Catalyst 4500 シリーズ スイッチ Cisco IOS ソフトウェア コンフィギュレーション ガイド Release 12.2(44)SG

定義一覧

用語	定義
Private VLANs	プライマリ ID を共有し、ポート間をレイヤ 2 で分離しながら 1 つのレイヤ 3 ルータ ポートおよび IP サブネットを共有するメカニズムを提供する VLAN ペアのセット
Secondary VLAN	PVLAN を実装するために使用する VLAN の種類。プライマリ VLAN に関連付けられており、ホストから他の許容ホストおよびルータにトラフィックを送信します。
Community Port	コミュニティ セカンダリ VLAN に属するホスト ポート。同一コミュニティ VLAN 内の他のポートや混合モード ポートと通信します。これらのインターフェイスは、他のコミュニティのすべてのインターフェイスから、および自身の PVLAN 内の独立ポートから、レイヤ 2 で隔離されています。
コミュニティ VLAN	アップストリーム トラフィックをコミュニティ ポートから混合モード ポート ゲートウェイおよび同一コミュニティ内の他のホスト ポートに送信するセカンダリ VLAN。PVLAN には複数のコミュニティ VLAN を設定できます。 （注） Supervisor Engine 6-E は、コミュニティ PVLAN をサポートしません。
Isolated Port	独立セカンダリ VLAN に属するホスト ポート。同一のPVLAN 内の他のポートからは、混合モード ポートを除き、レイヤ 2 で完全に分離されています。PVLAN は、混合モード ポートからのトラフィックを除く、独立ポートへのすべてのトラフィックをブロックします。独立ポートから受信したトラフィックは、混合モード ポートにのみ転送されます。
Isolated VLAN	PVLAN には独立 VLAN が 1 つだけあります。独立 VLAN とは、ホストから混合モード ポートおよびゲートウェイに単方向トラフィック アップストリームを送信するセカンダリ VLAN です。
Primary VLAN	PVLAN にはプライマリ VLAN が 1 つだけあります。PVLAN のどのポートもプライマリ VLAN のメンバです。プライマリ VLAN は、混合モード ポートから（独立およびコミュニティ）ホスト ポートおよび他の混合モード ポートに単方向トラフィック ダウンストリームを送信します。
Private VLAN Trunk Port	PVLAN トランク ポートは、複数のセカンダリ（独立のみ）PVLAN および非 PVLAN を伝送します。パケットは、PVLAN トランク ポートでセカンダリ VLAN タグまたは通常の VLAN タグとともに送受信されます。 （注） IEEE 802.1Q カプセル化方式のみサポートされています。
Promiscuous Port	混合モード ポートはプライマリ VLAN に属し、すべてのインターフェイスと通信できます。これらのインターフェイスには、コミュニティおよび独立ホスト ポートと、プライマリ VLAN に関連付けられたセカンダリ VLAN に属する PVLAN トランク ポートが含まれます。
Promiscuous Trunk Port	混合モード トランク ポートは、複数のプライマリ VLAN および通常の VLAN を伝送します。プライマリ VLAN タグまたは通常の VLAN タグを持つパケットが送受信されます。これ以外は、ポートは混合モード アクセス ポートと同じように動作します。 （注） IEEE 802.1Q カプセル化方式のみサポートされています。 （注） Supervisor Engine 6-E は、混合モード トランク ポートをサポートしません。

複数のスイッチの PVLAN

ここでは、次の内容について説明します。

• 「標準トランク ポート」

• 「PVLAN トランク」

標準トランク ポート

通常の VLAN と同じく、PVLAN も複数のスイッチにまたがって使用できます。1 つのトランク ポートが、プライマリ VLAN およびセカンダリ VLAN を近接スイッチに伝送します。トランク ポートは、PVLAN をその他の VLAN として扱います。複数のスイッチにまたがる PVLAN では、スイッチ A の独立ポートからのトラフィックはスイッチ B の独立ポートに到達しません。図36-2 を参照してください。

