17. Private VLAN
Описание
Обеспечивает изоляцию портов в пределах VLAN
Нет необходимости выделять отдельную подсеть для каждого порта
Существует в пределах коммутатора (за исключением возможности передать через VTPv3)
Штатный механизм 802.1Q-2005
MAC Learning по входящим кадрам идет в таблицы сразу нескольких VLAN
Входящему кадру сопоставляется только один VID
Типы портов Private VLAN
Promiscuous - общие порты, со всеми VLAN
Isolated - кадры на порту не будут никуда коммутироваться, кроме promiscuous
Community - кадры между портами community могут коммутироваться, но не за пределы его
Конфигурация Private VLAN
Настройка базы VLAN:
Primary - родительский VLAN
Community - дочерний VLAN, разрешает коммутацию между хостами
Isolated - дочерний VLAN, не разрешает коммутацию между хостами
Включение коммутации PVLANна портах не включается без прописывания свойств PVLAN в базе, даже если конфигурация на интерфейсах правильная
Ограничения:
Как правило, использование PVLAN - признак плохого дизайна
Для VTPv1/v2 необходим режим transparent/off, в VTPv3 - выключить pruning
Конфигурация портов Private VLAN
Абонентский порт для Isolated/Community VLAN:
switchport private-vlan host-association <primary-vlan> <secondary-vlan>
MAC learning происходит в родительский и дочерний VLAN
входящим кадрам назначается VID дочернего VLAN
Promiscuous порт для набора дочерних VLAN:
switchport private-vlan mapping <primary-vlan> <secondary-vlan-list>
MAC learning происходит в родительский и прописанные дочерние VLAN
входящим кадрам назначается VID родительского VLAN
Диагностика портов
Конфигурация транков Private VLAN
Транк с корректно настроенным узлом, поддерживающим PVLAN:
Кадры PVLAN помечаются метками дочерних VLAN, остальные - своими
Возможна синхронизация базы по VTPv3
Транк с узлом, не поддерживающим PVLAN:
Кадры non-private VLAN помечаются собственными метками
Кадры PVLAN помечаются метками родительского VLAN
Promiscuous trunk: входящие кадры PVLAN получают VID родительского VLAN
Isolated trunk: входящие кадры PVLAN получают VID дочернего Isolated VLAN
PVLAN Edge
PVLAN Edge - механизм, подобный Private VLAN, но ограниченный isolated- и promiscuous-портами (нет community-портов)
В PVLAN Edge isolated-порты называются защищенными (protected)
Коммутатор не передает трафик между защищенными портами
Между защищенными и обычными портами трафик передается как обычно
Настраивается намного проще по сравнению с Private VLAN
Работает в пределах одного коммутатора (нет транков)
Служит для предотвращения атак между соседними хостами
ARP Poisoning
EternalBlue (WannaCry, Petya, etc...), MSBlast
Настройка PVLAN Edge
Last updated