两个做稍微高级一点的2层IOU

nimersis

链接：https://pan.xunlei.com/s/VNJtFqjBu-gN8YRlq7NsXuyxA1
  H4 R! K. G# ^提取码：bb7t

! o* ^! U5 f9 n3 o, [3 {当时记录的：
●同一台交换机上划分有两个Vlan，要求10.10.2.X网络（Vlan 20）里的主机不能访问服务器10.10.1.100；主机10.10.1.4和10.10.1.8（Vlan 10）虽然和服务器在同地址段内，但也不能访问服务器。该实验曾在2016年4510R交换机上做过实机测试，但当时的模拟器不支持配置相关命令，2019年8月发现有版本支持VlanMap命令，测试可成功。
5 F) ]7 V5 N: |conf t
logging console alerts
' E& H6 o! m  T* Sno enable secret
$ [; A/ o: `7 P! aip routing
line con 0
no password
8 V, B2 H1 `6 t+ A: {: flogging sync
exec-time 0 0
exit
9 p' U- p9 q$ r1 j. U$ g/ ]no service tcp-small-servers
no service udp-small-servers
no ip finger
: `. m/ D# L" |  {& a4 ], [6 J" Eno service finger
% O  J/ ?/ i" C; ?4 D2 `4 O% ]4 gno ip http server
no ip source-route
& }. V: L# b0 P- t( ?2 Pno ip classless
no ip domain-lookup
6 l0 U. Z: T+ sno ip bootp server
no boot network
no service config
& r1 o* V: x% I$ Y2 F" qno snmp-server community public RO
( l( t: {1 N* b) \% \no snmp-server community admin RW
no snmp-server enable traps
no snmp-server system-shutdown
no snmp-server trap-source
no snmp-server
username admin privilege 15 password qweasd
+ V; q! z' g. j' d% xline vty 0 4
# s( Z/ U$ c2 ]$ H2 }no password
login local
exec-time 0 0
4 v7 m3 O. v! Z( \7 F' `% O- `! [exit
1 I. x! {9 ~8 }4 g4 p+ N& d7 nvlan 10
3 U/ F1 H; I5 A; h' z% u# k1 oexit
9 x. F! W2 a0 Z2 J# Tvlan 20
exit
' F' U+ R1 ^+ l$ o5 y3 ]/ Y/ a: Xint Vlan 10
ip add 10.10.1.254 255.255.255.0
# G+ ?9 l/ U* d, h6 a3 D5 }no shut
) H% o8 ]$ g! N+ y% J2 [0 vexit
int Vlan 20
ip add 10.10.2.254 255.255.255.0
no shut
exit
int e0/0
des =10.10.2.8 Vlan20=
sw mode acc
2 L4 j7 `3 l' a; C3 P# J" Esw acc vlan 20
duplex full
no shut
exit
int e0/1
+ ]! |4 [! {% Y$ b8 Sdes =10.10.1.4 vlan10=
sw mode acc
* U- b- ^1 c# D$ ]) {1 W' _! Q  K; \1 t" Hsw acc vlan 10
( N$ W3 O* P# d. K8 lno shut
exit
int e0/2
des =10.10.1.8 Vlan10=
sw mode acc
sw acc vlan 10
duplex full
2 f; ~$ f0 q6 u6 q8 b5 Dno shut
exit
int e0/3
des =10.10.1.100 Server=
sw mode acc
sw acc vlan 10
duplex full
no shut
exit
ip access-list extended test
permit ip host 10.10.1.4 host 10.10.1.100
. ^" W6 F. D; c& f4 B* opermit ip host 10.10.1.8 host 10.10.1.100
: N4 v* t$ N# V9 z) |  F) H9 _  ~permit ip 10.10.2.0 0.0.0.255 host 10.10.1.100
exit
vlan access-map AABB 10
/ Z) F4 d: ~% P) S0 @match ip address test
, z- D9 h, W* \2 S0 O9 iaction drop
exit
vlan access-map AABB 20
action forward
% W% e4 G6 a: K5 u& Q5 B$ F3 U/ wexit
vlan filter AABB vlan-list 10
vlan filter AABB vlan-list 20