PVLAN 構成のセキュリティを保持し、PVLAN として設定された VLAN が他の目的で利用されないようにするために、PVLAN ポートを持たないデバイスを含むすべての中継デバイスに PVLAN を設定します。

（注） トランク ポートは通常の VLAN のトラフィックを伝送します。また、プライマリ、独立、およびコミュニティ VLAN のトラフィックも伝送します。

（注） トランキングを実行するスイッチが両方とも PVLAN をサポートする場合は、標準トランク ポートを使用します。

図36-2 スイッチのプライベート VLAN

VTP（可変端末プロトコル）は PVLAN をサポートしないので、レイヤ 2 ネットワークのすべてのスイッチで PVLAN を手動で設定する必要があります。ネットワークの一部のスイッチにプライマリ/セカンダリ VLAN アソシエーションを設定しなかった場合、これらのスイッチのレイヤ 2 データベースは統合されません。その結果、これらのスイッチで PVLAN トラフィックのフラッディングが発生します。

PVLAN トランク

プライベート VLAN ポートで複数のセカンダリ VLAN を伝送する場合、PVLAN 独立トランクが使用されます。

（注） Supervisor Engine 6-E は、独立トランク ポートをサポートしません。

図36-3 に一般的なトポロジを示します。

図36-3 PVLAN トランク トポロジ

このトポロジでは、スイッチ 1 はすべての独立 VLAN のトラフィックを PVLAN トランクを通じてスイッチ 2 にトランキングしますが、スイッチ 2 は PVLAN を認識しません。スイッチ 1 は異なる混合モード ポートに接続する異なるルータとも通信します。スイッチ 2 は異なるセカンダリ VLAN に属する複数のホストに接続します。

独立トランク ポートを使用すると、すべてのセカンダリ ポートのトラフィックが 1 つのトランクを通じて結合できます。

混合モード トランク ポートを使用すると、このトポロジで必要な複数の混合モード ポートを 1 つのトランク ポートにまとめることができ、複数のプライマリ VLAN を伝送します。

PVLAN と他の機能との相互作用

PVLAN には他の機能との相互作用があります。詳しくは次のセクションで説明します。

• 「PVLAN と VLAN ACL/QoS」

• 「PVLAN とユニキャスト、ブロードキャスト、およびマルチキャスト トラフィック」

• 「PVLAN と SVI」

「PVLAN 設定時の注意事項および制約事項」も参照してください。

PVLAN と VLAN ACL/QoS

PVLAN ポートは、次のようにプライマリおよびセカンダリ VLAN を使用します。

• PVLAN ホスト ポートで受信されたパケットは、セカンダリ VLAN に属します。

• セカンダリ VLAN によりパケットにタグが設定されている場合、またはパケットのタグが解除され、ポートのネイティブ VLAN がセカンダリ VLAN の場合、PVLAN トランク ポートで受信されたパケットはセカンダリ VLAN に属します。

PVLAN ホストまたはトランク ポートで受信され、セカンダリ VLAN に割り当てられているパケットは、セカンダリ VLAN 上でブリッジングされます。このブリッジングにより、セカンダリ VLAN ACL（アクセス コントロール リスト）と（入力方向の）セカンダリ VLAN QoS（Quality Of Service）が適用されます。

パケットが PVLAN ホストまたはトランク ポートから送信される場合、パケットは論理的にはプライマリ VLAN に属します。この関係は、セカンダリ VLAN によるタグ付けが PVLAN 用であった場合にも適用されます。この状況では、出力時のプライマリ VLAN ACL およびプライマリ VLAN QoS がパケットに適用されます。

• 同様に、PVLAN 混合モード アクセス ポートで受信されるパケットもプライマリ VLAN に属します。

• 着信 VLAN によっては、PVLAN 混合モード トランク ポートで受信されるパケットがプライマリ VLAN または通常の VLAN に属することもあります。

混合モード トランク ポートに着信する、通常の VLAN へのトラフィックの場合、通常の VLAN ACL および QoS ポリシーが適用されます。PVLAN ドメインへのトラフィックの場合、混合モード ポートで受信するパケットはプライマリ VLAN にブリッジングされます。このため、入力ではプライマリ VLAN ACL および QoS ポリシーが適用されます。

