两个做稍微高级一点的2层IOU

nimersis

链接：https://pan.xunlei.com/s/VNJtFqjBu-gN8YRlq7NsXuyxA1
- P/ K) G9 Y, T, s$ p- @提取码：bb7t

7 P/ T) g6 E% v2 \) N4 B7 l当时记录的：
$ I4 a  r5 y+ I- G- f  Q1 A5 O0 x●同一台交换机上划分有两个Vlan，要求10.10.2.X网络（Vlan 20）里的主机不能访问服务器10.10.1.100；主机10.10.1.4和10.10.1.8（Vlan 10）虽然和服务器在同地址段内，但也不能访问服务器。该实验曾在2016年4510R交换机上做过实机测试，但当时的模拟器不支持配置相关命令，2019年8月发现有版本支持VlanMap命令，测试可成功。
/ w; J3 J, k! K, t4 Q( u' wconf t
. ]$ D% z7 n& b2 {6 Nlogging console alerts
no enable secret
ip routing
. {! V! m) E# }line con 0
) H3 B9 J0 l% @& g. k- q4 yno password
logging sync
' I/ P9 ]& s+ J8 f, ]4 o/ e: Bexec-time 0 0
" a# p0 q$ ]% u' C  @2 Sexit
no service tcp-small-servers
no service udp-small-servers
5 N* d+ x6 Q& w/ a3 kno ip finger
; t/ L: t- i* R8 Z, r# _no service finger
1 K# T  e! ?! s: M. G/ }% Eno ip http server
no ip source-route
no ip classless
1 B: ?9 ^; ]- Q! Ono ip domain-lookup
no ip bootp server
no boot network
" a0 l: X9 ]  W' k5 l# S" {+ hno service config
3 c2 @$ I6 c# F1 m/ p/ Dno snmp-server community public RO
no snmp-server community admin RW
9 p' n3 C* t8 h. E5 qno snmp-server enable traps
  J/ d# T- |9 J# P+ U" fno snmp-server system-shutdown
! M4 u$ U$ w! D+ E8 v0 Yno snmp-server trap-source
no snmp-server
7 p' S; X! @2 P7 h- Ousername admin privilege 15 password qweasd
line vty 0 4
no password
/ l. V) }1 a  Ologin local
exec-time 0 0
) j- m$ b8 Y6 I" s" D. ]5 yexit
vlan 10
$ e/ r0 [; Z9 r% `exit
vlan 20
exit
+ J" [1 X" |+ y% O5 \int Vlan 10
ip add 10.10.1.254 255.255.255.0
' j  K( M/ F; H; J! Fno shut
exit
int Vlan 20
ip add 10.10.2.254 255.255.255.0
# A# \; {& y* dno shut
exit
int e0/0
des =10.10.2.8 Vlan20=
, A) [4 O) }/ V! q" H) E. ~# fsw mode acc
sw acc vlan 20
duplex full
no shut
exit
6 y- M% k5 ~! g7 x( {! v! i7 ]int e0/1
: }# Y- r8 Q9 W& t/ S0 vdes =10.10.1.4 vlan10=
sw mode acc
sw acc vlan 10
, N7 U& |! _  }no shut
9 o* A% Q3 m+ ^( M( Uexit
int e0/2
. E3 h) R8 l' zdes =10.10.1.8 Vlan10=
7 E5 S; l$ I0 o3 K9 T2 hsw mode acc
+ g0 I5 j  d% `0 Xsw acc vlan 10
duplex full
# s, a  ]2 L8 L# g& ^' hno shut
9 s6 w. f& e& m6 }; n# xexit
: ^7 m- N5 ]  [7 a4 D! [: d. kint e0/3
& u* j' Z. I$ Pdes =10.10.1.100 Server=
# \/ C& C) @4 V7 N) i5 m7 Asw mode acc
sw acc vlan 10
2 V+ ]8 D3 O5 B: k' {duplex full
5 B6 L5 b& d# D& c" u* a( b" Ono shut
( V  E2 s6 Q  X/ m5 qexit
ip access-list extended test
- n2 O. r$ B- h4 `permit ip host 10.10.1.4 host 10.10.1.100
6 F( l* A2 x1 e% T1 _7 Wpermit ip host 10.10.1.8 host 10.10.1.100
permit ip 10.10.2.0 0.0.0.255 host 10.10.1.100
exit
vlan access-map AABB 10
match ip address test
action drop
1 b0 v* ~& j& {. D4 P% Zexit
0 t3 m- R% L! f$ Q- y( J) }vlan access-map AABB 20
action forward
exit
+ ?, S/ G" h, x7 m4 E. Jvlan filter AABB vlan-list 10
vlan filter AABB vlan-list 20
. ^! j# B' `& u  r! X- {
●取消时复制粘贴：
no vlan filter AABB vlan-list 10
no vlan filter AABB vlan-list 20
