实验目的
将相同子网的所有设备都只能与网关或其他网络进行通信，实现网络内部的隔离，解决VLAN数量受限的问题。
组网需求
- 如下图，属于同一企业的用户群体分布在一台接入交换机上，此交换机上存在部分用户之间可以访问，部分用户不能访问的需求，而且他们所使用的IP地址在同一个网段。
- 团体VLAN20：用户1两台PC实现相互通信；
- 隔离VLAN30：用户1与用户3实现相互隔离；
- 混杂口：Switch-A的上联口F0/24为混杂口，由于辅助VLAN的报文允许转发到主VLAN，所以相关报文都能够转发到网关，实现与外部的通信。
实验拓扑
实验步骤
交换机SWITCHA
switcha(config)#vlan 20
switcha(config-vlan)#private-vlan community //将 vlan 20 配置为 pvlan 的辅助 vlan ，并设置为团体 vlan
switcha(config-vlan)#exit
switcha(config)#vlan 30
switcha(config-vlan)#private-vlan isolated //将 vlan 30 配置为 pvlan 的辅助 vlan ，并配置为隔离 vlan
switcha(config-vlan)#exit
switcha(config)#vlan 10
switcha(config-vlan)#private-vlan primary //将 vlan 10 配置为 pvlan 的主 vlan
switcha(config-vlan)#private-vlan association 20,30 //将辅助 vlan20 和 30关联到 10
switcha(config)#int range f0/10-11
switcha(config-if-range)#sw mode private-vlan host //将连接计费服务器的端口配置为主机端口
switcha(config-if-range)#switchport private-vlan host-association 10 20 //将端口关联到 pvlan 的主 vlan 与辅助 vlan
switcha(config-if-range)#exit
switcha(config)#int f0/12
switcha(config-if)#sw mode private-vlan host
switcha(config-if)#switchport private-vlan host-association 10 20
switcha(config-if)#exit
switcha(config)#int f0/24
switcha(config-if)#sw mode trunk
switcha(config-if)#switchport private-vlan promiscuous trunk 10 20,30 //将混杂端口映射到 pvlan 的主 vlan 与辅助 vlan
switcha(config-if)#switchport private-vlan promiscuous //将连接网关的端口配置为混杂端口
交换机SWITCHB
switchb(config)#vlan 20
switchb(config-vlan)#private-vlan community
switchb(config-vlan)#ex
switchb(config)#vlan 30
switchb(config-vlan)#private-vlan isolated
switchb(config-vlan)#ex
switchb(config)#vlan 10
switchb(config-vlan)#private-vlan primary
switchb(config-vlan)#private-vlan association 20,30
switchb(config-vlan)#ex
switchb(config)#int f0/10
switchb(config-if)#switchport mode private-vlan host
switchb(config-if)#switchport private-vlan host-association 10 20
switchb(config-if)#ex
switchb(config)#switchport mode pri
switchb(config)#int f0/12
switchb(config-if)#swo
switchb(config-if)#swomode
switchb(config-if)#swi
路由器GWA
R6_S3760_2#config
R6_S3760_2(config)#vlan 20
R6_S3760_2(config-vlan)#private-vlan community
R6_S3760_2(config-vlan)#ex
R6_S3760_2(config)#vlan 30
R6_S3760_2(config-vlan)#private-vlan isolated
R6_S3760_2(config-vlan)#ex
R6_S3760_2(config)#vlan 10
R6_S3760_2(config-vlan)#private-vlan primary
R6_S3760_2(config-vlan)#private-vlan association 20,30
R6_S3760_2(config-vlan)#int vlan10
R6_S3760_2(config-if-VLAN 10)#ip address 192.168.3.1 255.255.255.0
R6_S3760_2(config-if-VLAN 10)#private-vlan mapping 20,30
实验结论
SwitchA上属于VLAN 20的两台PC可以相互通信
SwitchA上属于VLAN 20的PC与Switch A上属于VLAN 30的PC之间无法通信
SwitchA上的管理网段VLAN 10 ping GW上的管理网关，可以通信