パケットが混合モード トランク ポートから送信される場合、セカンダリ ポートから受信されたパケットであればセカンダリ VLAN に論理的に属し、別の混合モード ポートからブリッジングされたパケットであればプライマリ VLAN に属します。パケットは区別できないので、混合モード トランク ポートから出力するパケットについては、VLAN QoS ポリシーはすべて無視されます。

PVLAN とユニキャスト、ブロードキャスト、およびマルチキャスト トラフィック

通常の VLAN では、同じ VLAN のデバイスはレイヤ 2 レベルで相互に通信できますが、別の VLAN のインターフェイスに接続されているデバイスはレイヤ 3 レベルで通信します。PVLAN の場合、混合モード ポートはプライマリ VLAN のメンバですが、ホスト ポートはセカンダリ VLAN に属します。セカンダリ VLAN はプライマリ VLAN に関連付けられているので、これらの VLAN のメンバはレイヤ 2 レベルで相互に通信できます。

通常の VLAN では、ブロードキャストはその VLAN のすべてのポートに転送されます。PVLAN ブロードキャストの場合の転送先は、ブロードキャストを送信するポートによって異なります。

• 独立ポートは、混合モード ポートまたはトランク ポートにのみブロードキャストを送信します。

• コミュニティ ポートは、すべての混合モード ポート、トランク ポート、および同じコミュニティ VLAN のポートにブロードキャストを送信します。

• 混合モード ポートは、PVLAN のすべてのポートにブロードキャストを送信します（他の混合モード ポート、トランク ポート、独立ポート、およびコミュニティ ポート）。

マルチキャスト トラフィックは、PVLAN の境界を超えて、1 つのコミュニティ VLAN 内で、ルーティングまたはブリッジングされます。マルチキャスト トラフィックは、同じ独立 VLAN のポート間または異なるセカンダリ VLAN のポート間では転送されません。

PVLAN と SVI

レイヤ 3 スイッチでは、Switch Virtual Interface（SVI; スイッチ仮想インターフェイス）が VLAN のレイヤ 3 インターフェイスとなります。レイヤ 3 デバイスとPVLAN の通信は、セカンダリ VLAN ではなく、プライマリ VLAN を介してのみ行われます。レイヤ 3 VLAN インターフェイス（SVI）はプライマリ VLAN だけに設定してください。セカンダリ VLAN には、レイヤ 3 VLAN インターフェイスを設定できません。VLAN がセカンダリ VLAN として設定されていれば、セカンダリ VLAN の SVI はインタラクティブになります。

• アクティブ SVI をセカンダリ VLAN として VLAN に設定しようとしても、SVI をディセーブルにしなければ設定できません。

• VLAN がセカンダリ VLAN として設定されており、そのセカンダリ VLAN がレイヤ 3 でマップされている場合は、この VLANに SVI を作成しようとしても SVI は作成されず、エラー メッセージが表示されます。SVI がレイヤ 3 でマップされていなければ SVI は作成されますが、自動的にシャット ダウンされます。

プライマリ VLAN がセカンダリ VLAN に関連付けられ、マップされている場合、プライマリ VLAN の設定はセカンダリ VLAN SVI に伝播されます。たとえば、IP サブネットをプライマリ VLAN SVI に割り当てると、このサブネットは PVLAN 全体の IP サブネット アドレスになります。

PVLAN の設定手順

PVLAN を設定する手順は、次のとおりです。

ステップ 1 VTP を透過モードに設定します。「VTP のディセーブル化（VTP トランスペアレント モード）」を参照してください。

ステップ 2 セカンダリ VLAN を作成します。「PVLAN としての VLAN の設定」を参照してください。

ステップ 3 プライマリ VLAN を作成します。「PVLAN としての VLAN の設定」を参照してください。

ステップ 4 セカンダリ VLAN をプライマリ VLAN に関連付けます。「セカンダリ VLAN のプライマリ VLAN との関連付け」を参照してください。

（注） プライマリ VLAN にマッピングできる独立 VLAN は 1 つだけですが、コミュニティ VLAN は複数をマッピングできます。

ステップ 5 インターフェイスを、独立ホスト、コミュニティ ホスト、またはトランク ポートとして設定します。「レイヤ 2 インターフェイスの PVLAN ホスト ポートとしての設定」および「レイヤ 2 インターフェイスの PVLAN トランク ポートとしての設定」を参照してください。