4 ]" K; d% d+ ~no vlan access-map AABB 10
no vlan access-map AABB 20
' W( u( d3 r: K9 Y4 F% _no ip access-list extended test
" ^4 c6 @9 {# v====================
- E3 m5 f# v/ b1 H●PVlan
    主要作用就是实现同一Vlan下的相互隔离，在传统的Vlan的环境下，同一Vlan下的主机是可以相互通信的，为了保证通信的相对安全性，要求同一Vlan下的主机隔离，这样就可以采用PVlan技术。在用户的角度看存在第二层Vlan201和Vlan202但在运营商的角度它们都在第一层Vlan100中。主Vlan和其所关联的隔离Vlan、团体Vlan都可以通信。隔离Vlan和团体Vlan都属于次级Vlan，他们之间的区别是同属于一个隔离Vlan的主机不能通信，同属于一个团体Vlan的主机可以通信，但它们都可以和所关联的主Vlan进行通信。
    在私有Vlan的概念中，交换机端口有三种类型：隔离端口、团体端口、混杂端口；它们分别对应不同的Vlan类型：隔离端口属于隔离PVlan，团体端口属于团体PVlan，而代表一个私有Vlan整体的是主Vlan，前面两类Vlan需要和它绑定在一起，同时它还包括混杂端口。
, f0 c4 T" z4 j7 o; i
' q/ [9 Q5 [  @, w3 d/ w●PVlan实验
6 E/ Z* U  l% k$ _8 b所有主机都可以访问R2服务器
R3和R4彼此不能访问
) g# U3 S7 v% o1 a% KR5和R6彼此可以访问
7 B- J% I' O! Jconf t
" Z; M" U5 ]: D* Elogging console alerts
8 l9 k2 O* i2 M, `( E- C1 h8 Bno enable secret
line con 0
no password
+ _2 x- y0 B2 J3 }; y/ _logging sync
6 x9 F) [8 M5 ]+ A$ g7 lexec-time 0 0
exit
; h6 u/ B6 k/ Z1 r2 f3 K8 T- Zhostname SW-1
  h( S1 x# @4 ~# z# c# W, Gvtp mode transparent
Vlan 10
name GeLi-Vlan
private-Vlan isolated
; Q# J8 f) g  f/ a( r% wexit
Vlan 20
! X+ f6 V! L5 Wprivate-Vlan community
1 D. ^: U1 _7 m0 H6 x1 wname TuanTi-Vlan
% l# R0 f& _/ j4 I! R% Yexit
Vlan 800
* H  G8 J$ |7 F/ H$ ^name Zhu-Vlan
private-Vlan primary
private-Vlan association 10,20
; p+ {6 z# Z2 a8 L/ Y$ Fexit
7 l' W7 p0 w; ?int Vlan800
: c" b$ A6 I, K% wprivate-Vlan mapping 10,20
8 E# R% \/ P- a" Vno shut
ip add 1.1.10.254 255.255.255.0
' @) G! o, R; V" b# ?exit
int e0/0
) W$ i1 q# u* [% f& q! h1 tdes =R3-GeLi-1.1.10.3=
duplex full
6 O0 [1 T% a1 p( m* J* b5 J9 asw private-Vlan host-association 800 10
9 ~; w0 ?$ [) v# d6 K/ {8 p+ _2 usw mode private-Vlan host   
- _' @! g2 _- }0 {& O, Uno shut
exit
/ |: a( i( _. j1 P( dint e0/1
: d0 `5 g. t3 pdes =R4-GeLi-1.1.10.4=
$ B" S* X" O7 C  P% X* gduplex full
sw private-Vlan host-association 800 10
sw mode private-Vlan host
no shut
" {0 O0 r4 {: F5 ^- t9 Gexit
+ O) ~3 c- v4 x' B9 h- d; }int e0/2
& d: D6 o: o: _9 ]4 _des =R5-TuanTi-1.1.10.5=
duplex full
- D5 I  o2 q9 F; P  hsw private-Vlan host-association 800 20
: }1 r% R$ v) y9 [sw mode private-Vlan host
no shut
# ]) A9 i4 J2 j  X8 bexit
int e0/3
/ s5 P& b' Z1 f9 e- Pdes =R6-TuanTi-1.1.10.6=
: n$ m/ t7 _" s' [7 }/ W4 n9 hduplex full
6 h1 j9 S% ?) Ksw private-Vlan host-association 800 20
* c' w* k; p5 I8 T: usw mode private-Vlan host
no shut
; q3 P' X# j4 U! N9 Y7 Z" `exit
int e1/0
+ l# E3 ]4 C" P3 n/ `" c) Eduplex full
" K1 Y% l5 g. I% L, ^6 ?7 }des =R2-FuWuQi-1.1.10.2=
2 l, L% L$ y+ i: g. _3 b' s4 A0 Usw private-Vlan mapping 800 10,20
  `2 e2 P5 _. z* F3 ^  e; Bsw mode private-Vlan promiscuous
no shut
! n; K; F1 P. n' jexit

●测试结果
    隔离Vlan 10之间不能够通信，但可以跟Server端口通信；团体Vlan 20不能跟隔离Vlan通信，可以跟自己Vlan内的用户通信，同时也可以跟Server端口通。
! J  v9 r4 l0 G" y" t( F9 B

路人切

6666666