Private VLAN là gì? Cách cấu hình PVLAN cho mạng LAN

Private VLAN là gì?

Private VLAN hay VLAN riêng hoặc PVLAN là kỹ thuật được sử dụng để chia các miền quảng bá thành các miền nhỏ hơn và được áp dụng cho Layer 2. Về cơ bản, VLAN đã giới hạn việc truyền thông tin giữa một nhóm được chỉ định thì Private VLAN sẽ hạn chế nhỏ hơn trong chính một nhóm VLAN đó.

PVLAN thực hiện điều này bằng cách hạn chế lưu lượng truy cập qua các cổng Switch thành viên để chỉ giao tiếp với 1 cổng Trunking Uplink. Cổng Trunking này liên kết với các bộ định tuyến, tường lửa, máy chủ hoặc mạng nhà cung cấp.

Mỗi PVLAN chứa nhiều cổng riêng chỉ giao tiếp với 1 cổng Trunking Uplink duy nhất vì vậy ngăn các cổng giao tiếp với nhau.

Nếu ta muốn trong cùng một VLAN mà một số máy chủ này không thể giao tiếp với máy chủ khác, thì ta sẽ cần phải sử dụng Private VLAN.

Sự khác biệt của Private VLAN với VLAN

Một VLAN chính có thể có nhiều PVLAN. Các PVLAN chia tách miền phát sóng thành nhiều miền phụ trong cùng một VLAN. Các PVLAN hoạt động trên layer 2 và yêu cầu các thiết bị layer 3 định tuyến dữ liệu giữa chúng.

Bảng so sánh giữa Private VLAN và chia VLAN 

Yếu Tố	Private VLAN (PVLAN)	VLAN Thông Thường (Regular VLAN)
Phạm vi tách biệt	Có các VLAN con: Primary, Isolated, Community	Các VLAN không được tách biệt lẫn nhau
Kiểm soát truy cập	Cung cấp kiểm soát truy cập cấp độ cao hơn	Cung cấp kiểm soát truy cập ở mức VLAN
Bảo mật	Cung cấp tính bảo mật cao hơn với VLAN cô lập	Đòi hỏi sự tạo ra các ACL hoặc Firewalls riêng biệt
Tối ưu hóa tài nguyên	Có khả năng tối ưu hóa tài nguyên mạng bằng cách chia sẻ VLAN chính	Không cung cấp cách tối ưu hóa tài nguyên mạng sâu sắc
Quản lý	Phức tạp hơn trong việc cấu hình và quản lý	Tương đối đơn giản trong việc cấu hình và quản lý
Ứng dụng	Thích hợp cho mô hình dịch vụ, môi trường doanh nghiệp với yêu cầu bảo mật cao	Thích hợp cho các môi trường không yêu cầu tính bảo mật cao hoặc tối ưu hóa tài nguyên

PVLAN có một số hạn chế với các ràng buộc áp dụng cho cấu hình private VLAN:

• IGMP snooping không được hỗ trợ với private VLANs.
• Giao diện VLAN định tuyến không được hỗ trợ trên private VLANs.
• Việc định tuyến giữa các VLAN phụ trong cùng một VLAN chính không được hỗ trợ.

PVLAN có những loại nào?

Private VLAN có ba loại cơ bản sau:Primary VLAN, Isolated VLAN, và Community VLAN.

Primary VLAN: Đây là VLAN gốc trong cấu trúc PVLAN. Tất cả các thiết bị trong mạng LAN đều thuộc 1 Primary VLAN thì có thể giao tiếp với nhau bình thường như các thiết bị trong một mạng VLAN thông thường.

Isolated VLAN: Loại này chỉ có giao tiếp với Primary VLAN và không thể giao tiếp với với Community VLAN. Ta thường sử dụng loại PVLAN này để cách ly một số thiết bị nhạy cảm trong mạng.

Community VLAN: là loại PVLAN mà các thiết bị có thể giao tiếp với nhau và với Primary VLAN nhưng không thể giao tiếp với Community VLAN hay Isolated VLAN khác.

Cấu trúc điển hình của PVLAN

Một PVLAN có thể được tạo trên một switch duy nhất hoặc có thể được cấu hình để lan rộng qua nhiều switch. Dưới đây là 2 cấu trúc điển hình của PVLAN:

Cấu trúc 1: Subdomain trong Private VLAN

Cấu trúc mạng PVLAN trong hình trên bao gồm 2 thiết bị chuyển mạch Switch, 1 miên PVLAN chính và nhiều Subdomain khác nhau. Trong cấu trúc này, có các loại Domain sau:

• Primary VLAN: là VLAN được sử dụng để chuyển tiếp các khung xuống luồng VLAN cách biệt và cộng đồng.
• Secondary isolated VLAN: là VLAN chỉ nhận các gói tin từ VLAN chính và chuyển tiếp các khung lên luồng VLAN chính.
• Secondary interswitch isolated VLAN: là VLAN cách biệt giữa các switch phụ – VLAN được sử dụng để chuyển tiếp lưu lượng VLAN cách biệt từ một switch sang một switch khác qua cổng trunk PVLAN. Thẻ 802.1Q được yêu cầu cho các VLAN cách biệt giữa các switch do IEEE 802.1Q sử dụng cơ chế gắn thẻ nội bộ bằng cách mà thiết bị trunking chèn một thẻ xác định khung VLAN 4 byte vào phần tiêu đề gói tin.
• Secondary community VLAN: là VLAN cộng đồng phụ – VLAN được sử dụng để chuyển tiếp khung giữa các thành viên của một cộng đồng (một tập con người dùng trong VLAN) và chuyển tiếp khung lên luồng VLAN chính.

