87、交換機安全VLAN攻擊配置實驗之PVLAN

1、私有VLAN解析

PVLAN分為Primary VLAN和Secondary VLAN，其中Secondary VLAN進一步分為隔離VLAN和團體VLAN，隔離VLAN和團體VLAN之間不能互訪，但他們都能與Primary VLAN互訪，隔離VLAN内部不能互訪，團體VLAN内部可以互訪。

端口角色

混雜端口：Primary VLAN端口

Host端口：隔離端口和團體端口

2、實驗拓撲

<a href="http://s3.51cto.com/wyfs02/M01/79/8A/wKiom1aUZ02im8fGAABusRmVwrc347.png" target="_blank"></a>

3、基礎配置

IOU1配置

no ip routing

interface Ethernet0/0

 ip address 192.168.1.1 255.255.255.0

IOU2配置

 ip address 192.168.1.2 255.255.255.0

IOU3配置

 ip address 192.168.1.3 255.255.255.0

IOU4配置

 ip address 192.168.1.4 255.255.255.0

IOU5配置

 ip address 192.168.1.5 255.255.255.0

4、PVLAN配置

配置透明模式（PVLAN必須配置在透明模式下）

vtp mode transparent

定義vlan

vlan 20

private-vlan primary 

vlan 501

private-vlan community 

vlan 502

private-vlan isolated 

關聯vlan

private-vlan association 501,502  

将端口劃進相應VLAN

int e1/0

switchport mode private-vlan promiscuous 

switchport private-vlan mapping 20 501,502

VLAN20為Primary VLAN，VLAN501、502為可以通路的Secondary VLAN

int range e0/0-1

switchport mode private-vlan host 

switchport private-vlan host-association 20 501

int range e0/2-3

switchport private-vlan host-association 20 502

此時如果想讓IOU2、IOU3、IOU4、IOU5都可以網關IOU6，需要做如下配置

ip routing

int vlan 20

ip address 192.168.1.20 255.255.255.0

private-vlan mapping 501,502

      本文轉自開源殿堂 51CTO部落格，原文連結：http://blog.51cto.com/kaiyuandiantang/1734066，如需轉載請自行聯系原作者