Cấu hình Private VLAN trên Switch Cisco

 

Chúng ta biết rằng một VLAN ở Layer 2 là một Broadcast Domain cô lập và để giao tiếp giữa các VLAN, cần có một Thiết bị ở Layer 3 (hoặc router hoặc switch Layer 3) để thực hiện Inter-VLAN Routing.

Một Private VLAN có tác dụng chia một VLAN thành các Sub VLAN. Trong trường hợp của PVLAN, một VLAN Layer 2 thông thường được ánh xạ vào các VLAN Phụ (Secondary VLAN). Điều này giúp chúng ta hạn chế thiết bị được kết nối trong cùng một VLAN thông thường (subnet) giao tiếp với nhau. Các mô hình Catalyst 3560 và cao hơn hỗ trợ PVLAN.

PVLAN được sử dụng trong những trường hợp máy chủ nằm trong một DMZ trên cùng một Layer 2 VLAN và chúng ta muốn hạn chế những máy chủ này giao tiếp với nhau.

Điều này giúp rất nhiều trong vấn đề bảo mật. Nếu các máy chủ có thể truy cập từ Internet, khi một trong những máy chủ bị xâm nhập bởi hacker, chúng ta có thể chặn hacker truy cập các máy chủ khác trên cùng một VLAN.

Tất nhiên, chúng ta có thể thực hiện điều này với một thiết bị Layer 3 hoặc tường lửa, nhưng trong trường hợp này, mỗi máy chủ sẽ phải có VLAN/subnet riêng và kết quả là chúng ta sẽ có một mạng phức tạp. Trong trường hợp của PVLAN, chúng ta sẽ có một mạng duy nhất (VLAN và subnet Layer 3) và sẽ hạn chế kết nối giữa các máy chủ ở mức Layer 2 bằng cách tạo ra các VLAN Phụ.

Các Loại Private VLAN và Các Loại Cổng:

Các Loại VLAN:

Logic đằng sau các Private VLAN rất đơn giản: Có một VLAN “thông thường” được gọi là Primary (Chính) có các VLAN phụ đi kèm. Các VLAN phụ có thể là loại Cô Lập (Isolated) hoặc Cộng Đồng (Community):

• Primary (Chính): Đây là VLAN chính và chịu trách nhiệm chuyển giao dữ liệu từ các VLAN phụ cô lập và cộng đồng.
• Isolated (Cô Lập): Các cổng switch được liên kết với VLAN cô lập chỉ có thể tiếp cận được VLAN chính và không thể giao tiếp với bất kỳ máy chủ hoặc thiết bị cô lập nào khác trong các VLAN riêng hoặc cộng đồng khác.
• Community (Cộng Đồng): Các cổng liên kết với VLAN cộng đồng có thể giao tiếp với nhau và với VLAN chính, nhưng không thể giao tiếp với bất kỳ VLAN riêng nào khác.

Các Loại Cổng:

• Promiscuous (P): Thường kết nối với một bộ định tuyến (cổng mặc định) và cũng kết nối với cổng theo dõi (span port) – một loại cổng được phép gửi và nhận các frame từ bất kỳ cổng nào khác trên VLAN chính.
• Isolated (I): Loại cổng này chỉ được phép giao tiếp với các cổng P (Promiscuous). Thường kết nối với các máy chủ. Chỉ có một VLAN cô lập được tạo ra. Các cổng nằm trong VLAN cô lập không thể giao tiếp với nhau, do đó tạo ra sự cô lập hoàn toàn cho các máy chủ, ngay cả khi chúng thuộc cùng một VLAN Layer 2.
• Community (C): Các cổng trong cùng một cộng đồng có thể giao tiếp với nhau và cũng được kết nối với cổng Promiscuous. Có nhiều Cộng đồng có sẵn. Các cổng cộng đồng được phép giao tiếp với các cổng kế, chia sẻ cùng một nhóm (tất nhiên chúng có thể giao tiếp với cổng P).

Bây giờ chúng ta sẽ xem cách cấu hình PVLAN.

