El conjunto de documentos para este producto aspira al uso de un lenguaje no discriminatorio. A los fines de esta documentación, "no discriminatorio" se refiere al lenguaje que no implica discriminación por motivos de edad, discapacidad, género, identidad de raza, identidad étnica, orientación sexual, nivel socioeconómico e interseccionalidad. Puede haber excepciones en la documentación debido al lenguaje que se encuentra ya en las interfaces de usuario del software del producto, el lenguaje utilizado en función de la documentación de la RFP o el lenguaje utilizado por un producto de terceros al que se hace referencia. Obtenga más información sobre cómo Cisco utiliza el lenguaje inclusivo.
Cisco ha traducido este documento combinando la traducción automática y los recursos humanos a fin de ofrecer a nuestros usuarios en todo el mundo contenido en su propio idioma. Tenga en cuenta que incluso la mejor traducción automática podría no ser tan precisa como la proporcionada por un traductor profesional. Cisco Systems, Inc. no asume ninguna responsabilidad por la precisión de estas traducciones y recomienda remitirse siempre al documento original escrito en inglés (insertar vínculo URL).
Este documento describe la compatibilidad con VLAN privada (PVLAN) en Cisco Unified Computing System (UCS), una función introducida en la versión 1.4 de Cisco UCS Manager (UCSM). También detalla las características, las advertencias y la configuración cuando se utilizan las PVLAN en un entorno UCS.
ESTE DOCUMENTO ESTÁ DESTINADO A UTILIZARSE CON UCSM VERSIÓN 2.2(2C) Y VERSIONES ANTERIORES. En las versiones posteriores a la versión 2.2(2C), se han realizado cambios en UCSM y se admite ESXi DVS. También hay cambios en cómo funciona el etiquetado para la NIC PVLAN.
Cisco recomienda que tenga conocimiento sobre estos temas:
Este documento no tiene restricciones específicas en cuanto a versiones de software y de hardware.
La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). If your network is live, make sure that you understand the potential impact of any command.
Una VLAN privada es una VLAN configurada para el aislamiento de L2 de otros puertos dentro de la misma VLAN privada. Los puertos que pertenecen a una PVLAN se asocian con un conjunto común de VLAN de soporte, que se utilizan para crear la estructura PVLAN.
Hay tres tipos de puertos PVLAN:
Consulte RFC 5517, VLAN Privadas de Cisco Systems: Seguridad escalable en un entorno de varios clientes para comprender la teoría, el funcionamiento y los conceptos de las PVLAN.
UCS se parece mucho a la arquitectura Nexus 5000/2000, donde Nexus 5000 es análogo a UCS 6100 y Nexus 2000 a los Fabric Extenders UCS 2104.
Muchas limitaciones de la funcionalidad PVLAN en UCS se deben a las limitaciones de la implementación de Nexus 5000/2000.
Los puntos importantes que debe recordar son:
Este documento abarca varias configuraciones diferentes disponibles para PVLAN con UCS:
La topología para todos los ejemplos con un switch distribuido es:
La topología para todos los ejemplos sin switch distribuido es:
En esta configuración, está pasando el tráfico PVLAN a través de UCS a un puerto promiscuo que es ascendente. Dado que no puede enviar tanto VLAN primarias como secundarias en la misma vNIC, necesita una vNIC para cada blade para cada PVLAN, a fin de transportar el tráfico PVLAN.
Este procedimiento describe cómo crear tanto la VLAN primaria como cualquier VLAN aislada.
Nota: Este ejemplo utiliza 266 como primario y 166 como aislado; el sitio determinará los ID de VLAN.
Estos procedimientos describen cómo configurar un Nexus 5K para pasar la PVLAN a través de un switch ascendente 4900 donde se encuentra el puerto promiscuo. Aunque esto no sea necesario en todos los entornos, utilice esta configuración en caso de que deba pasar la PVLAN a través de otro switch.
En el Nexus 5K, introduzca estos comandos y compruebe la configuración del enlace ascendente:
Nexus5000-5(config)# feature private-vlan[an error occurred while processing this directive]
Nexus5000-5(config)# vlan 166[an error occurred while processing this directive]
Nexus5000-5(config-vlan)# private-vlan isolated
Nexus5000-5(config-vlan)# vlan 266
Nexus5000-5(config-vlan)# private-vlan primary
Nexus5000-5(config-vlan)# private-vlan association 166[an error occurred while processing this directive]
En el switch 4900, siga estos pasos y configure el puerto promiscuo. La PVLAN termina en el puerto promiscuo.
