Catalyst 3750 スイッチ ソフトウェア コンフィギュレーション ガイド, 12.2(55)SE

プライベート VLAN での IP アドレッシング方式

各カスタマーに個別の VLAN を割り当てると、次のように IP アドレッシング方式が非効率的になります。

• カスタマーの VLAN にアドレス ブロックを割り当てると、未使用の IP アドレスが出てきます。

• VLAN 内のデバイス数が増加した場合、それに対応するだけのアドレスを割り当てられない場合があります。

これらの問題は、プライベート VLAN を使用することで軽減できます。この場合、プライベート VLAN 内のすべてのメンバーがプライマリ VLAN に割り当てられた共通アドレス空間を共有します。ホストはセカンダリ VLAN に接続され、Dynamic Host Configuration Protocol（DHCP）サーバがプライマリ VLAN に割り当てられたアドレス ブロックから IP アドレスを割り当てます。後続の IP アドレスは、同じプライマリ VLAN にある別のセカンダリ VLAN にあるカスタマー デバイスに割り当てることができます。新しいデバイスが追加されると、DHCP サーバはサブネット アドレスの大きなプールから次に使用可能なアドレスをデバイスに割り当てます。

複数のスイッチにまたがるプライベート VLAN

通常の VLAN と同様に、プライベート VLAN を複数のスイッチにまたがるように設定できます。トランク ポートはプライマリ VLAN およびセカンダリ VLAN をネイバー スイッチに伝送します。トランク ポートはプライベート VLAN を他の VLAN として扱います。複数のスイッチにまたがるプライベート VLAN の機能の場合、スイッチ A にある独立ポートからのトラフィックはスイッチ B に到達しません。図 16-2 を参照してください。

図 16-2 複数のスイッチにまたがるプライベート VLAN

VTP はプライベート VLAN をサポートしないので、レイヤ 2 ネットワーク内のすべてのスイッチにプライベート VLAN を手動で設定する必要があります。ネットワーク内の一部のスイッチにプライマリおよびセカンダリ VLAN の関連を設定しない場合、これらのスイッチのレイヤ 2 データベースは統合されません。これにより、これらのスイッチにプライベート VLAN トラフィックの不要なフラッディングが発生する可能性があります。

（注） プライベート VLAN をスイッチに設定するときに、ユニキャスト ルートとレイヤ 2 エントリとの間のシステム リソースのバランスを取るために、常にデフォルトの Switch Database Management（SDM; スイッチ データベース管理）テンプレートを使用してください。別の SDM テンプレートが設定されている場合、デフォルト テンプレートを設定するのに sdm prefer default グローバル コンフィギュレーション コマンドを使用します。「SDM テンプレートの設定」を参照してください。

プライベート VLAN の 他機能との相互作用

プライベート VLAN には、次のように他の機能と相互作用があります。

• 「プライベート VLAN とユニキャスト、ブロードキャスト、およびマルチキャスト トラフィック」

• 「プライベート VLAN と SVI」

• 「プライベート VLAN およびスイッチ スタック」

「セカンダリおよびプライマリ VLAN の設定」の下にある「プライベート VLAN 設定時の注意事項」も参照してください。

プライベート VLAN とユニキャスト、ブロードキャスト、およびマルチキャスト トラフィック

通常の VLAN では、同じ VLAN にあるデバイスはレイヤ 2 レベルで互いに通信しますが、別の VLAN にあるインターフェイスに接続されたデバイスとはレイヤ 3 レベルで通信する必要があります。プライベート VLAN では、混合ポートはプライマリ VLAN のメンバーで、ホスト ポートはセカンダリ VLAN に属しています。セカンダリ VLAN はプライマリ VLAN に対応付けられているため、これらの VLAN のメンバーはレイヤ 2 レベルで互いに通信できます。

通常の VLAN では、ブロードキャストはその VLAN 内のすべてのポートに転送されます。プライベート VLAN ブロードキャスト転送は、次のようにブロードキャストを送信するポートに左右されます。