& n/ [9 W& c3 S" n* N# o' C●取消时复制粘贴：
no vlan filter AABB vlan-list 10
no vlan filter AABB vlan-list 20
+ m- p' v( J9 mno vlan access-map AABB 10
no vlan access-map AABB 20
. A8 Q. I5 I8 S5 m9 Q1 ono ip access-list extended test
, ~& y6 \1 A& {/ r! S0 _8 E2 c====================
# V& s3 U4 Y, g/ j) m# w  i●PVlan
    主要作用就是实现同一Vlan下的相互隔离，在传统的Vlan的环境下，同一Vlan下的主机是可以相互通信的，为了保证通信的相对安全性，要求同一Vlan下的主机隔离，这样就可以采用PVlan技术。在用户的角度看存在第二层Vlan201和Vlan202但在运营商的角度它们都在第一层Vlan100中。主Vlan和其所关联的隔离Vlan、团体Vlan都可以通信。隔离Vlan和团体Vlan都属于次级Vlan，他们之间的区别是同属于一个隔离Vlan的主机不能通信，同属于一个团体Vlan的主机可以通信，但它们都可以和所关联的主Vlan进行通信。
$ M' i+ M/ Y3 j6 l6 a. k* k% D' A    在私有Vlan的概念中，交换机端口有三种类型：隔离端口、团体端口、混杂端口；它们分别对应不同的Vlan类型：隔离端口属于隔离PVlan，团体端口属于团体PVlan，而代表一个私有Vlan整体的是主Vlan，前面两类Vlan需要和它绑定在一起，同时它还包括混杂端口。
" z, o* _5 U( X4 E. U- N( K* c) K
9 F  `5 Y0 K* H" z, _' j: ^●PVlan实验
所有主机都可以访问R2服务器
$ C! ~; q3 U9 e" JR3和R4彼此不能访问
; h6 T/ \7 {% Y7 K9 S, b# e. Y; IR5和R6彼此可以访问
conf t
logging console alerts
' F, K. e5 M: U. pno enable secret
line con 0
no password
logging sync
* I% d( `/ }! Y/ X, k2 P2 a- ]- Oexec-time 0 0
8 z# O% p. B4 Y2 ^exit
hostname SW-1
vtp mode transparent
  _, m( x6 b; ?/ a6 `  V6 mVlan 10
name GeLi-Vlan
private-Vlan isolated
+ Z0 b( z! n5 }; `" U3 nexit
Vlan 20
: o: b) A  A/ b  dprivate-Vlan community
7 }% {& v% b0 l+ W( I. mname TuanTi-Vlan
5 s. D( ]9 s6 T' k6 Rexit
Vlan 800
name Zhu-Vlan
private-Vlan primary
3 [$ n4 _* H. H7 f) {private-Vlan association 10,20
exit
int Vlan800
private-Vlan mapping 10,20
no shut
( n$ @8 G, H# t0 z; z" ^ip add 1.1.10.254 255.255.255.0
  r. G6 e2 B2 ], E0 w! _exit
int e0/0
des =R3-GeLi-1.1.10.3=
duplex full
/ ]. ~5 e& G; \+ N+ psw private-Vlan host-association 800 10
sw mode private-Vlan host   
no shut
exit
7 L; F9 z! e3 J2 xint e0/1
% f/ S9 v& ]9 q' @" o+ ~des =R4-GeLi-1.1.10.4=
( P0 w. c5 s6 i4 ~5 h; N% Qduplex full
3 f. W, T+ _( c- _& Q" G6 ^. Msw private-Vlan host-association 800 10
sw mode private-Vlan host
4 B( D& l) Q' Y5 [: Pno shut
exit
int e0/2
des =R5-TuanTi-1.1.10.5=
duplex full
7 x+ X# l# q" {) P) o. ?sw private-Vlan host-association 800 20
  `4 h/ T' t& _9 ssw mode private-Vlan host
no shut
exit
! @' z# i5 C, z! `int e0/3
# Y4 O: s+ p' F6 i* h/ ~# Ades =R6-TuanTi-1.1.10.6=
duplex full
/ U6 ^" ~8 S5 V& [6 {5 ]sw private-Vlan host-association 800 20
sw mode private-Vlan host
: r$ O5 `6 S$ g, R+ Fno shut
6 H. M5 c2 _& ~6 P# ?+ zexit
int e1/0
duplex full
des =R2-FuWuQi-1.1.10.2=
sw private-Vlan mapping 800 10,20
sw mode private-Vlan promiscuous
4 k" e. S+ x2 {4 |. b' `3 Vno shut
exit
4 L$ R; i7 u1 K
●测试结果
! R! C7 @! A7 {    隔离Vlan 10之间不能够通信，但可以跟Server端口通信；团体Vlan 20不能跟隔离Vlan通信，可以跟自己Vlan内的用户通信，同时也可以跟Server端口通。
8 v: {$ `* k& {
$ R/ Q/ F  g; u3 i/ S+ c0 w+ W
! n7 F# V# T" ~7 B

路人切

6666666