El conjunto de documentos para este producto aspira al uso de un lenguaje no discriminatorio. A los fines de esta documentación, "no discriminatorio" se refiere al lenguaje que no implica discriminación por motivos de edad, discapacidad, género, identidad de raza, identidad étnica, orientación sexual, nivel socioeconómico e interseccionalidad. Puede haber excepciones en la documentación debido al lenguaje que se encuentra ya en las interfaces de usuario del software del producto, el lenguaje utilizado en función de la documentación de la RFP o el lenguaje utilizado por un producto de terceros al que se hace referencia. Obtenga más información sobre cómo Cisco utiliza el lenguaje inclusivo.
Cisco ha traducido este documento combinando la traducción automática y los recursos humanos a fin de ofrecer a nuestros usuarios en todo el mundo contenido en su propio idioma. Tenga en cuenta que incluso la mejor traducción automática podría no ser tan precisa como la proporcionada por un traductor profesional. Cisco Systems, Inc. no asume ninguna responsabilidad por la precisión de estas traducciones y recomienda remitirse siempre al documento original escrito en inglés (insertar vínculo URL).
Este documento describe la compatibilidad con VLAN privada (PVLAN) en Cisco Unified Computing System (UCS), una función introducida en la versión 1.4 de Cisco UCS Manager (UCSM). También detalla las funciones, las advertencias y la configuración cuando se utilizan PVLAN en un entorno UCS.
ESTE DOCUMENTO SE UTILIZA CON LA VERSIÓN 2.2(2C) DE UCSM Y VERSIONES ANTERIORES. En las versiones posteriores a la versión 2.2(2C), se han realizado cambios en UCSM y se admite el DVS de ESXi. También hay cambios en cómo funciona el etiquetado para la NIC PVLAN.
Cisco recomienda que tenga conocimiento sobre estos temas:
Este documento no tiene restricciones específicas en cuanto a versiones de software y de hardware.
The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.
Una VLAN privada es una VLAN configurada para el aislamiento de L2 de otros puertos dentro de la misma VLAN privada. Los puertos que pertenecen a una PVLAN están asociados con un conjunto común de VLAN de soporte, que se utilizan para crear la estructura PVLAN.
Hay tres tipos de puertos PVLAN:
Consulte RFC 5517, VLAN privadas de Cisco Systems: Seguridad escalable en un entorno de varios clientes para comprender la teoría, el funcionamiento y los conceptos de las PVLAN.
UCS se asemeja mucho a la arquitectura de Nexus 5000/2000, en la que Nexus 5000 es similar a UCS 6100 y Nexus 2000 a los Fabric Extenders UCS 2104.
Muchas limitaciones de la funcionalidad de PVLAN en UCS se deben a las limitaciones encontradas en la implementación de Nexus 5000/2000.
Los puntos importantes que hay que recordar son:
Este documento abarca varias configuraciones diferentes disponibles para PVLAN con UCS:
La topología para todos los ejemplos con un switch distribuido es:
La topología para todos los ejemplos sin switch distribuido es:
En esta configuración, está pasando el tráfico PVLAN a través de UCS a un puerto promiscuo que está en flujo ascendente. Debido a que no puede enviar VLAN primarias y secundarias en el mismo vNIC, necesita un vNIC para cada blade para cada PVLAN, para llevar el tráfico PVLAN.
Este procedimiento describe cómo crear las VLAN principales y las que se encuentran aisladas.
Nota: Este ejemplo utiliza 266 como primario y 166 como aislado; el sitio determinará los ID de VLAN.
Estos procedimientos describen cómo configurar un Nexus 5K para pasar la PVLAN a un switch ascendente 4900 donde está el puerto promiscuo. Aunque esto puede no ser necesario en todos los entornos, utilice esta configuración en el caso de que deba pasar la PVLAN a través de otro switch.
En Nexus 5K, ingrese estos comandos y verifique la configuración del link ascendente:
Nexus5000-5(config)# feature private-vlan[an error occurred while processing this directive]
Nexus5000-5(config)# vlan 166[an error occurred while processing this directive]
Nexus5000-5(config-vlan)# private-vlan isolated
Nexus5000-5(config-vlan)# vlan 266
Nexus5000-5(config-vlan)# private-vlan primary
Nexus5000-5(config-vlan)# private-vlan association 166[an error occurred while processing this directive]
En el switch 4900, tome estos pasos y configure el puerto promiscuo. La PVLAN termina en el puerto promiscuo.