• 独立ポートはブロードキャストを混合ポートまたはトランク ポートにだけ送信します。

• コミュニティ ポートは、すべての混合ポート、トランク ポート、および同じコミュニティ VLAN 内のポートにブロードキャストを送信します。

• 混合ポートは、プライベート VLAN のすべてのポート（他の混合ポート、トランク ポート、独立ポート、コミュニティ ポート）にブロードキャストを送信します。

マルチキャスト トラフィックは、プライベート VLAN 境界を越えて単一のコミュニティ VLAN 内にルーティングまたはブリッジングされます。マルチキャスト トラフィックは、同じ独立 VLAN 内のポート間で転送されず、また別のセカンダリ VLAN 内のポート間でも転送されません。

プライベート VLAN と SVI

レイヤ 3 スイッチでは、Switch Virtual Intertface（SVI; スイッチ仮想インターフェイス）が VLAN のレイヤ 3 インターフェイスを表します。レイヤ 3 デバイスは、セカンダリ VLAN ではなくプライマリ VLAN を介してのみプライベート VLAN と通信します。レイヤ 3 VLAN インターフェイスをプライマリ VLAN に対してのみ設定します。レイヤ 3 VLAN インターフェイスをセカンダリ VLAN 用に設定できません。セカンダリ VLAN 用の SVI は、VLAN がセカンダリ VLAN として設定されている間は非アクティブです。

• アクティブ SVI を設定した VLAN をセカンダリ VLAN として設定しようとすると、SVI をディセーブルにするまで設定が許可されません。

• セカンダリ VLAN として設定されている VLAN に SVI を作成しようとしてセカンダリ VLAN がすでにレイヤ 3 にマッピングされている場合、SVI は作成されず、エラーが返されます。SVI がレイヤ 3 にマッピングされていない場合、SVI は作成されますが、自動的にシャットダウンされます。

プライマリ VLAN がセカンダリ VLAN に対応付けられていてマッピングされていると、プライマリ VLAN 上の設定はセカンダリ VLAN SVI に伝播されます。たとえば、IP サブネットをプライマリ VLAN SVI に割り当てる場合、このサブネットはプライベート VLAN 全体の IP サブネット アドレスです。

プライベート VLAN およびスイッチ スタック

プライベート VLAN はスイッチ スタック内で動作することができ、プライベート VLAN ポートはさまざまなスタック メンバーに常駐できます。ただし、スイッチ スタックを変更するとプライベート VLAN 動作に影響を与えます。

• スタックにプライベート VLAN 混合ポートのみが含まれ、このポートを含めたスタック メンバーがスタックから削除された場合、プライベート VLAN のホスト ポートとプライベート VLAN 外との接続が不能になります。

• スタック内にプライベート VLAN 混合ポートが 1 つのみあるスタック マスターに障害が発生した、またはスタックを残し、新しいスタック マスターが選択された場合、古いスタック マスターに混合ポートがあるプライベート VLAN のホスト ポートとプライベート VLAN 外との接続が不能になります。

• 2 つのスタックが統合した場合、権利を獲得したスタックのプライベート VLAN は影響を受けませんが、スイッチを再起動したときに、権利を獲得しなかったスイッチのプライベート VLAN 設定が失われます。

スイッチ スタックの詳細については、「スイッチ スタックの管理」を参照してください。

プライベート VLAN の設定手順

プライベート VLAN を設定するには、次の手順を実行します。

ステップ 1 VTP モードを透過に設定します。

ステップ 2 プライマリおよびセカンダリ VLAN を作成してこれらを対応付けします。「プライベート VLAN 内の VLAN の設定および対応付け」を参照してください。

（注） VLAN がまだ作成されていない場合、プライベート VLAN 設定プロセスでこれを作成します。

ステップ 3 インターフェイスを独立ポートまたはコミュニティ ホスト ポートに設定して、ホスト ポートに VLAN メンバシップを割り当てます。「プライベート VLAN ホスト ポートとしてのレイヤ 2 インターフェイスの設定」を参照してください。