Switch(config-if)#switchport mode trunk[an error occurred while processing this directive]
switchport private-vlan mapping 266 166
switchport mode private-vlan promiscuous
En el router ascendente, cree una subinterfaz para la VLAN 266 solamente. En este nivel, los requisitos dependen de la configuración de red que esté utilizando:
Este procedimiento describe cómo probar la configuración.
(config)# interface vlan 266[an error occurred while processing this directive]
(config-if)# ip address 209.165.200.225 255.255.255.224
(config-if)# private-vlan mapping 166
(config-if)# no shut
En esta configuración, los sistemas en esta VLAN aislada no pueden comunicarse entre sí, pero pueden comunicarse con otros sistemas a través del puerto promiscuo en el switch 4900. Un problema es cómo configurar los dispositivos de flujo descendente. En este caso, está utilizando VMware y dos hosts.
Recuerde que debe utilizar una vNIC para cada PVLAN. Estas vNIC se presentan a VMware vSphere ESXi y, a continuación, puede crear grupos de puertos y tener invitados para estos grupos de puertos.
Si se agregan dos sistemas al mismo grupo de puertos en el mismo switch, pueden comunicarse entre sí porque sus comunicaciones se conmutan localmente en el vSwitch. En este sistema, hay dos servidores blade con dos hosts cada uno.
En el primer sistema, se han creado dos grupos de puertos diferentes: uno llamado 166 y otro llamado 166A. Cada uno está conectado a una única NIC, que se configura en la VLAN aislada en UCS. Actualmente sólo hay un invitado para cada grupo de puertos. En este caso, dado que están separados en ESXi, no pueden comunicarse entre sí.
En el segundo sistema, sólo hay un grupo de puertos denominado 166. Hay dos invitados en este grupo de puertos. En esta configuración, VM3 y VM4 pueden comunicarse entre sí aunque no desee que esto suceda. Para corregir esto, debe configurar una única NIC para cada máquina virtual (VM) que esté en la VLAN aislada y, a continuación, crear un grupo de puertos conectado a esa vNIC. Una vez configurado, coloque sólo un invitado en el grupo de puertos. Esto no es un problema con una instalación Windows sin software específico porque no tiene estos vSwitches subyacentes.
En esta configuración, está pasando el tráfico PVLAN a través de un N1K y luego el UCS a un puerto promiscuo que es ascendente. Debido a que no puede enviar las VLAN primarias y secundarias en la misma vNIC, necesita una vNIC para cada enlace ascendente PVLAN para transportar el tráfico PVLAN.
Este procedimiento describe cómo crear tanto la VLAN primaria como cualquier VLAN aislada.
Nota: Este ejemplo utiliza 266 como primario y 166 como aislado; el sitio determinará los ID de VLAN.
Estos procedimientos describen cómo configurar un Nexus 5K para pasar la PVLAN a través de un switch ascendente 4900 donde se encuentra el puerto promiscuo. Aunque esto no sea necesario en todos los entornos, utilice esta configuración en caso de que deba pasar la PVLAN a través de otro switch.
En el Nexus 5K, introduzca estos comandos y compruebe la configuración del enlace ascendente:
Nexus5000-5(config)# feature private-vlan[an error occurred while processing this directive]
Nexus5000-5(config)# vlan 166[an error occurred while processing this directive]
Nexus5000-5(config-vlan)# private-vlan isolated
Nexus5000-5(config-vlan)# vlan 266
Nexus5000-5(config-vlan)# private-vlan primary
Nexus5000-5(config-vlan)# private-vlan association 166[an error occurred while processing this directive]
En el switch 4900, siga estos pasos y configure el puerto promiscuo. La PVLAN termina en el puerto promiscuo.
Switch(config-if)#switchport mode trunk[an error occurred while processing this directive]
switchport private-vlan mapping 266 166
switchport mode private-vlan promiscuous
En el router ascendente, cree una subinterfaz para la VLAN 266 solamente. En este nivel, los requisitos dependen de la configuración de red que utilice:
Este procedimiento describe cómo configurar el N1K como un trunk estándar, no como un trunk PVLAN.
Switch(config)#port-profile type ethernet pvlan_uplink[an error occurred while processing this directive]
Switch(config-port-prof)# vmware port-group
Switch(config-port-prof)# switchport mode trunk
Switch(config-port-prof)# switchport trunk allowed vlan 166,266
Switch(config-port-prof)# switchport trunk native vlan 266 <-- This is necessary to handle
traffic coming back from the promiscuous port.