Switch(config-if)#switchport mode trunk[an error occurred while processing this directive]
switchport private-vlan mapping 266 166
switchport mode private-vlan promiscuous
En el router ascendente, cree una subinterfaz sólo para la VLAN 266. En este nivel, los requisitos dependen de la configuración de red que esté utilizando:
Este procedimiento describe cómo probar la configuración.
(config)# interface vlan 266[an error occurred while processing this directive]
(config-if)# ip address 209.165.200.225 255.255.255.224
(config-if)# private-vlan mapping 166
(config-if)# no shut
En esta configuración, los sistemas en esta VLAN aislada no pueden comunicarse entre sí, pero pueden comunicarse con otros sistemas a través del puerto promiscuo en el switch 4900. Un problema es cómo configurar los dispositivos de descarga. En este caso, está utilizando VMware y dos hosts.
Recuerde que debe utilizar un vNIC para cada PVLAN. Estos vNIC se presentan a VMware vSphere ESXi y, a continuación, puede crear grupos de puertos y tener invitados a estos grupos de puertos.
Si se agregan dos sistemas al mismo grupo de puertos en el mismo switch, pueden comunicarse entre sí porque sus comunicaciones se conmutan localmente en el vSwitch. En este sistema, hay dos blades con dos hosts cada uno.
En el primer sistema, se han creado dos grupos de puertos diferentes: uno llamado 166 y otro llamado 166A. Cada uno se conecta a una sola NIC, que se configura en la VLAN aislada en UCS. Actualmente, sólo hay un invitado para cada grupo de puertos. En este caso, debido a que se separan en ESXi, no pueden comunicarse entre sí.
En el segundo sistema, hay sólo un grupo de puertos llamado 166. Hay dos invitados en este grupo de puertos. En esta configuración, VM3 y VM4 pueden comunicarse entre sí aunque no desee que esto suceda. Para corregir esto, debe configurar una única NIC para cada máquina virtual (VM) que se encuentre en la VLAN aislada y, a continuación, crear un grupo de puertos conectado a esa vNIC. Una vez configurado, coloque sólo un invitado en el grupo de puertos. Este no es un problema con una instalación de Windows sin software específico porque no tiene estos vSwitches subyacentes.
En esta configuración, está pasando el tráfico PVLAN a través de un N1K y luego el UCS a un puerto promiscuo ascendente. Debido a que no puede enviar VLAN primarias y secundarias en el mismo vNIC, necesita un vNIC para cada link ascendente PVLAN para llevar el tráfico PVLAN.
Este procedimiento describe cómo crear las VLAN principales y las que se encuentran aisladas.
Nota: Este ejemplo utiliza 266 como primario y 166 como aislado; el sitio determinará los ID de VLAN.
Estos procedimientos describen cómo configurar un Nexus 5K para pasar la PVLAN a un switch ascendente 4900 donde está el puerto promiscuo. Aunque esto puede no ser necesario en todos los entornos, utilice esta configuración en el caso de que deba pasar la PVLAN a través de otro switch.
En Nexus 5K, ingrese estos comandos y verifique la configuración del link ascendente:
Nexus5000-5(config)# feature private-vlan[an error occurred while processing this directive]
Nexus5000-5(config)# vlan 166[an error occurred while processing this directive]
Nexus5000-5(config-vlan)# private-vlan isolated
Nexus5000-5(config-vlan)# vlan 266
Nexus5000-5(config-vlan)# private-vlan primary
Nexus5000-5(config-vlan)# private-vlan association 166[an error occurred while processing this directive]
En el switch 4900, tome estos pasos y configure el puerto promiscuo. La PVLAN termina en el puerto promiscuo.
Switch(config-if)#switchport mode trunk[an error occurred while processing this directive]
switchport private-vlan mapping 266 166
switchport mode private-vlan promiscuous
En el router ascendente, cree una subinterfaz sólo para la VLAN 266. En este nivel, los requisitos dependen de la configuración de red que utilice:
Este procedimiento describe cómo configurar el N1K como un trunk estándar, no un trunk PVLAN.
Switch(config)#port-profile type ethernet pvlan_uplink[an error occurred while processing this directive]
Switch(config-port-prof)# vmware port-group
Switch(config-port-prof)# switchport mode trunk
Switch(config-port-prof)# switchport trunk allowed vlan 166,266
Switch(config-port-prof)# switchport trunk native vlan 266 <-- This is necessary to handle
traffic coming back from the promiscuous port.
