本產品的文件集力求使用無偏見用語。針對本文件集的目的,無偏見係定義為未根據年齡、身心障礙、性別、種族身分、民族身分、性別傾向、社會經濟地位及交織性表示歧視的用語。由於本產品軟體使用者介面中硬式編碼的語言、根據 RFP 文件使用的語言,或引用第三方產品的語言,因此本文件中可能會出現例外狀況。深入瞭解思科如何使用包容性用語。
思科已使用電腦和人工技術翻譯本文件,讓全世界的使用者能夠以自己的語言理解支援內容。請注意,即使是最佳機器翻譯,也不如專業譯者翻譯的內容準確。Cisco Systems, Inc. 對這些翻譯的準確度概不負責,並建議一律查看原始英文文件(提供連結)。
本檔案介紹思科整合運算系統(UCS)中的私人VLAN(PVLAN)支援,這是Cisco UCS Manager(UCSM)版本1.4中介紹的功能。 還詳細說明了在UCS環境中使用PVLAN時的功能、注意事項和配置。
本文檔用於UCSM版本2.2(2C)及更早版本。在版本2.2(2C)之後的版本中,對UCSM進行了更改,支援ESXi DVS。對於PVLAN NIC,標籤的工作方式也發生了變化。
思科建議您瞭解以下主題:
本文件所述內容不限於特定軟體和硬體版本。
本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除(預設)的組態來啟動。如果您的網路正在作用,請確保您已瞭解任何指令可能造成的影響。
專用VLAN是配置為從同一個專用VLAN中的其他埠隔離第2層的VLAN。屬於PVLAN的連線埠與一組常見的支援VLAN關聯,用於建立PVLAN架構。
PVLAN埠有三種型別:
請參閱RFC 5517,Cisco Systems的私人VLAN:在多客戶端環境中實現可擴展的安全性,以便瞭解PVLAN的理論、操作和概念。
UCS非常類似於Nexus 5000/2000架構,其中Nexus 5000與UCS 6100類似,Nexus 2000與UCS 2104交換矩陣擴展器類似。
UCS中PVLAN功能的許多限制是由Nexus 5000/2000實施中的限制引起的。
需要記住的重要一點是:
本文檔介紹適用於使用UCS的PVLAN的多種不同配置:
分散式交換機的所有示例的拓撲是:
沒有分散式交換機的所有示例的拓撲是:
在此配置中,您將PVLAN流量通過UCS傳遞到上游的混合埠。由於不能在同一個vNIC上同時傳送主和輔助VLAN,因此每個PVLAN的每個刀片需要一個vNIC,以便傳輸PVLAN流量。
以下過程介紹了如何建立主要和任何隔離VLAN。
附註:本示例使用266作為主用裝置,166作為隔離裝置;vlan ID由站點決定。
以下過程介紹了如何配置Nexus 5K以將PVLAN傳遞到混雜埠所在的上游4900交換機。雖然並非在所有環境中都必需此配置,但如果您必須將PVLAN通過另一台交換機,請使用此配置。
在Nexus 5K上,輸入以下命令,並檢查上行鏈路配置:
Nexus5000-5(config)# feature private-vlan[an error occurred while processing this directive]
Nexus5000-5(config)# vlan 166[an error occurred while processing this directive]
Nexus5000-5(config-vlan)# private-vlan isolated
Nexus5000-5(config-vlan)# vlan 266
Nexus5000-5(config-vlan)# private-vlan primary
Nexus5000-5(config-vlan)# private-vlan association 166[an error occurred while processing this directive]
在4900交換機上,執行這些步驟,並設定混雜埠。PVLAN在混雜埠結束。
Switch(config-if)#switchport mode trunk[an error occurred while processing this directive]
switchport private-vlan mapping 266 166
switchport mode private-vlan promiscuous
在上游路由器上,只為VLAN 266建立子介面。在此級別,要求取決於您使用的網路配置:
此程式介紹如何測試配置。
(config)# interface vlan 266[an error occurred while processing this directive]
(config-if)# ip address 209.165.200.225 255.255.255.224
(config-if)# private-vlan mapping 166
(config-if)# no shut
在此配置中,此隔離VLAN中的系統無法相互通訊,但可以通過4900交換機上的混雜埠與其他系統通訊。一個問題是如何配置下行裝置。在這種情況下,您使用VMware和兩個主機。
請記住,您必須為每個PVLAN使用一個vNIC。這些vNIC提供給VMware vSphere ESXi,然後您可以建立埠組並讓來賓訪問這些埠組。
如果將兩個系統新增到同一交換機上的同一埠組,則它們可以彼此通訊,因為它們的通訊在vSwitch上進行本地交換。在此系統中,有兩台刀鋒伺服器,每台伺服器有兩個主機。
在第一個系統上建立了兩個不同的埠組 — 一個稱為166,另一個稱為166A。每個介面都連線到單個NIC,該NIC在UCS上的隔離VLAN中配置。目前每個連線埠群組只有一個訪客。在本例中,由於它們在ESXi上是分開的,所以它們不能相互通訊。
在第二個系統上,只有一個埠組稱為166。此埠組中有兩個訪客。在此配置中,VM3和VM4可以相互通訊,即使您不希望發生這種情況。為了糾正此問題,您需要為隔離VLAN中的每個虛擬機器(VM)配置單個NIC,然後建立連線到該vNIC的埠組。設定好後,只需將一位訪客加入連線埠群組。裸機Windows安裝不存在此問題,因為您沒有這些基礎vSwitch。
在此配置中,您將PVLAN流量通過N1K,然後通過UCS傳遞到上游的混合埠。由於不能在同一個vNIC上同時傳送主VLAN和輔助VLAN,因此每個PVLAN上行鏈路需要一個vNIC來傳輸PVLAN流量。
以下過程介紹了如何建立主要和任何隔離VLAN。
附註:本示例使用266作為主用裝置,166作為隔離裝置;vlan ID由站點決定。
以下步驟說明如何配置Nexus 5K,以便將PVLAN傳遞到混雜埠所在的上游4900交換機。雖然並非在所有環境中都必需此配置,但如果您必須將PVLAN通過另一台交換機,請使用此配置。
在Nexus 5K上,輸入以下命令,並檢查上行鏈路配置:
Nexus5000-5(config)# feature private-vlan[an error occurred while processing this directive]
Nexus5000-5(config)# vlan 166[an error occurred while processing this directive]
Nexus5000-5(config-vlan)# private-vlan isolated
Nexus5000-5(config-vlan)# vlan 266
Nexus5000-5(config-vlan)# private-vlan primary
Nexus5000-5(config-vlan)# private-vlan association 166[an error occurred while processing this directive]