ステップ 4 インターフェイスを混合ポートとして設定し、混合ポートをプライマリおよびセカンダリ VLAN のペアにマッピングします。「プライベート VLAN 混合ポートとしてのレイヤ 2 インターフェイスの設定」を参照してください。

ステップ 5 VLAN 間ルーティングを使用している場合、プライマリ SVI を設定し、セカンダリ VLAN をプライマリ SVI にマッピングします。「セカンダリ VLAN のプライマリ VLAN レイヤ 3 VLAN インターフェイスへのマッピング」を参照してください。

ステップ 6 プライマリ VLAN 設定を確認します。

デフォルトのプライベート VLAN 設定

プライベート VLAN は設定されていません。

プライベート VLAN 設定時の注意事項

プライベート VLAN 設定時の注意事項は、次のカテゴリに分けられます。

• 「セカンダリおよびプライマリ VLAN の設定」

• 「プライベート VLAN ポート設定」

• 「他の機能との間の制限」

セカンダリおよびプライマリ VLAN の設定

プライベート VLAN の設定を行うときは、次の注意事項に従ってください。

• スイッチで VTP バージョン 1 または 2 が稼動している場合は、VTP を透過モードに設定する必要があります。プライベート VLAN の設定が終わったら、VTP モードをクライアントやサーバに変更しないでください。VTP の詳細については、「VTP の設定」を参照してください。VTP バージョン 3 は、すべての モードでプライベート VLAN をサポートします。

• VTP バージョン 1 または 2 では、プライベート VLAN を設定してから、 copy running-config startup config 特権 EXEC コマンドを使用して VTP 透過モード設定およびプライベート VLAN 設定をスイッチ スタートアップ コンフィギュレーション ファイルに保存します。保存しないと、スイッチをリセットした場合、デフォルトの VTP サーバ モードになり、プライベート VLAN をサポートしなくなります。VTP バージョン 3 はプライベート VLAN をサポートします。

• VTP バージョン 1 および 2 はプライベート VLAN 設定を伝播しません。デバイスで VTP バージョン 3 が稼動していない場合は、プライベート VLAN ポートが必要な各デバイスにプライベート VLAN を設定する必要があります。

• VLAN 1 または VLAN 1002 ～ 1005 をプライマリまたはセカンダリ VLAN に設定できません。拡張 VLAN（VLAN ID 1006 ～ 4094）はプライベート VLAN に属することができます。

• プライマリ VLAN には 1 つの独立 VLAN とこれに対応付けられた複数のコミュニティ VLAN を設定できます。独立またはコミュニティ VLAN には、これに対応付けられたプライマリ VLAN を 1 つだけ設定できます。

• プライベート VLAN には複数の VLAN が含まれますが、プライベート VLAN 全体で実行可能な Spanning-Tree Protocol（STP; スパニング ツリー プロトコル）インスタンスは 1 つだけです。セカンダリ VLAN がプライマリ VLAN に対応付けられている場合、プライマリ VLAN の STP パラメータはセカンダリ VLAN に伝播されます。

• プライベート VLAN で DHCP スヌーピングをイネーブルにできます。プライマリ VLAN で DHCP スヌーピングをイネーブルにする場合、セカンダリ VLAN に伝播されます。セカンダリ VLAN に DHCP を設定する場合、その設定はプライマリ VLAN がすでに設定されていないと有効になりません。

• プライベート VLAN ポートで IP ソース ガードをイネーブルにする場合は、プライマリ VLAN で DHCP スヌーピングをイネーブルにする必要があります。

