两个做稍微高级一点的2层IOU

nimersis

链接：https://pan.xunlei.com/s/VNJtFqjBu-gN8YRlq7NsXuyxA1
提取码：bb7t

* X2 p# j' o4 x! ^  Y% U当时记录的：
●同一台交换机上划分有两个Vlan，要求10.10.2.X网络（Vlan 20）里的主机不能访问服务器10.10.1.100；主机10.10.1.4和10.10.1.8（Vlan 10）虽然和服务器在同地址段内，但也不能访问服务器。该实验曾在2016年4510R交换机上做过实机测试，但当时的模拟器不支持配置相关命令，2019年8月发现有版本支持VlanMap命令，测试可成功。
2 S$ n( a6 _. uconf t
logging console alerts
( c, h  T, K* I" Gno enable secret
ip routing
line con 0
7 `, _- L0 c: u' eno password
2 J# O' K, H2 ^4 [( P/ Vlogging sync
/ O6 t* k9 s$ Jexec-time 0 0
8 m  F- h6 o2 V( l. {/ q5 Rexit
no service tcp-small-servers
8 k, a5 C" `2 S" J$ K! e7 R4 Qno service udp-small-servers
1 q' G0 ^2 k! u# F6 f# Z) Sno ip finger
0 ?& s# y! j. x! ^( Z( @no service finger
no ip http server
  }8 s9 o0 N1 K5 R& O7 [no ip source-route
, {' V5 V8 Z8 \& r2 F$ [1 Jno ip classless
no ip domain-lookup
1 s/ {3 `3 I. a0 j" X. x* K) Pno ip bootp server
no boot network
& I" V+ V  _- c2 C- Z9 G0 }  c5 ]no service config
no snmp-server community public RO
no snmp-server community admin RW
no snmp-server enable traps
no snmp-server system-shutdown
' y0 ~- y7 i* V* sno snmp-server trap-source
  y8 h7 f  r: _' v/ J0 Lno snmp-server
, S' z9 j, @/ k  S2 Susername admin privilege 15 password qweasd
line vty 0 4
no password
' v# `; @- V, j$ m  i+ hlogin local
exec-time 0 0
exit
vlan 10
exit
vlan 20
exit
9 U' k3 l2 P7 T3 y% m5 |int Vlan 10
ip add 10.10.1.254 255.255.255.0
# C. j9 S" d2 J) cno shut
# h( ^' b7 c! E: z9 A( J2 P: Fexit
: Z, [: {2 ?2 G' ]) |2 H9 k7 V; Cint Vlan 20
& @7 v% L7 u, k  P' B4 t1 |2 kip add 10.10.2.254 255.255.255.0
no shut
exit
: n1 m. j5 Y# t: c: O: q4 O+ rint e0/0
3 h+ C( q5 p* x$ ?, Zdes =10.10.2.8 Vlan20=
$ C8 s& a, p+ N5 z$ b7 rsw mode acc
sw acc vlan 20
+ Q+ P! [9 C% H+ Y# Lduplex full
: W+ a3 }3 Z" Eno shut
9 M! P! }3 e0 O6 r, @: qexit
9 P, \* E$ C: y8 ~- V, Uint e0/1
- o6 O7 Q6 q6 t+ i" O" wdes =10.10.1.4 vlan10=
* B- y/ d+ m/ q) D( R' Bsw mode acc
; R3 o9 t2 |/ C3 g2 y+ y2 O, M: [sw acc vlan 10
no shut
exit
int e0/2
( f- s7 F5 s0 z; |8 t# r9 Tdes =10.10.1.8 Vlan10=
sw mode acc
sw acc vlan 10
* }- M2 N) X0 w$ k: s8 y" Fduplex full
% c1 P3 a" E7 r4 w0 N& d$ ]' ino shut
exit
" w5 @) i! m( K0 \+ x8 B; Zint e0/3
des =10.10.1.100 Server=
8 n: w, f0 y0 l& i, _0 I/ psw mode acc
& L& F6 J; i" r: k: L0 Ysw acc vlan 10
duplex full
no shut
5 ?8 B( A1 N0 Z- S0 K& _exit
& V6 l! @+ P* O- W0 k6 }0 x$ yip access-list extended test
* a# N4 a/ v. i9 P; v0 Upermit ip host 10.10.1.4 host 10.10.1.100
permit ip host 10.10.1.8 host 10.10.1.100
0 M$ W! u# S9 N* ]' d) hpermit ip 10.10.2.0 0.0.0.255 host 10.10.1.100
exit
vlan access-map AABB 10
. H: s0 e6 `" umatch ip address test
action drop
+ Z$ O+ w1 t' X' ~- Aexit
% L8 d, s$ l5 g+ \vlan access-map AABB 20
action forward
2 J! y" r5 M& [- Z6 J- _/ J9 eexit
vlan filter AABB vlan-list 10
vlan filter AABB vlan-list 20