ステップ 6 独立ポートまたはコミュニティ ポートをプライマリ/セカンダリ VLAN ペアに関連付けます。「セカンダリ VLAN のプライマリ VLAN との関連付け」を参照してください。

ステップ 7 インターフェイスを混合モード ポートとして設定します。「レイヤ 2 インターフェイスの PVLAN 混合モード ポートとしての設定」を参照してください。

ステップ 8 混合モード ポートをプライマリ/セカンダリ VLAN ペアにマッピングします。「レイヤ 2 インターフェイスの PVLAN 混合モード ポートとしての設定」を参照してください。

ステップ 9 VLAN 間ルーティングを使用する場合は、プライマリ SVI を設定し、セカンダリ VLAN をマッピングします。「セカンダリ VLAN 入力トラフィックのルーティングの許可」を参照してください。

ステップ 10 PVLAN の設定を確認します。「Switch#」を参照してください。

PVLAN のデフォルト設定

PVLAN は設定されていません。

PVLAN 設定時の注意事項および制約事項

PVLAN の設定時には、次の注意事項に従ってください。

• PVLAN を正しく設定するには、VTP のトランスペアレント モードでイネーブルにします。

VTP モードを PVLAN のクライアントまたはサーバに変更することはできません。

• PVLAN に VLAN 1 または VLAN 1002 ～ 1005 を設定しないでください。

• ポートをプライマリ VLAN、独立 VLAN、またはコミュニティ VLAN に割り当てる場合は、PVLAN コマンドのみを使用します。

プライマリ VLAN、独立 VLAN、またはコミュニティ VLAN 上のレイヤ 2 インターフェイスは、PVLAN では非アクティブになります。レイヤ 2 トランク インターフェイスは、STP（スパニングツリー プロトコル）フォワーディング ステートのままです。

• セカンダリ VLAN には、レイヤ 3 VLAN インターフェイスを設定できません。

独立 VLAN およびコミュニティ（セカンダリ）VLAN のレイヤ 3 VLAN インターフェイスは、VLAN が独立 VLAN またはコミュニティ VLAN として設定されている場合、非アクティブです。

• VLAN ポートを、EtherChannel として設定しないでください。ポートが PVLAN の設定に含まれる場合、これに対応する EtherChannel の設定は非アクティブです。

• プライマリ VLAN には、ダイナミック Access Control Entry（ACE; アクセス コントロール エントリ）を適用できません。

プライマリ VLAN に適用されている Cisco IOS ダイナミック ACL 設定は、VLAN が PVLAN の設定に含まれている場合、非アクティブです。

• 不正な設定によるスパニングツリー ループを防止するために、 spanning-tree portfast trunk コマンドを使用して PVLAN トランク上で PortFast をイネーブルにします。

• セカンダリ VLAN に設定された VLAN ACL は、すべて入力方向で有効です。また、セカンダリ VLAN に関連付けられたプライマリ VLAN に設定された VLAN ACL はすべて出力方向で有効です。

• 独立 VLAN またはコミュニティ VLAN のレイヤ 3 スイッチングを停止する場合は、その VLAN のプライマリ VLAN へのマッピングを削除します。

• デバイスがトランク接続され、プライマリ VLAN およびセカンダリ VLAN がトランクに関連付けられているかぎり、異なるネットワーク デバイス上に PVLAN ポートを設定できます。