• プライベート VLAN 内でトラフィックを伝送していないデバイスのトランクからプライベート VLAN をプルーニングすることを推奨します。

• プライマリ VLAN、独立 VLAN、およびコミュニティ VLAN に別々の Quality of Service（QoS）設定を適用できます。

• Sticky ARP

– Sticky ARP エントリは SVI およびレイヤ 3 インターフェイスで学習されます。これらのエントリには期限切れがありません。

– ip sticky-arp グローバル コンフィギュレーション コマンドは、プライベート VLAN に属する SVI でだけサポートされます。

– ip sticky-arp インターフェイス コンフィギュレーション コマンドは、次のインターフェイスでだけサポートされます。

レイヤ 3 インターフェイス

標準 VLAN に属する SVI

プライベート VLAN に属する SVI

ip sticky-arp グローバル コンフィギュレーション コマンドおよび ip sticky-arp インターフェイス コンフィギュレーション コマンドの詳しい使用方法については、このリリースに対応するコマンド リファレンスを参照してください。

• プライマリおよびセカンダリ VLAN で VLAN マップを設定できます（「VLAN マップの設定」を参照）。ただし、プライベート VLAN のプライマリおよびセカンダリ VLAN に同じ VLAN マップを設定することを推奨します。

• フレームがプライベート VLAN 内で転送されるレイヤ 2 の場合、同じ VLAN マップが入力側と出力側の両方に適用されます。フレームがプライベート VLAN の内側から外部ポートにルーティングされる場合、プライベート VLAN マップが入力側に適用されます。

– ホスト ポートから混合ポートへのアップストリームで送信されるフレームの場合、セカンダリ VLAN に設定されている VLAN マップが適用されます。

– 混合ポートからホスト ポートへのダウンストリームで送信されるフレームの場合、プライマリ VLAN に設定されている VLAN マップが適用されます。

プライベート VLAN の特定の IP トラフィックをフィルタリングするには、VLAN マップをプライマリおよびセカンダリ VLAN の両方に適用します。

• プライマリ VLAN SVI にのみルータ Access Control List（ACL; アクセス コントロール リスト）を適用できます。ACL はプライマリおよびセカンダリ VLAN のレイヤ 3 トラフィックに適用されます。

• プライベート VLAN がレイヤ 2 でホストを分離していても、ホストはレイヤ 3 で互いに通信できます。

• プライベート VLAN は、次の Switched Port Analyzer（SPAN; スイッチド ポート アナライザ）機能をサポートします。

– プライベート VLAN を SPAN 送信元ポートとして設定できます。

– VLAN-based SPAN（VSPAN）はプライマリ VLAN、独立 VLAN、およびコミュニティ VLAN で使用できます。また、出力または入力トラフィックを別々にモニタするために、1 つの VLAN でのみ SPAN を使用できます。

プライベート VLAN ポート設定

プライベート VLAN ポートの設定を行うときは、次の注意事項に従ってください。

• プライマリ VLAN、独立 VLAN、またはコミュニティ VLAN にポートを割り当てるには、プライベート VLAN コンフィギュレーション コマンドのみを使用します。プライマリ VLAN、独立 VLAN、またはコミュニティ VLAN として設定した VLAN に割り当てられたレイヤ 2 アクセス ポートは、VLAN がプライベート VLAN 設定の一部の間は非アクティブになります。レイヤ 2 トランク インターフェイスは STP フォワーディング ステートのままです。

• Port Aggregation Protocol（PAgP; ポート集約プロトコル）または Link Aggregation Control Protocol（LACP）EtherChannel に属するポートをプライベート VLAN ポートとして設定しないでください。ポートがプライベート VLAN 設定の一部である間は、ポートの EtherChannel 設定は非アクティブです。

• 誤った設定による STP ループを発生させず、STP コンバージェンスを高速にするために、独立およびコミュニティ ホスト ポートで PortFast および BPDU（ブリッジ プロトコル データ ユニット）ガードをイネーブルにします（「オプションのスパニング ツリー機能の設定」を参照）。イネーブルの場合、STP はすべての PortFast が設定されたレイヤ 2 LAN ポートに BPDU ガード機能を適用します。PortFast および BPDU ガードを混合ポートでイネーブルにしないでください。

• プライベート VLAN 設定で VLAN を削除した場合、VLAN に対応付けられたプライベート VLAN ポートが非アクティブになります。

• デバイスがトランクに接続されていてプライマリおよびセカンダリ VLAN がトランクから削除されていない場合、プライベート VLAN ポートを別のネットワーク デバイス上に設定できます。