在4900交換機上,執行這些步驟,並設定混雜埠。PVLAN在混雜埠結束。
Switch(config-if)#switchport mode trunk[an error occurred while processing this directive]
switchport private-vlan mapping 266 166
switchport mode private-vlan promiscuous
在上游路由器上,只為VLAN 266建立子介面。在此級別,要求取決於您使用的網路配置:
以下過程介紹了如何將N1K配置為標準中繼,而不是PVLAN中繼。
Switch(config)#port-profile type ethernet pvlan_uplink[an error occurred while processing this directive]
Switch(config-port-prof)# vmware port-group
Switch(config-port-prof)# switchport mode trunk
Switch(config-port-prof)# switchport trunk allowed vlan 166,266
Switch(config-port-prof)# switchport trunk native vlan 266 <-- This is necessary to handle
traffic coming back from the promiscuous port.
Switch(config-port-prof)# channel-group auto mode on mac-pinning
Switch(config-port-prof)# no shut
Switch(config-port-prof)# state enabled
Switch(config)# port-profile type vethernet pvlan_guest[an error occurred while processing this directive]
Switch(config-port-prof)# vmware port-group
Switch(config-port-prof)# switchport mode private-vlan host
Switch(config-port-prof)# switchport private-vlan host-association 266 166
Switch(config-port-prof)# no shut
Switch(config-port-prof)# state enabled
此程式介紹如何測試配置。
在此配置中,將包含通向N1K的PVLAN流量,並且只有上游使用主VLAN。
以下過程介紹如何將主VLAN新增到vNIC。無需PVLAN配置,因為您只需要主要VLAN。
附註:本示例使用266作為主用裝置,166作為隔離裝置;vlan ID由站點決定。
以下過程介紹了如何配置上游裝置。在這種情況下,上游交換機只需要中繼埠,並且只需要中繼VLAN 266,因為它是上游交換機看到的唯一VLAN。
在Nexus 5K上,輸入以下命令,並檢查上行鏈路配置:
Nexus5000-5(config-vlan)# vlan 266[an error occurred while processing this directive]
在4900交換器上,執行以下步驟:
在上游路由器上,只為VLAN 266建立子介面。在此級別,要求取決於您使用的網路配置。
以下過程介紹了如何配置N1K。
Switch(config)# vlan 166[an error occurred while processing this directive]
Switch(config-vlan)# private-vlan isolated
Switch(config-vlan)# vlan 266
Switch(config-vlan)# private-vlan primary
Switch(config-vlan)# private-vlan association 166
Switch(config)#port-profile type ethernet pvlan_uplink[an error occurred while processing this directive]
Switch(config-port-prof)# vmware port-group
Switch(config-port-prof)# switchport mode private-vlan trunk promiscuous
Switch(config-port-prof)# switchport private-vlan trunk allowed vlan 266 <-- Only need to
allow the primary VLAN
Switch(config-port-prof)# switchport private-vlan mapping trunk 266 166 <-- The VLANS must
be mapped at this point
Switch(config-port-prof)# channel-group auto mode on mac-pinning
Switch(config-port-prof)# no shut
Switch(config-port-prof)# state enabled
Switch(config)# port-profile type vethernet pvlan_guest[an error occurred while processing this directive]
Switch(config-port-prof)# vmware port-group
Switch(config-port-prof)# switchport mode private-vlan host
Switch(config-port-prof)# switchport private-vlan host-association 266 166
Switch(config-port-prof)# no shut
Switch(config-port-prof)# state enabled
此程式介紹如何測試配置。
這是使用UCS的社群VLAN唯一支援的配置。
此配置與在N1K上的隔離PVLAN中設定的配置相同,在N1K上行鏈路埠配置檔案部分設定了混雜埠。團體與隔離的唯一區別是PVLAN的配置。
要配置N1K,請像在Nexus 5K上那樣建立和關聯VLAN:
Switch(config)# vlan 166[an error occurred while processing this directive]
Switch(config-vlan)# private-vlan community
Switch(config-vlan)# vlan 266
Switch(config-vlan)# private-vlan primary
Switch(config-vlan)# private-vlan association 16
所有其他配置與N1K上的隔離PVLAN相同,N1K上行埠配置檔案上有混雜埠。
配置此配置後,您可以與連線到PVLAN使用的vEthernet埠配置檔案的所有VM通訊。
此程式介紹如何測試配置。
由於DVS和UCS系統都存在配置問題,因此2.2(2c)版之前不支援帶有DVS和UCS的PVLAN。
目前沒有適用於這些配置的驗證程式。
前面部分提供的資訊可用於對配置進行故障排除。