• 2 つの異なるデバイス上の独立ポートは相互通信できませんが、コミュニティ VLAN ポートの場合は可能です。

• PVLAN は、次の SPAN 機能をサポートしています。

–PVLAN ポートを SPAN 送信元ポートとして設定できます。

–プライマリ VLAN、独立 VLAN、およびコミュニティ VLAN 上で VLAN-based SPAN（VSPAN）を使用して、または単一の VLAN 上で SPAN を使用して、入力および出力トラフィックを個別に監視することができます。

SPAN の詳細については、「SPAN と RSPAN の設定」を参照してください。

• プライマリ VLAN には複数のコミュニティ VLAN を関連付けできますが、独立 VLAN は 1 つだけです。

• 独立 VLAN またはコミュニティ VLAN には、1 つのプライマリ VLAN のみを関連付けることができます。

• PVLAN の設定で使用された VLAN を削除すると、この VLAN に関連付けられた PVLAN ポートは非アクティブになります。

• VTP は、PVLAN をサポートしていません。PVLAN ポートを使用する場合は、デバイスごとに PVLAN を設定する必要があります。

• 使用する PVLAN の設定のセキュリティを確保して、PVLAN として設定された VLAN が他の目的に使用されないようにするには、PVLAN ポートがないデバイスを含めて、すべての中間デバイスで PVLAN を設定します。

• PVLAN でトラフィックを伝送しないデバイスのトランクから、PVLAN をプルーニングします。

• ポート ACLS 機能が使用できる場合、セカンダリ VLAN ポートに Cisco IOS ACLS を、および PVLAN（VACL）に Cisco IOS ACLS を適用できます。VACL の詳細については、「ACL によるネットワーク セキュリティの設定」を参照してください。

• プライマリ VLAN、独立 VLAN、およびコミュニティ VLAN には、さまざまな QoS 設定を適用できます（「QoS の設定」を参照）。プライマリ VLAN のレイヤ 3 VLAN インターフェイスに適用された Cisco IOS ACL は、関連する独立 VLAN およびコミュニティ VLAN にも自動的に適用されます。

• PVLAN トランク ポートでは、入力トラフィックにセカンダリ VLAN ACL、出力トラフィックにプライマリ VLAN ACL が適用されます。

• 混合モード ポートでは、入力トラフィックにプライマリ VLAN ACL が適用されます。

• PVLAN セカンダリ トランク ポートと混合モード トランク ポートはどちらも IEEE 802.1q カプセル化だけをサポートします。

• PVLAN トランク上では、コミュニティ VLAN を伝播または伝送できません。

• レイヤ 3 PVLAN インターフェイス上で学習された ARP エントリは、[sticky] ARP エントリといいます（PVLAN インターフェイス ARP エントリを表示して確認することを推奨します）。

• セキュリティ上の理由から、PVLAN ポート sticky ARP エントリは期限切れになりません。異なる MAC アドレスでも同じ IP アドレスを持つデバイスを接続すると、エラー メッセージが生成されて ARP エントリは作成されません。

• PVLAN ポート sticky ARP エントリは期限切れしないので、MAC アドレスを変更する場合は手動でエントリを削除する必要があります。sticky ARP エントリを上書きするには、まず no arp コマンドでエントリを削除してから、arp コマンドでエントリを上書きします。

• DHCP 環境では、PC をシャットダウンしても自分の IP アドレスを他人に譲ることはできません。この問題を解決するために、Catalyst 4500 シリーズ スイッチでは no ip sticky-arp コマンドをサポートしています。このコマンドを使用すると、DHCP 環境での IP アドレスの上書きおよび再使用ができます。

• 通常の VLAN は混合モード トランク ポートで伝送されます。

• 混合モード トランク ポートのデフォルト ネイティブ VLAN は VLAN 1 で、管理 VLAN です。タグのないパケットはすべてネイティブ VLAN で転送されます。プライマリ VLAN または通常の VLAN をネイティブ VLAN として設定できます。

• 混合モード トランクは、セカンダリ VLAN を伝送するようには設定できません。許容 VLAN リストでセカンダリ VLAN を指定した場合、設定は受け入れられますが、セカンダリ VLAN のポートは動作せず、転送しません。これは、セカンダリ VLAN ではあってもプライマリ VLAN に関連付けられていない VLAN のポートの場合にも当てはまります。