Switch(config-port-prof)# channel-group auto mode on mac-pinning
Switch(config-port-prof)# no shut
Switch(config-port-prof)# state enabled
Switch(config)# port-profile type vethernet pvlan_guest[an error occurred while processing this directive]
Switch(config-port-prof)# vmware port-group
Switch(config-port-prof)# switchport mode private-vlan host
Switch(config-port-prof)# switchport private-vlan host-association 266 166
Switch(config-port-prof)# no shut
Switch(config-port-prof)# state enabled
Este procedimiento describe cómo probar la configuración.
En esta configuración, usted contiene el tráfico PVLAN al N1K con sólo la VLAN principal utilizada ascendente.
Este procedimiento describe cómo agregar la VLAN principal al vNIC. No se necesita configuración de PVLAN porque sólo necesita la VLAN principal.
Nota: Este ejemplo utiliza 266 como primario y 166 como aislado; el sitio determinará los ID de VLAN.
Estos procedimientos describen cómo configurar los dispositivos ascendentes. En este caso, los switches ascendentes sólo necesitan puertos troncales, y sólo necesitan una VLAN 266 troncal porque es la única VLAN que ven los switches ascendentes.
En Nexus 5K, ingrese estos comandos y verifique la configuración del link ascendente:
Nexus5000-5(config-vlan)# vlan 266[an error occurred while processing this directive]
En el switch 4900, siga estos pasos:
En el router ascendente, cree una subinterfaz sólo para la VLAN 266. En este nivel, los requisitos dependen de la configuración de red que utilice.
Este procedimiento describe cómo configurar el N1K.
Switch(config)# vlan 166[an error occurred while processing this directive]
Switch(config-vlan)# private-vlan isolated
Switch(config-vlan)# vlan 266
Switch(config-vlan)# private-vlan primary
Switch(config-vlan)# private-vlan association 166
Switch(config)#port-profile type ethernet pvlan_uplink[an error occurred while processing this directive]
Switch(config-port-prof)# vmware port-group
Switch(config-port-prof)# switchport mode private-vlan trunk promiscuous
Switch(config-port-prof)# switchport private-vlan trunk allowed vlan 266 <-- Only need to
allow the primary VLAN
Switch(config-port-prof)# switchport private-vlan mapping trunk 266 166 <-- The VLANS must
be mapped at this point
Switch(config-port-prof)# channel-group auto mode on mac-pinning
Switch(config-port-prof)# no shut
Switch(config-port-prof)# state enabled
Switch(config)# port-profile type vethernet pvlan_guest[an error occurred while processing this directive]
Switch(config-port-prof)# vmware port-group
Switch(config-port-prof)# switchport mode private-vlan host
Switch(config-port-prof)# switchport private-vlan host-association 266 166
Switch(config-port-prof)# no shut
Switch(config-port-prof)# state enabled
Este procedimiento describe cómo probar la configuración.
Esta es la única configuración admitida para la VLAN de comunidad con UCS.
Esta configuración es la misma que la configurada en la PVLAN Aislada en N1K con Puerto Promiscuo en la sección Perfil de Puerto de Enlace Ascendente N1K. La única diferencia entre comunidad y aislado es la configuración de la PVLAN.
Para configurar el N1K, cree y asocie las VLAN como hizo en el Nexus 5K:
Switch(config)# vlan 166[an error occurred while processing this directive]
Switch(config-vlan)# private-vlan community
Switch(config-vlan)# vlan 266
Switch(config-vlan)# private-vlan primary
Switch(config-vlan)# private-vlan association 16
El resto de la configuración es la misma que la PVLAN aislada en N1K con puerto promiscuo en el perfil de puerto de link ascendente N1K.
Una vez configurado, puede comunicarse con todas las VM conectadas al perfil de puerto vEthernet utilizado para su PVLAN.
Este procedimiento describe cómo probar la configuración.
Debido a los problemas de configuración tanto en el DVS como en el sistema UCS, las PVLAN con DVS y UCS no son compatibles antes de la versión 2.2(2c).
Actualmente no hay procedimientos de verificación disponibles para estas configuraciones.
Las secciones anteriores proporcionaban información que puede utilizar para resolver problemas de sus configuraciones.
La herramienta de interpretación de información de salida (disponible para clientes registrados únicamente) admite ciertos comandos show. Utilice la herramienta para ver una análisis de información de salida del comando show.