8 _0 L- C- A8 ]5 s! z, g●取消时复制粘贴：
no vlan filter AABB vlan-list 10
% L$ q+ \6 }, C9 E/ x' lno vlan filter AABB vlan-list 20
! y  |$ h9 f3 _. W8 G: {7 |no vlan access-map AABB 10
( M) L; X) `7 y) C& H# I+ K& T0 uno vlan access-map AABB 20
  G/ P4 y: X. X1 J  A4 \+ I. Rno ip access-list extended test
% j  E+ j. D' P. @2 N+ Q* r- ~4 j====================
●PVlan
! U; ^: B  e( p- v) I0 I    主要作用就是实现同一Vlan下的相互隔离，在传统的Vlan的环境下，同一Vlan下的主机是可以相互通信的，为了保证通信的相对安全性，要求同一Vlan下的主机隔离，这样就可以采用PVlan技术。在用户的角度看存在第二层Vlan201和Vlan202但在运营商的角度它们都在第一层Vlan100中。主Vlan和其所关联的隔离Vlan、团体Vlan都可以通信。隔离Vlan和团体Vlan都属于次级Vlan，他们之间的区别是同属于一个隔离Vlan的主机不能通信，同属于一个团体Vlan的主机可以通信，但它们都可以和所关联的主Vlan进行通信。
5 N4 L- l% T5 U1 M" V' r! \9 d    在私有Vlan的概念中，交换机端口有三种类型：隔离端口、团体端口、混杂端口；它们分别对应不同的Vlan类型：隔离端口属于隔离PVlan，团体端口属于团体PVlan，而代表一个私有Vlan整体的是主Vlan，前面两类Vlan需要和它绑定在一起，同时它还包括混杂端口。

●PVlan实验
* l% h$ v3 M% r" N- n5 Y) \所有主机都可以访问R2服务器
R3和R4彼此不能访问
R5和R6彼此可以访问
conf t
; M9 [! \" r, `: k  glogging console alerts
no enable secret
  A' g; ^! H$ u4 _' b2 X! iline con 0
no password
; \! v) g" {2 B' F6 Slogging sync
exec-time 0 0
exit
hostname SW-1
vtp mode transparent
Vlan 10
name GeLi-Vlan
. d& z3 o/ ?2 D# b" V+ p4 _/ Tprivate-Vlan isolated
exit
Vlan 20
private-Vlan community
9 m7 e  ~; @9 K! pname TuanTi-Vlan
& H8 K* g- l. e8 u: O+ C% ^4 Y* Aexit
$ }! W- X& R+ [# E' Q. JVlan 800
name Zhu-Vlan
private-Vlan primary
private-Vlan association 10,20
exit
int Vlan800
6 P* x, t) o6 Q6 k9 \( p1 uprivate-Vlan mapping 10,20
: x$ \3 r  Z  ?. s: H0 vno shut
: j# U' X4 \! b$ N" z( A$ n  bip add 1.1.10.254 255.255.255.0
exit
int e0/0
des =R3-GeLi-1.1.10.3=
duplex full
sw private-Vlan host-association 800 10
sw mode private-Vlan host   
7 W* j4 t: @6 _, C  bno shut
" w  W1 n& z* v3 z# s2 w7 b( Fexit
! N* Y, n3 |1 E$ j! I2 Q% k' Nint e0/1
des =R4-GeLi-1.1.10.4=
duplex full
sw private-Vlan host-association 800 10
sw mode private-Vlan host
# v+ b7 ^/ k  D3 F# @no shut
exit
int e0/2
des =R5-TuanTi-1.1.10.5=
2 x3 x/ R9 t& s& s1 _6 [6 mduplex full
sw private-Vlan host-association 800 20
0 F4 L5 k% Q# k% `) b3 bsw mode private-Vlan host
no shut
6 G3 `  p  `$ X* w/ lexit
+ R- B' h8 e5 }) V) {int e0/3
1 e1 k6 a( I/ n3 I: b, ?des =R6-TuanTi-1.1.10.6=
. o3 s* v$ x# ?/ ]+ iduplex full
3 h- {: d) u2 P4 msw private-Vlan host-association 800 20
sw mode private-Vlan host
- y' U, ^8 N6 o7 y: E# [no shut
exit
int e1/0
duplex full
  c% u9 V. v0 ]% }; w; n% u8 Hdes =R2-FuWuQi-1.1.10.2=
sw private-Vlan mapping 800 10,20
& |) W6 B/ X9 W5 w4 s3 ]+ Gsw mode private-Vlan promiscuous
& o) U/ Y. G8 x% v3 }' b5 L: a* Wno shut
exit
( X) z$ Y9 D* Y
●测试结果
    隔离Vlan 10之间不能够通信，但可以跟Server端口通信；团体Vlan 20不能跟隔离Vlan通信，可以跟自己Vlan内的用户通信，同时也可以跟Server端口通。

" x7 K9 b: Q6 \( m8 p0 ]3 C& I
( a- n, f% f; y0 K2 h0 l' M

路人切

6666666