他の機能との間の制限

プライベート VLAN を設定する際に、他の機能との間で次のような制限があることに留意してください。

（注） エラー メッセージなしで設定が受け入れられていてもコマンドが機能しない場合があります。

• フォールバック ブリッジングをプライベート VLAN のスイッチに設定しないでください。

• Internet Group Management Protocol（IGMP; インターネット グループ マネージメント プロトコル）スヌーピングがスイッチ上でイネーブル（デフォルト）の場合、スイッチ スタックがサポートするプライベート VLAN ドメイン数は、20 までです。

• Remote SPAN（RSPAN; リモート SPAN）をプライベート VLAN のプライマリまたはセカンダリ VLAN として設定しないでください。

SPAN の詳細については、「SPAN および RSPAN の設定」を参照してください。

• 次のような機能が設定されているインターフェイスにプライベート VLAN ポートを設定しないでください。

– ダイナミック アクセス ポート VLAN メンバシップ

– Dynamic Trunking Protocol（DTP; ダイナミック トランキング プロトコル）

– PAgP

– LACP

– Multicast VLAN Registration（MVR; マルチキャスト VLAN レジストレーション）

– 音声 VLAN

– Web Cache Communication Protocol（WCCP）

• プライベート VLAN ポートはセキュア ポートにできません。保護ポートとして設定しないでください。

• IEEE 802.1X ポートベース認証をプライベート VLAN ポートに設定できますが、IEEE 802.1X とポート セキュリティ、音声 VLAN、またはポート単位のユーザ ACL を、プライベート VLAN ポートに設定できません。

• プライベート VLAN ホストまたは混合ポートは SPAN 宛先ポートにはできません。SPAN 宛先ポートをプライベート VLAN ポートに設定した場合、ポートは非アクティブになります。

• プライマリ VLAN 内の混合ポートにスタティック MAC アドレスを設定した場合、同じスタティック アドレスをすべての関連セカンダリ VLAN に追加する必要があります。セカンダリ VLAN 内ホスト ポートにスタティック MAC アドレスを設定した場合、同じスタティック アドレスをすべての関連プライマリ VLAN に追加する必要があります。スタティック MAC アドレスをプライベート VLAN ポートから削除する際に、設定されている MAC アドレスのすべてのインスタンスをプライベート VLAN から削除する必要があります。

（注） プライベート LAN 上にある 1 つの VLAN で学習されたダイナミック MAC アドレスは、関連 VLAN に複製されます。たとえば、セカンダリ VLAN で学習された MAC アドレスはプライマリ VLAN に複製されます。元のダイナミック MAC アドレスが削除されたり期限が切れた場合、複製アドレスは MAC アドレス テーブルから削除されます。

• レイヤ 3 VLAN インターフェイスをプライマリ VLAN に対してのみ設定します。

プライベート VLAN 内の VLAN の設定および対応付け

プライベート VLAN を設定するには、特権 EXEC モードで次の手順を行います。

（注） private-vlan コマンドは VLAN コンフィギュレーション モードを終了するまで機能しません。

セカンダリ VLAN をプライマリ VLAN に関連付ける際に、構文に関して次のことに留意してください。

• secondary_vlan_list パラメータにはスペースを含められません。項目を分けるためにカンマを複数使用できます。各項目には、単独のプライベート VLAN ID またはハイフンを使用したプライベート VLAN ID の範囲を指定できます。

• secondary_vlan_list パラメータには複数のコミュニティ VLAN ID を含められますが、独立 VLAN ID は 1 つだけです。

• secondary_vlan_list を入力するか、または add キーワードを指定した secondary_vlan_list を使用してセカンダリ VLAN とプライマリ VLAN を関連付けます。

• remove キーワードとともに secondary_vlan_list を使用して、セカンダリ VLAN とプライマリ VLAN の関連付けを解除します。

• このコマンドは、VLAN コンフィギュレーション モードを終了するまで機能しません。

次に、VLAN 20 をプライマリ VLAN、VLAN 501 を独立 VLAN、VLAN 502 および 503 をコミュニティ VLAN として設定し、これらをプライベート VLAN 内で関連付けして、設定を確認する例を示します。