• 混合モード トランク ポートでは、プライマリ VLAN に着信する入力トラフィックにプライマリ VLAN ACL および QoS が適用されます。

• VLAN ACL または QoS は、混合モード トランク ポートの出力トラフィックには適用されません。PVLAN のトラフィックのアップストリームは、論理的にセカンダリ VLAN に向かうからです。ハードウェアの VLAN 変換により、受信したセカンダリ VLAN の情報は失われます。このため、ポリシーは適用されません。この制約は、同じプライマリ VLAN の他のポートからブリッジングされるトラフィックにも当てはまります。

• PVLAN 混合モード トランク ポートでポート セキュリティを設定しないでください。逆の場合も行わないでください。

混合モード トランク ポートのポートセキュリティをイネーブルにした場合、この機能はサポートされていないので、ポートは予測できない動作をする可能性があります。

• PVLAN 混合モード トランク ポートに IEEE 802.1X を設定しないでください。

PVLAN としての VLAN の設定

（注） Supervisor Engine 6-E は、コミュニティ PVLAN をサポートしません。

VLAN を PVLAN として設定するには、次の作業を行います。

	コマンド	目的
ステップ 1	Switch# configure terminal	コンフィギュレーション モードを開始します。
ステップ 2	Switch(config)# vlan vlan_ID	VLAN コンフィギュレーション モードを開始します。
ステップ 3	Switch(config-vlan)# private-vlan { community | isolated | primary }	VLAN を PVLAN として設定します。 • このコマンドは、VLAN コンフィギュレーション サブモードを終了するまで有効になりません。 PVLAN のステータスをクリアするには、 no キーワードを使用します。 （注） Supervisor Engine 6-E は、コミュニティおよび独立 PVLAN トランク ポートをサポートしません。
ステップ 4	Switch(config-vlan)# end	VLAN コンフィギュレーション モードを終了します。
ステップ 5	Switch# show vlan private-vlan [ type ]	設定を確認します。

次に、VLAN 202 をプライマリ VLAN として設定し、その設定を確認する例を示します。

次に、VLAN 303 をコミュニティ VLAN として設定し、その設定を確認する例を示します。

次に、VLAN 440 を独立 VLAN として設定し、その設定を確認する例を示します。

セカンダリ VLAN のプライマリ VLAN との関連付け

セカンダリ VLAN をプライマリ VLAN に関連付けるには、次の作業を行います。

セカンダリ VLAN をプライマリ VLAN と関連付ける場合、次の点に注意してください。

• secondary_vlan_list パラメータにはスペースを含めないでください。カンマで区切ると、複数の項目を含めることができます。各項目として入力できるのは、単一の PVLAN ID またはハイフンで連結した PVLAN ID の範囲です。

• secondary_vlan_list パラメータには、複数のコミュニティ VLAN ID を含めることができます。

• secondary_vlan_list パラメータには、独立 VLAN ID を 1 つだけ含めることができます。

• セカンダリ VLAN を PVLAN に関連付けるには、 secondary_vlan_list を入力するか、または secondary_vlan_list と add キーワードを使用します。

• セカンダリ VLAN と PVLAN 間のアソシエーションをクリアするには、 secondary_vlan_list と remove キーワードを使用します。

• これらのコマンドは、VLAN コンフィギュレーション サブモードを終了するまで有効になりません。

次に、プライマリ VLAN 202 にコミュニティ VLAN 303 ～ 307 および 309、独立 VLAN 440 を関連付け、その設定を確認する例を示します。

（注） セカンダリ VLAN 308 は、プライマリ VLAN と関連付けされません。

レイヤ 2 インターフェイスの PVLAN 混合モード ポートとしての設定

レイヤ 2 インターフェイスを PVLAN 混合モード ポートとして設定するには、次の作業を行います。

（注） 上記の switchport private-vlan mapping trunk コマンドでサポートされる一意のプライベート VLAN ペアの最大数は 500 です。たとえば、1000 のセカンダリ VLAN を 1 つのプライマリ VLAN にマッピングしたり、1000 のセカンダリ VLAN を 1000 のプライマリ VLAN と 1 対 1 でマッピングしたりすることができます。