Cấu trúc 2: Private VLAN mở rộng cho nhiều Switch

Cấu trúc mạng PVLAN trong hình trên cho thấy một PVLAN gồm nhiều Switch. Trong đó PVLAN chính (100) chứa hai miền cộng đồng (300 và 400) và một miền cách biệt giữa các switch.

Hướng dẫn cấu hình Private VLAN trên Switch Cisco

Sau đây mình sẽ hướng dẫn bạn các câu lệnh cấu hình Private VLAn trên các sản phẩm Switch Cisco từ cơ bản đến nâng cao. Cấu hình PVLAN yêu cầu kiến thức về VLAN cơ bản và hoạt động của mạng, vì vậy hãy chắc chắn bạn đã hiểu rõ về các khái niệm này trước khi bắt đầu. Dưới đây là các câu lệnh từng bước:

Tạo Primary VLAN

PVLAN bắt đầu với một VLAN chính (Primary VLAN) chứa tất cả các VLAN con khác. Nên bạn hãy tạo VLAN chính trước:

Switch(config)# vlan 100
Switch(config-vlan)# name PrimaryVLAN
Switch(config-vlan)# exit

Tạo Secondary VLANs

Sau khi tạo VLAN chính, bạn có thể tạo các VLAN phụ (Secondary VLANs) như VLAN cách biệt (Isolated VLANs) và VLAN cộng đồng (Community VLANs).

Để tạo VLAN cách biệt:

Switch(config)# vlan 200
Switch(config-vlan)# private-vlan isolated
Switch(config-vlan)# exit

Để tạo VLAN cộng đồng:

Switch(config)# vlan 300
Switch(config-vlan)# private-vlan community
Switch(config-vlan)# exit

Kết nối VLAN Secondary với Primary

Bây giờ, bạn cần kết nối các VLAN phụ (Isolated VLANs và Community VLANs) với VLAN chính (Primary VLAN). Hãy thực hiện các bước sau:

Switch(config)# vlan 200
Switch(config-vlan)# private-vlan association 100
Switch(config-vlan)# exit
Switch(config)# vlan 300
Switch(config-vlan)# private-vlan association 100
Switch(config-vlan)# exit

Thiết lập cổng thành viên của PVLAN

Tiếp theo, bạn cần thiết lập cổng thành viên cho từng VLAN phụ. Ví dụ, để thiết lập cổng Ethernet 1/1 là cổng thành viên của VLAN cách biệt 200:

Switch(config)# interface ethernet 1/1
Switch(config-if)# switchport mode private-vlan host
Switch(config-if)# switchport private-vlan host-association 200 100
Switch(config-if)# exit

Thiết lập cổng promiscuous

Các cổng promiscuous sẽ giao tiếp với tất cả các VLAN trong PVLAN. Ví dụ, để thiết lập cổng Ethernet 1/24 là cổng quấy rối:

Switch(config)# interface ethernet 1/24
Switch(config-if)# switchport mode private-vlan promiscuous
Switch(config-if)# switchport private-vlan mapping 100 add 200,300
Switch(config-if)# exit

Lưu và kiểm tra cấu hình

Sau khi bạn hoàn thành cấu hình, đừng quên lưu cấu hình và kiểm tra để đảm bảo rằng PVLAN hoạt động đúng:

Switch(config)# end
Switch# copy running-config startup-config
Switch# show vlan private-vlan

Trên đây là một hướng dẫn cơ bản về cách cấu hình Private VLAN trên một Switch Cisco. Lưu ý rằng cấu hình PVLAN có thể phức tạp hơn khi áp dụng vào môi trường thực tế, và nó cũng có thể khác nhau tùy theo phiên bản của Switch và phiên bản phần mềm. Hãy đảm bảo bạn đã tìm hiểu kỹ trước khi triển khai PVLAN trong mạng của mình.

Nếu chưa chắc chắn hãy liên hệ với Viễn Thông Xanh để nhận được sự hỗ trợ và tư vấn cấu hình Switch Cisco giúp bạn!

 

Xem thêm các bài viết hay khác:

Native VLAN là gì? Tìm hiểu và Phân biệt với Default VLAN

Tìm hiểu VLAN TRUNK và Cổng Trunk trên Switch