「VLAN」- MUX VLAN(网络隔离,但又能够访问相同主机)

  CREATED BY JENKINSBOT

问题描述

既要相互隔离,又要访问相同资源:在企业网络中,各个部门之间网络需要相互独立,通常用 VLAN 技术可以实现这一要求。如果企业规模很大,且拥有大量的合作伙伴,要求各个合作伙伴能够访问公司服务器,但是不能相互访问,这时如果使用传统的 VLAN 技术,不但需要耗费大量的 VLAN ID,还增加网络管理者的工作量同时也增加了维护量。

解决方案

MUX VLAN(Multiplex VLAN)这是用于解决该问题,它提供通过 VLAN 进行网络资源控制的机制。

原理简述

MUX VLAN 分为:
1)Principal VLAN(主 VLAN)
2)Subordinate VLAN(从 VLAN):Subordinate VLAN 又分为 Separate VLAN(隔离型从 VLAN)和 Group VLAN(互通型 从 VLAN);

          +--- Principal VLAN --------------------------- Principal Port ---- 能与 MUX VLAN 内的所有类型接口进行通信;
          |              
          |             |
          |             |
MUX VLAN -+            绑定                                                    每个 Separate VLAN 必须绑定一个 Principal VLAN;
          |             |          +--- Separate VLAN --- Separate Port ----- 仅能与 Principal Port 进行通信;
          |             |          |                                          和其他类型的接口实现完全隔离;
          |                        |                                          
          +--- Subordinate VLAN ---+
                                   |
                                   |                                          每个 Group VLAN 必须绑定一个 Principal VLAN;
                                   +--- Group VLAN ------ Group Port -------- 能与 Principal Port 进行通信;
                                                                              能与同个组内的端口进行通信;
                                                                              不能与其他组的端口通信;
                                                                              不同与 Separate Port 通信;

特性说明

WIP

应用场景

在交换机上,通过把部门A和部门B所在的VLAN分别设置为互通型从VLAN,把访客区所属的VLAN设置为隔离型从VLAN,把服务器所连接口所属VLAN设置为Principal VLAN,即主VLAN。并且所有从VLAN都与主VLAN绑定。

从而实现如下网络设计要求:
部门A内的用户之间能够实现二层互通。
部门B内的用户之间能够实现二层互通。
部门A与部门B的用户之间二层隔离。
部门A和部门B的员工都能够通过二层访问服务器。
访客区内的任意PC除了能访问服务器之外,不能访问其他任意设备,包括其他访客。

配置案例

实验示例

配置信息如下(SW1 SW4 SW3 配置类似):

vlan batch 10 20 30 100

vlan 100
 mux-vlan
 subordinate separate 30
 subordinate group 10 20

interface GigabitEthernet0/0/1
 port link-type access
 port default vlan 10
 port mux-vlan enable

interface GigabitEthernet0/0/2
 port link-type access
 port default vlan 10
 port mux-vlan enable

interface GigabitEthernet0/0/3
 port link-type access
 port default vlan 20
 port mux-vlan enable

interface GigabitEthernet0/0/4
 port link-type access
 port default vlan 20
 port mux-vlan enable

interface GigabitEthernet0/0/23
 port link-type trunk
 port trunk allow-pass vlan 10 20 30 100

路由器的(AR1)配置如下:

dhcp enable

interface GigabitEthernet0/0/1
 ip address 192.168.10.25 255.255.255.0 
 dhcp select interface
 dhcp server excluded-ip-address 192.168.10.254 

interface LoopBack0
 ip address 1.1.1.1 255.255.255.255 

通过实验:
1)通过 MUX VLAN 实现网络隔离,但是能够访问相同服务器;
2)在 MUX VLAN 中,实现与外部通信;