レイヤ 2 インターフェイスを PVLAN 混合モード ポートとして設定する場合、次の点に注意してください。

• secondary_vlan_list パラメータにはスペースを含めないでください。カンマで区切ると、複数の項目を含めることができます。各項目として入力できるのは、単一の PVLAN ID またはハイフンで連結した PVLAN ID の範囲です。

• セカンダリ VLAN を PVLAN 混合モード ポートにマッピングするには、 secondary_vlan_list を入力するか、または secondary_vlan_list と add キーワードを使用します。

• セカンダリ VLAN と PVLAN 混合モード ポート間のマッピングをクリアするには、 secondary_vlan_list と remove キーワードを使用します。

次に、インターフェイス FastEthernet 5/2 を PVLAN 混合モード ポートとして設定し、PVLAN にマッピングして、その設定を確認する例を示します。

レイヤ 2 インターフェイスの PVLAN ホスト ポートとしての設定

レイヤ 2 インターフェイスを PVLAN ホスト ポートとして設定するには、次の作業を行います。

次に、インターフェイス FastEthernet 5/1 を PVLAN ホスト ポートとして設定し、その設定を確認する例を示します。

レイヤ 2 インターフェイスの PVLAN トランク ポートとしての設定

レイヤ 2 インターフェイスを PVLAN トランク ポートとして設定するには、次の作業を行います。

	コマンド	目的
ステップ 1	Switch# configure terminal	グローバル コンフィギュレーション モードを開始します。
ステップ 2	Switch(config)# interface { fastethernet | gigabitethernet | tengigabitethernet } slot / port	設定する LAN ポートを指定します。
ステップ 3	Switch(config-if)# switchport mode private-vlan { host | promiscuous | trunk promiscuous | trunk [secondary] }	レイヤ 2 インターフェイスを PVLAN トランク ポートとして設定します。
ステップ 4	Switch(config-if)# [ no ] switchport private-vlan association trunk primary_vlan_ID secondary_vlan_ID	プライマリ VLAN とセカンダリ VLAN のアソシエーションを設定し、PVLAN トランク ポートを PVLAN に関連付けます。 （注） PVLAN トランク ポートが複数のセカンダリ VLAN を伝送できるように、このコマンドを使用して複数の PVLAN ペアを指定できます。既存のプライマリ VLAN にアソシエーションを指定した場合、既存のアソシエーションと置き換えられます。トランクにアソシエーションが指定されていない場合、セカンダリ VLAN で受信されたパケットはすべてドロップされます。 プライマリ VLAN からすべてのアソシエーションを削除するには、 no キーワードを使用します。
ステップ 5	Switch(config-if)# [ no ] switchport private-vlan trunk allowed vlan vlan_list all | none | [ add | remove | except ] vlan_atom [, vlan_atom ...]	PVLAN トランク ポートで許容される通常の VLAN のリストを設定します。 PVLAN トランク ポートで許容される通常の VLAN をすべて削除するには、 no キーワードを使用します。
ステップ 6	Switch(config-if)# switchport private-vlan trunk native vlan vlan_id	PVLAN トランク ポートに（IEEE 802.1Q タグとしての）タグなしパケットが割り当てられる VLAN を設定します。 ネイティブ VLAN が設定されていない場合、タグなしのパケットはすべてドロップされます。 ネイティブ VLAN がセカンダリ VLAN で、ポートにセカンダリ VLAN の関連付けが指定されていない場合、タグなしパケットはドロップされます。 PVLAN トランク ポートのネイティブ LAN すべてを削除するには no キーワードを使用します。
ステップ 7	Switch(config-if)# end	コンフィギュレーション モードを終了します。
ステップ 8	Switch# show interfaces { fastethernet | gigabitethernet | tengigabitethernet } slot / port switchport	設定を確認します。