プライベート VLAN ホスト ポートとしてのレイヤ 2 インターフェイスの設定

レイヤ 2 インターフェイスをプライベート VLAN ホスト ポートとして設定し、これをプライマリおよびセカンダリ VLAN と関連付けるには、特権 EXEC モードで次の手順を実行します。

（注） 独立およびコミュニティ VLAN はいずれもセカンダリ VLAN です。

次に、インターフェイスをプライベート VLAN ホスト ポートとして設定し、これにプライベート VLAN ペアを関連付けて、設定を確認する例を示します。

プライベート VLAN 混合ポートとしてのレイヤ 2 インターフェイスの設定

レイヤ 2 インターフェイスをプライベート VLAN 混合ポートとして設定し、これをプライマリおよびセカンダリ VLAN にマッピングするには、特権 EXEC モードで次の手順を実行します。

（注） 独立およびコミュニティ VLAN はいずれもセカンダリ VLAN です。

レイヤ 2 インターフェイスをプライベート VLAN 混合ポートとして設定した場合、構文に関して次のことに留意してください。

• secondary_vlan_list パラメータにはスペースを含められません。項目を分けるためにカンマを複数使用できます。各項目には、単独のプライベート VLAN ID またはハイフンを使用したプライベート VLAN ID の範囲を指定できます。

• secondary_vlan_list を入力するか、または add キーワードを指定した secondary_vlan_list を使用してセカンダリ VLAN とプライマリ VLAN をプライベート VLAN 混合ポートにマッピングします。

• remove キーワードを指定した secondary_vlan_list を使用して、セカンダリ VLAN とプライベート VLAN 混合ポートのマッピングを解除します。

次に、インターフェイスをプライベート VLAN 混合ポートとして設定してそれをプライベート VLAN にマッピングする例を示します。インターフェイスはプライマリ VLAN 20 のメンバーで、セカンダリ VLAN 501～503 はこれにマッピングされます。

スイッチ上のプライマリ VLAN、セカンダリ VLAN、およびプライベート VLAN ポートを表示する場合は、 show vlan private-vlan または show interface status 特権 EXEC コマンドを使用します。

セカンダリ VLAN のプライマリ VLAN レイヤ 3 VLAN インターフェイスへのマッピング

プライベート VLAN が VLAN 間ルーティングに使用される場合、SVI をプライマリ VLAN に設定してセカンダリ VLAN を SVI にマッピングできます。

（注） 独立およびコミュニティ VLAN はいずれもセカンダリ VLAN です。

セカンダリ VLAN をプライマリ VLAN の SVI にマッピングしてプライベート VLAN トラフィックのレイヤ 3 スイッチングを可能にするには、特権 EXEC モードで次の手順を実行します。

（注） private-vlan mapping インターフェイス コンフィギュレーション コマンドは、レイヤ 3 スイッチングされているプライベート VLAN トラフィックにのみ影響します。

セカンダリ VLAN をプライマリ VLAN のレイヤ 3 VLAN インターフェイスにマッピングする際、構文について次の点に留意してください。

• secondary_vlan_list パラメータにはスペースを含められません。項目を分けるためにカンマを複数使用できます。各項目には、単独のプライベート VLAN ID またはハイフンを使用したプライベート VLAN ID の範囲を指定できます。

• secondary_vlan_list を入力するか、または add キーワードを指定した secondary_vlan_list を使用してセカンダリ VLAN をプライマリ VLAN にマッピングします。

• remove キーワードを指定した secondary_vlan_list を使用して、セカンダリ VLAN とプライマリ VLAN のマッピングを解除します。

次に、VLAN 501 および 502 のインターフェイスを VLAN 10 にマッピングする例を示します。VLAN 10 では、プライベート VLAN 501 から 502 へのセカンダリ VLAN 入力トラフィックのルーティングが許可されます。