Thiết bị được sử dụng trong LAB này:

– Cisco Catalyst 3560 – C3560-IPSERVICES-M Phiên bản 12.2(50)SE

– Cisco Router 2801 – C2801-ADVIPSERVICESK9-M Phiên bản 12.4(9)T4

Kịch Bản: Tạo Một VLAN Cộng Đồng (101), trong đó SRV1 và SRV2 Sẽ Thuộc Về. Tạo Cũng Một VLAN Cô Lập (102), trong đó SRV3 và SRV4 Sẽ Thuộc Về. Thiết Lập Cổng Ge0/1 là Promiscuous và Kết Nối với Cổng Mặc Định (Router hoặc Tường Lửa).

Theo cấu hình này, SRV1 và SRV2 có thể giao tiếp với nhau và cũng với Router (Default Gateway). Ngược lại, các máy chủ trong VLAN Cô Lập (SRV3 và SRV4) sẽ không thể giao tiếp với nhau và cũng sẽ không thể giao tiếp với VLAN Cộng Đồng (SRV1 và SRV2).

Lưu ý rằng Mạng con ở Layer 3 cho tất cả các máy chủ đều giống nhau (192.168.1.0/24). Điều này không quan trọng vì các hạn chế trong giao tiếp sẽ được áp đặt bởi switch ở mức Layer 2.

Trước khi bắt đầu cấu hình PVLAN, việc chuyển chế độ VTP sang Transparent là bắt buộc. Nếu VTP hoạt động trong chế độ khác, PVLAN sẽ không hoạt động.

! Chuyển đổi sang chế độ Transparent

Switch(config)# vtp mode transparent Setting device to VTP TRANSPARENT mode.

 

! Tạo VLAN Cô Lập (Isolated VLAN)

Switch(config)# vlan 102 Switch(config-vlan)# private-vlan isolated

 

! Tạo VLAN cộng đồng (Community VLAN)

Switch(config)# vlan 101 Switch(config-vlan)#private-vlan community

 

! Tạo VLAN Chính (Primary VLAN) và ánh xạ nó với các VLAN Phụ (Secondary VLANs)

Switch(config-vlan)# vlan 100 Switch(config-vlan)# private-vlan primary switch(config-vlan)# private-vlan association 101 102

 

Dưới đây là toàn bộ cấu hình:

vlan 100 private-vlan primary private-vlan association 101 102 ! vlan 101 private-vlan community vlan 102 private-vlan isolated

 

! Tạo cổng promiscuous và ánh xạ với các VLAN khác

Switch(config)# interface ge0/1 Switch(config-if)# switchport mode private-vlan promiscuous Switch(config-if)# switchport private-vlan mapping 100 101 102

 

! Liên kết cổng Ge0/2 và Ge0/3 với các VLAN Chính và Phụ. 

Theo bài viết, Ge0/2 và Ge0/3 nên thuộc VLAN Cộng Đồng.

Switch(config)# interface range ge0/2-ge0/3 Switch(config-if)# switchport mode private-vlan host Switch(config-if)# switchport private-vlan host-association 100 101

 

! Liên kết cổng Ge0/4 và Ge0/5 với các VLAN Chính và Phụ. 

Theo bài viết, Ge0/4 và Ge0/5 nên thuộc VLAN Cô Lập.

Switch(config)# interface range ge0/4-ge0/5 Switch(config-if)# switchport mode private-vlan host Switch(config-if)# switchport private-vlan host-association 100 102

 

Quá trình cấu hình đã hoàn thành, bây giờ hãy xem đầu ra trông như thế nào.

Switch# show interface status Port      Name               Status       Vlan       Duplex  Speed Type Gi0/1                        connected    100        a-full  a-100 10/100BaseTX Gi0/2                        connected    100,101 a-full  a-100 10/100/0BaseTX Gi0/3                        connected    100,101 a-full  a-100 10/100BaseTX Gi0/4                        connected    100,102 a-full  a-100 10/100BaseTX Gi0/5                        connected    100,102 a-full  a-100 10/100BaseTX