Switch(config-port-prof)# channel-group auto mode on mac-pinning
Switch(config-port-prof)# no shut
Switch(config-port-prof)# state enabled
Switch(config)# port-profile type vethernet pvlan_guest[an error occurred while processing this directive]
Switch(config-port-prof)# vmware port-group
Switch(config-port-prof)# switchport mode private-vlan host
Switch(config-port-prof)# switchport private-vlan host-association 266 166
Switch(config-port-prof)# no shut
Switch(config-port-prof)# state enabled
Este procedimiento describe cómo probar la configuración.
En esta configuración, usted contiene el tráfico PVLAN al N1K con solamente la VLAN primaria utilizada en dirección ascendente.
Este procedimiento describe cómo agregar la VLAN principal a la vNIC. No es necesario configurar la PVLAN porque solo necesita la VLAN principal.
Nota: Este ejemplo utiliza 266 como primario y 166 como aislado; el sitio determinará los ID de VLAN.
Estos procedimientos describen cómo configurar los dispositivos ascendentes. En este caso, los switches ascendentes solo necesitan puertos troncales, y solo necesitan VLAN troncal 266 porque es la única VLAN que ven los switches ascendentes.
En el Nexus 5K, introduzca estos comandos y compruebe la configuración del enlace ascendente:
Nexus5000-5(config-vlan)# vlan 266[an error occurred while processing this directive]
En el switch 4900, siga estos pasos:
En el router ascendente, cree una subinterfaz para la VLAN 266 solamente. En este nivel, los requisitos dependen de la configuración de red que utilice.
Este procedimiento describe cómo configurar el N1K.
Switch(config)# vlan 166[an error occurred while processing this directive]
Switch(config-vlan)# private-vlan isolated
Switch(config-vlan)# vlan 266
Switch(config-vlan)# private-vlan primary
Switch(config-vlan)# private-vlan association 166
Switch(config)#port-profile type ethernet pvlan_uplink[an error occurred while processing this directive]
Switch(config-port-prof)# vmware port-group
Switch(config-port-prof)# switchport mode private-vlan trunk promiscuous
Switch(config-port-prof)# switchport private-vlan trunk allowed vlan 266 <-- Only need to
allow the primary VLAN
Switch(config-port-prof)# switchport private-vlan mapping trunk 266 166 <-- The VLANS must
be mapped at this point
Switch(config-port-prof)# channel-group auto mode on mac-pinning
Switch(config-port-prof)# no shut
Switch(config-port-prof)# state enabled
Switch(config)# port-profile type vethernet pvlan_guest[an error occurred while processing this directive]
Switch(config-port-prof)# vmware port-group
Switch(config-port-prof)# switchport mode private-vlan host
Switch(config-port-prof)# switchport private-vlan host-association 266 166
Switch(config-port-prof)# no shut
Switch(config-port-prof)# state enabled
Este procedimiento describe cómo probar la configuración.
Esta es la única configuración admitida para la VLAN de comunidad con UCS.
Esta configuración es la misma que la configurada en la PVLAN aislada en N1K con puerto promiscuo en la sección N1K Uplink Port-Profile. La única diferencia entre comunidad y aislamiento es la configuración de la PVLAN.
Para configurar el N1K, cree y asocie las VLAN como hizo en el Nexus 5K:
Switch(config)# vlan 166[an error occurred while processing this directive]
Switch(config-vlan)# private-vlan community
Switch(config-vlan)# vlan 266
Switch(config-vlan)# private-vlan primary
Switch(config-vlan)# private-vlan association 16
El resto de la configuración es la misma que la PVLAN aislada en N1K con puerto promiscuo en el perfil de puerto de enlace ascendente N1K.
Una vez configurado, puede comunicarse con todas las VM conectadas al perfil de puerto vEthernet utilizado para la PVLAN.
Este procedimiento describe cómo probar la configuración.
Debido a los problemas de configuración tanto en DVS como en el sistema UCS, las PVLAN con DVS y UCS no son compatibles con versiones anteriores a la 2.2(2c).
Actualmente no hay procedimientos de verificación disponibles para estas configuraciones.
En las secciones anteriores se proporciona información que puede utilizar para solucionar problemas de configuración.
La herramienta de interpretación de información de salida (disponible para clientes registrados únicamente) admite ciertos comandos show. Utilice la herramienta para ver una análisis de información de salida del comando show.
Revisión | Fecha de publicación | Comentarios |
---|---|---|
1.0 |
17-Jun-2013 |
Versión inicial |