Les Private VLAN
Segmenter un VLAN en sous-VLAN (isolés et communautaires) pour empêcher les postes d’un même VLAN de communiquer librement entre eux.
- Vlan = Virtual LAN
- Private Vlan = Vlan privée !
Avant de lire cet article, il est primordial de maîtriser les Vlans, je vous invite donc à lire mon article sur les Vlans avant toute chose.
Problématique :
- Nous avons un vlan contenant 800 postes clients.
- Chaque poste client va recevoir les broadcasts de ses 799 voisins…
- Les postes clients de notre entreprise ont-ils besoin de discuter entre eux ??? Bien sûr que non !!
Solution :
- Mettre en place des Private VLAN !
Un Vlan privée (Private) est un Vlan dans un Vlan.
Il en existe deux types :
- Vlan Primaire
- Vlan Secondaire
Les VLANs Primaire
Vlan primaire = Vlan classique.
Tous les ports présents dans un vlan primaire sont capables de discuter entre eux sans restriction. Pour plus de détails sur les Vlans primaires, je vous donne rendez-vous dans l’article Vlan.
Les VLANs Secondaire
Définition
Vlan Secondaire = Vlan privée.
Un vlan Secondaire doit faire partie d’un vlan primaire.
Il existe deux types de vlan secondaire :
- Isolated Vlan (vlan isolé)
- Community Vlan (Vlan Communautaire)
Isolated Vlan
Un port dans un vlan isolé peut discuter avec :
- Les membres du Vlan Primaire.
Il ne peut donc pas discuter avec les autres membres du vlan isolé ou les membres d’une communauté.
Community Vlan
Un port dans un Vlan Communautaire peut discuter avec :
- Les membres de sa communauté.
- Les membres du Vlan Primaire.
Il ne peut donc pas discuter avec les membres d’un vlan isolé ou les membres d’une autre communauté.
Configuration de base
L’architecture de base
Création des Vlans primaire et secondaire
Ces Vlans sont :
- Soit à créer sur tous nos switchs.
- Soit à créer sur le Switch en mode server de notre domaine VTPv3.
SW_01(config)# vlan 11
SW_01(config-vlan)# private-vlan isolated
SW_01(config)# vlan 12
SW_01(config-vlan)# private-vlan community
SW_01(config)# vlan 10
SW_01(config-vlan)# name VLAN_10
SW_01(config-vlan)# private-vlan primary
SW_01(config-vlan)# private-vlan association11 , 12
----
SW_01(config)# vlan 21
SW_01(config-vlan)# private-vlan isolated
SW_01(config)# vlan 22
SW_01(config-vlan)# private-vlan community
SW_01(config)# vlan 20
SW_01(config-vlan)# name VLAN_20
SW_01(config-vlan)# private-vlan primary
SW_01(config-vlan)# private-vlan association 21 , 22Affecter un port dans un vlan privée
Sw(config)# interface FastEthernet X/X
Sw(config-if)# switchport mode private-vlan host
Sw(config-if)# switchport private-vlan host-association XX YYXX = Vlan Primaire
YY = Vlan Secondaire
Ce qui nous donne :
SW_01(config)# interface FastEthernet 0/1
SW_01(config-if)# switchport mode private-vlan host
SW_01(config-if)# switchport private-vlan host-association 10 11
SW_01(config)# interface FastEthernet 0/2
SW_01(config-if)# switchport mode private-vlan host
SW_01(config-if)# switchport private-vlan host-association 10 12
SW_01(config)# interface FastEthernet 0/3
SW_01(config-if)# switchport mode private-vlan host
SW_01(config-if)# switchport private-vlan host-association 20 21
SW_01(config)# interface FastEthernet 0/4
SW_01(config-if)# switchport mode private-vlan host
SW_01(config-if)# switchport private-vlan host-association 20 22Configuration avancée
Configuration du VTP
Les Private Vlan ne sont pas supportés par le VTP version 1 et 2. Il faut donc soit le désactiver, soit activer le VTP version 3 :
Passer le VTP en version 3 :
SW_01(config)# vtp version 3ou
Désactiver le VTP :
SW_01(config)# vtp mode transparentRoutage Vlan : Router On A Stick (ROAS)
Architecture de base
Configuration du SW01
SW01(config)# interface fa0/24
SW01(config-if)# description LIEN_TRUNK
SW01(config-if)# switchport mode trunk private-vlan trunk promiscuous
SW01(config-if)# switchport private-vlan mapping trunk 10 11,12
SW01(config-if)# switchport private-vlan mapping trunk 20 21,22Configuration du RTR_01
RTR_01(config)# interface fa0/0.10
RTR_01(config-if)# encapsulation dot1q 10
RTR_01(config-if)# description VLAN 10
RTR_01(config-if)# ip address 192.168.10.254 255.255.255.0
RTR_01(config)# interface fa0/0.20
RTR_01(config-if)# encapsulation dot1q 20
RTR_01(config-if)# description VLAN 20
RTR_01(config-if)# ip address 192.168.20.254 255.255.255.0Routage Vlan : Switch Vlan interface (SVI)
Architecture de base
Configuration du SW01
SW01(config)# interface fa0/24
SW01(config-if)# description LIEN_TRUNK
SW01(config-if)# switchport mode trunk private-vlan trunk promiscuous
SW01(config-if)# switchport private-vlan mapping trunk 10 11,12
SW01(config-if)# switchport private-vlan mapping trunk 20 21,22Configuration du SWCore
SWCore(config)# interface fa0/1
SWCore(config-if)# description LIEN_TRUNK
SWCore(config-if)# switchport mode trunk private-vlan trunk promiscuous
SWCore(config-if)# switchport private-vlan mapping trunk 10 11,12
SWCore(config-if)# switchport private-vlan mapping trunk 20 21,22
SWCore(config)# interface vlan 10
SWCore(config-if)# description VLAN 10
SWCore(config-if)# ip address 192.168.10.254 255.255.255.0
SWCore(config)# interface vlan 20
SWCore(config-if)# description VLAN 20
SWCore(config-if)# ip address 192.168.20.254 255.255.255.0Vérification
SW_01# show vlan private-vlan
Primary Secondary Type Ports
------- --------- --------------- -------------------------------------------
10 11 isolated Fa0/1
10 12 community Fa0/2
20 21 isolated Fa0/3
20 22 community Fa0/4SW_01# show vlan private-vlan type
Vlan Type
---- -----------------
10 primary
11 isolated
12 community
20 primary
21 isolated
22 community
Eric JOUFFRILLON
Co-auteur de l'article
Expert SATCOM
Technicien Réseau
17 ans d’éxpérience déploiement réseau SATCOM
Spécialisé LFN (Long Fat Network).Diffusion vidéo et QOS.
Noël NICOLAS
Auteur de l'article
Expert Réseau
15 ans d’expérience
CCNP Routing and Switching
Fondateur du site FingerInTheNet
Formation CCNADevenez certifié CCNA 200-301
La formation complète Cisco, à votre rythme et accès à vie.
Voir la formation →