN 3还是VLAN 4都能访问到VLAN 2的流量。

可以看到，secondary VLAN，默认的模式为secondary，这个模式是能够让VLAN内的PC相互访问的，而在Isolated模式的，则VLAN内的PC不能互访。

【定义VLANIF接口，并且让secondary VLAN能够用primary VLAN的VLANFI接口作为网关】

[H3C-S5800]int vlan 2
[H3C-S5800-Vlan-interface2]ip address 192.168.1.254 24
[H3C-S5800-Vlan-interface2]private-vlan secondary 3 to 4

可以看到VLAN 3与VLAN 4的用户都能访问VLAN 2 primary VLAN的接口流量，这样的话 可以通过该接口来访问外网或者其他内部网络。

配置了VLANIF接口后，在通过display查看的时候 是会显示的

【特殊需求：VLAN间的PC需要互访，也就是VLAN 3与VLAN 4之间的互访】

说明：默认情况下，secondary VLAN之间的PC是不能互访的，是相互隔离，如果需要它们之间能够访问的话，那么就必须开启本地代理ARP功能，使得它们三层之间能够通过VLANIF接口代转。

可以看到VLAN3-1（192.168.1.1）去访问192.168.1.3的时候是显示请求超时的，因为默认情况下，secondary VLAN间访问是被拒绝的。

[H3C-S5800]int vlan 2
[H3C-S5800-Vlan-interface2]local-proxy-arp enable

可以看到已经可以访问192.168.1.3了

可以看到192.168.1.3的对应的ARP解析的MAC地址是跟192.168.1.254网关的MAC是一样的，这说明并不是192.168.1.3回应的，而是通过了192.168.1.254这个网关的MAC来代理访问的。
【默认路由，让下面的客户端能够访问外网】
[H3C-S5800]ip route-static 0.0.0.0 0.0.0.0 192.168.1.253

出口路由器配置

【配置内网接口IP地址】
[H3C-GW]int g0/0
[H3C-GW-GigabitEthernet0/0]ip add 192.168.1.253 24

【配置外网接口IP地址】
[H3C-GW]int g0/1
[H3C-GW-GigabitEthernet0/1]ip add 202.100.1.1 24

【配置默认路由指向外网】
[H3C-GW]ip route-static 0.0.0.0 0.0.0.0 202.100.1.2
说明：这里不需要回程路由，因为都在同一个网段，可以解析到。

【NAT配置】
[H3C-GW]acl advanced 3000
[H3C-GW-acl-ipv4-adv-3000]rule permit ip source any

[H3C-GW]int g0/1
[H3C-GW-GigabitEthernet0/1]nat outbound 3000
这里配置了一个ACL匹配了所有流量，然后调用在外网口，做easy IP的NAT，用接口地址做PAT转换访问internet。

可以看到，两个secondary VLAN内的用户访问外网是没任何问题的，然后在NAT会话里面也有看到对应的转换。

V5版本 isolate-user-vlan配置思路

跟V7演示的拓扑类似。
【创建对应的VLAN】
[H3C]vlan 2 to 4

【把对应的接口加入对应的VLAN】
[H3C]vlan 2
[H3C-vlan2]port e0/4/0

[H3C-vlan2]vlan 3
[H3C-vlan3]port e0/4/1 to e0/4/2

[H3C-vlan3]vlan 4
[H3C-vlan4]port e0/4/3 to e0/4/4
说明：其中VLAN 2为primary VLAN，而VLAN3与4为secondary VLAN。

【定义哪个为primary VLAN】
[H3C]vlan 2
[H3C-vlan2]isolate-user-vlan enable

【关联secondary VLAN】
[H3C]isolate-user-vlan 2 secondary 3 to 4

其实跟V7的效果是类似的，显示也是差不多。

【配置SVI接口】
[H3C]interface vlan 2
[H3C-Vlan-interface2]ip address 192.168.1.254 24

配置了后 接口是会在查看的里面显示的。

【开启本地代理ARP功能，让secondary VLAN之间可以互访】
[H3C]int vlan 2
[H3C-Vlan-interface2]local-proxy-arp enable

如果大家有任何疑问或者文中有错误跟疏忽的地方，欢迎大家留言指出，博主看到后会第一时间修改，谢谢大家的支持，更多技术文章尽在网络之路Blog，版权归网络之路Blog所有，原创不易，侵权必究，觉得有帮助的，关注转发一波谢谢。

上一篇回顾

VLAN应用系列（9）华为交换机 MUX-VLAN功能

下一篇学习

DHCP：（1）原理篇「DHCP工作过程以及特性说明」