建立VACL，使同一個vlan內部的機器不能互訪
R1(config)#vlan access-map map-name[sequence]
R1(config-access-map)#match ip address {acl-number |acl-name}
R1(config-access-map)#match ipx address {acl-number |acl-name}
R1(config-access-map)#match mac address acl-name
R1(config-access-map)#action {drop | forward | redirect}
R1(config)#vlan filter map-namevlan-listvlan-list

私有vlan
Case 1:ISP用同一個vlan同多個客戶網絡連接，每個客戶需要與該vlan網關中的ISP通信，但客戶之間不能通信
Case2:位于同一個vlan中的所有服務器都可以通過與網關通信，服務器之間不能相互通信，但能通過網關與不在本地網絡中的終端通信
私有vlan（PVLAN）將常規（主）VLAN邏輯關聯到單向（輔助）VLAN
輔助vlan可以同主vlan通信，但不能同其他輔助vlan通信，主要有下列類型
隔離：只能同主vlan通信，本地vlan中的主機之間亦不可通信
共用體：可以與主vlan通信，本地vlan中的主機之間亦可通信。
交換機端口類型：
混合：可與防火墻、路由器等網關設備連接，能夠與連接到主vlan或輔助vlan的任何設備通信。
主機：與隔離vlan或共用體vlan連接，只能與混合端口或同一個共用體vlan中的其他端口通信。

配置輔助vlan
R1(config)#vlanid
R1(config-vlan)#private-vlan {isociate | community}
定義主vlan，關聯所有輔助vlan
R1(config)#vlan id
R1(config-vlan)#private-vlan primary
R1(config-vlan)#private-vlan primary association {secondary-vlan-list| add secondary-vlan-list |remove secondary-vlan-listsecondary-vlan-list}

定義端口類型（主機或混合端口）
R1(config-if)#switchport mode private-vlan {host |promiscuos}
非混合模式下，需要將主vlan和輔助vlan關聯
R1(config-if)#switchport private-vlan host-associate primary-vlan-idsecondary-vlan-id
混合端口模式下，需要將端口映射到主vlan和輔助vlan
R1(config-if)#switchport private-vlan mapping primary-vlan-idsecondary-vlan-id {addsecondary-vlan-id}|{removesecondary-vlan-id}

具體配置
R1(config)#vlan10
R1(config-vlan)#private-vlan isociate
R1(config)#vlan 20
R1(config-vlan)#private-vlan isociate
R1(config)#vlan 30
R1(config-vlan)#private-vlan community
R1(config)#vlan 100
R1(config-vlan)#private-vlan primary
R1(config-vlan)#private-vlan primary association vlan 102030
R1(config-vlan)#exit
R1(config)#int range fa0/1 - 2
R1(config-if-range)#switchport mode private-vlan host
R1(config-if-range)#switchport private-vlan host-associate10010
R1(config-if-range)#exit
R1(config)#int range fa0/5 - 6
R1(config-if-range)#switchport mode private-vlan host
R1(config-if-range)#switchport private-vlan host-associate10020
R1(config-if-range)#exit
R1(config)#int range fa0/3
R1(config-if-range)#switchport mode private-vlan host
R1(config-if-range)#switchport private-vlan host-associate10030
R1(config-if-range)#exit

R1(config)#int range fa1/10
R1(config-if-range)#switchport mode private-vlan promiscuos
R1(config-if-range)#switchport private-vlan mapping 100102030
R1(config-if-range)#exit

轉載于:https://blog.51cto.com/8669236/1369160

總結

以上是生活随笔為你收集整理的VLAN安全的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。