次に、インターフェイス FastEthernet 5/2 をセカンダリ トランク ポートとして設定し、その設定を確認する例を示します。

レイヤ 2 インターフェイスの PVLAN 混合モード トランク ポートとしての設定

（注） Supervisor Engine 6-E は、混合モード トランク ポートをサポートしません。

レイヤ 2 インターフェイスを PVLAN 混合モード トランク ポートとして設定するには、次の作業を行います。

（注） 上記の switchport private-vlan mapping trunk コマンドでサポートされる一意のプライベート VLAN ペアの最大数は 500 です。たとえば、1000 のセカンダリ VLAN を 1 つのプライマリ VLAN にマッピングしたり、1000 のセカンダリ VLAN を 1000 のプライマリ VLAN と 1 対 1 でマッピングしたりすることができます。

（注） REP を使用すると、switchport mode private-vlan trunk promiscuous コマンドのみがサポートされます。他の PVLAN トランク関連設定はサポートされません。

（注） デフォルトでは、PVLAN トランク混合モードに設定すると、ネイティブ VLAN は 1 に設定されます。

[no] switchport private-vlan mapping コマンドには、次の 3 つの削除レベルがあります。

• リストから 1 つまたは複数のセカンダリ VLAN を削除するレベル。次に例を示します。

• PVLAN 混合モード トランク ポートから指定したプライマリ VLAN（およびそれ自身の選択したセカンダリ VLAN）へのマッピングをすべて削除するレベル。次に例を示します。

• PVLAN 混合モード トランク ポートから事前に設定されていたすべてのプライマリ VLAN（およびそれら自身の選択したセカンダリ VLAN）へのマッピングを削除するレベル。次に例を示します。

レイヤ 2 インターフェイスを PVLAN 混合モード ポートとして設定する場合、次の点に注意してください。

• 混合モード トランク ポートで複数のプライマリ VLAN を伝送できるようにするには、switchport private-vlan mapping trunk コマンドを使用して複数の PVLAN ペアを指定します。

• secondary_vlan_list パラメータにはスペースを含めないでください。カンマで区切ると、複数の項目を含めることができます。各項目として入力できるのは、単一の PVLAN ID またはハイフンで連結した PVLAN ID の範囲です。

• セカンダリ VLAN を PVLAN 混合モード ポートにマッピングするには、 secondary_vlan_list を入力するか、または secondary_vlan_list と add キーワードを使用します。

• セカンダリ VLAN と PVLAN 混合モード ポート間のマッピングをクリアするには、 secondary_vlan_list と remove キーワードを使用します。

次に、インターフェイス FastEthernet 5/2 を混合モード トランク ポートとして設定し、その設定を確認する例を示します。

セカンダリ VLAN 入力トラフィックのルーティングの許可

（注） 独立 VLAN とコミュニティ VLAN は、いずれもセカンダリ VLAN と呼ばれます。

セカンダリ VLAN 入力トラフィックのルーティングを許可するには、次の作業を行います。

セカンダリ VLAN 入力トラフィックのルーティングを許可する場合、次の点に注意してください。

• private-vlan mapping インターフェイス コンフィギュレーション コマンドは、レイヤ 3 スイッチングされた PVLAN 入力トラフィックのみに影響します。

• secondary_vlan_list パラメータにはスペースを含めないでください。カンマで区切ると、複数の項目を含めることができます。各項目として入力できるのは、単一の PVLAN ID またはハイフンで連結した PVLAN ID の範囲です。

• セカンダリ VLAN をプライマリ VLAN にマッピングするには、 secondary_vlan_list を入力するか、または secondary_vlan_list と add キーワードを使用します。

• セカンダリ VLAN とプライマリ VLAN 間のマッピングを消去するには、 secondary_vlan_list パラメータと remove キーワードを使用します。

次に、PVLAN 303 ～ 307、309、および 440 からのセカンダリ VLAN 入力トラフィックのルーティングを許可し、設定を確認する例を示します。