＋设为首页 ＋添加到收藏夹
1 前言
2 vlan的局限性 【程序编程相关:Cisco交换机实现端口安全的方法及事项】交换机是网络的核心设备之一,其技术发展非常迅速,从10mbit/s以太网.100mbit/s快速以太网,进而发展到吉比特与10吉比特以太网.交换机在通信领域与企业中的应用向纵深发展,网络管理人员对掌握专用虚拟局域网pvlan技术的需求也越来越迫切.本文通过实践经验对这方面的应用进行总结. 【推荐阅读:Ios安全模板】（1）vlan的限制:交换机固有的vlan数目的限制; 【扩展信息:Cisco路由器的备份配置方法(1)】随着网络的迅速发展,用户对于网络数据通信的安全性提出了更高的要求,诸如防范黑客攻击.控制病毒传播等,都要求保证网络用户通信的相对安全性;传统的解决方法是给每个客户分配一个vlan与相关的ip子网,通过使用vlan,每个客户被从第2层隔离开,可以防止任何恶意的行为与ethernet的信息探听. 然而,这种分配每个客户单一vlan与ip子网的模型造成了巨大的可扩展方面的局限.这些局限主要有下述几方面.（2）复杂的stp:对于每个vlan,每个相关的spanning tree的拓扑都需要管理;（3）ip地址的紧缺:ip子网的划分势必造成一些ip地址的浪费;（4）路由的限制:每个子网都需要相应的默认网关的配置.3 pvlan技术现在有了一种新的vlan机制,所有服务器在同一个子网中,但服务器只能与自己的默认网关通信.这一新的vlan特性就是专用vlan（private vlan）.在private vlan的概念中,交换机端口有三种类型:isolated port,community port, promisc-uous port;它们分别对应不同的vlan类型:isolated port属于isolated pvlan,community port属于community pvlan,而代表一个private vlan整体的是primary vlan,前面两类vlan需要与它绑定在一起,同时它还包括promiscuous port.在isolated pvlan中,isolated port只能与promiscuous port通信,彼此不能交换流量;在community pvlan中,community port不仅可以与promiscuous port通信,而且彼此也可以交换流量.promiscuous port 与路由器或第3层交换机接口相连,它收到的流量可以发往isolated port与community port.pvlan的应用对于保证接入网络的数据通信的安全性是非常有效的,用户只需与自己的默认网关连接,一个pvlan不需要多个vlan与ip子网就提供了具备第2层数据通信安全性的连接,所有的用户都接入pvlan,从而实现了所有用户与默认网关的连接,而与pvlan内的其他用户没有任何访问.... 下一页