目录

Super VLAN

产生背景：

概述：

Super VLAN的限制

Private VLAN

产生背景：

概述：

Native VLAN（可做实验）

特性：

应用案例：

在宾馆酒店、小区宽带接入、运营商和高校公建的校园网等用户密集度较高的地方进行彼此之间的二层隔离，但是又有三层的互访需求。

IP地址有限，不可能给每个房间/VLAN配置IP地址，这样会造成IP地址的浪费。

指在一个物理网络中，用多个VLAN（Sub VLAN）隔离广播域，并将这些VLAN归属于一个逻辑VLAN（Super VLAN），这些Sub VLAN使用同一个IP子网和默认网关，进而达到节约IP地址的目的。

Super VLAN：创建三层SVI（Super VLAN IF）口并配置对应子网网关IP地址，不包括具体的物理接口。

Sub VLAN：只包含物理接口，不创建三层SVI口，用于隔离二层广播域，每个Sub VLAN内的主机与外部的三层通信或者Sub VLAN之间的通信是依赖于Super VLAN下的ARP代理功能来实现。

1）同一个Sub VLAN属于同一个广播域，因此相同Sub VLAN内的主机之间可以直接通信。

2）不同的Sub VLAN之间的通信，需要借助网关SVI口的ARP代理功能。

Super VLAN SVI 2开启ARP代理之后，PC1和PC2的通信过程如下：PC1发现PC2和自己在同一网段，且ARP表中无PC2的对应表项则发送ARP广播包请求PC2的MAC地址。

作为网关的Super VLAN对应的SVI2口收到PC1的ARP请求，SVI 2开启了ARP代理功能，则向Super VLAN 2内所有的Sub VLAN接口发送ARP广播，请求PC2的MAC地址

Sub VLAN20内的主机PC2收到网关发的ARP广播包后，对此进行应答;

网关收到PC2的应答之后，就把自己的MAC地址回应给PC1

PC1发给PC2的报文都先发给网关，由网关做转发

3）Sub VLAN与其他普通VLAN的二层通信和其他三层网络的通信：

当Sub VLAN内的主机与非Sub VLAN内的主机通信时与普通VLAN内的二层通信并无差别由于Super VLAN不属于任何物理接口，因此设备也不会处理任何携带Super VLAN标签的数据。

Super VLAN不包含任何成员口，只能包含Sub VLAN，由Sub VLAN包含实际的物理接口.Super VLAN不能作为其它 Super VLAN的 Sub VLAN

VLAN 1不能作为 SuperVLAN。（因为VLAN 1 默认是被划分到物理接口的）

Sub VLAN不能配置路由口，不能配置 IP 地址 (不能针对sub vlan配置svi口)。

不同Super VLAN的Sub VLAN不能重叠，即一个Sub VLAN只能属于一个Super VLAN.

Sub VLAN不能通过no vlan命令删除，必须先恢复为普通VLAN后才能no vlan删除。（进入到Super VLAN后进行删除Sub VLAN。锐捷中的no命令相当于华为中的undo）

基于 Super VLAN接口的 ACL和 QOS 配置，对 Sub VLAN来说是无效的。

在宾馆酒店、小区宽带接入、运营商和高校共建的校园网等用户密集度较高的地方进行彼此之间的二层隔离。

IP地址有限，不可能给每个房间/vlan配置一个IP地址，这样会造成IP地址的浪费。

部分VLAN之间有相互隔离的需求(Super VLAN开启ARP代理后无法实现)。

部分VLAN内部有相互二层隔离的需求 (Super VLAN无法实现)。

Private VLAN将一个VLAN的二层广播域划分了多个子域，由一个Private VLAN对组成，主VLAN(Primary VLAN)和辅助VLAN (Second VLAN);

Private VLAN域中的Private VLAN对共享同一个主VLAN，一个Private VLAN域中只有一个主VLAN包含两种类型的辅助VLAN，分别是隔离VLAN (Isolated VLAN) 和群体VLAN (CommunityVLAN)

隔离VLAN，同一个隔离VLAN之内的端口不能互相二层通信。一个Private VLAN域中只能有一个隔离VLAN;

群体VLAN，同一个群体VLAN之内的端口可以互相二层通信，群体VLAN之间的端口不能相互通信.个Private VLAN域中可以有多个群体VLAN;

在一个Private VLAN域内通常有三种端口角色，混杂端口(属于主VLAN，Promiscuous Port) 、隔离端口(属于隔离VLAN)和群体端口 (属于群体VLAN)  

属于Native VLAN的数据帧在Trunk链路上不携带VLAN 标签传输。

不带标签的数据经过Trunk链路时会打上Native VLAN所属的VLAN ID TAG形成802.1Q数据帧（抓包时不显示）

若同一条Trunk链路两端配置不同的Native VLAN，将造成不同VLAN的数据合并

锐捷交换机默认情况下Native VLAN为1，可通过命令switchport trunk native vlan XX修改

无线本地转发模式下Native VLAN的应用。

本地转发:AP将STA的802.11数据转换为以太数据后，不再将其通过CAPWAP隧道转发给AC，而是直接通过上联口将数据转发至有线网络中。

本地转发模式下，POE下联AP的接口需要将AP所在的VLAN (案例中的VLAN 20)配置Native VLAN。

如图：

由于STA的数据不再需要通过CAPWAP隧道转发给AC，因此AC与STA网关交换机之间不需要二层通路，只需要一条三层链路即可。另外，AC的配置中包含了SSID 和用户vlan的对应关系。

***由于AP零配置启动时所发送的DHCP请求消息是不会携带TAG标记的。此时我们需要保证不带TAG标记的请求报文能够顺利到达三层网关。因此需要将接入交换机下联Trunk接口的native vlan配置为VLAN 20.这样从上联口转发出去时就会携带TAG 20，从而被三层网关交换机 (DHCP Server) 的VLAN20接收，网关即可知道该在哪个地址池给AP下发地址。

补充：

STA（Station站点）：任何一个接入无线AP的设备都可以称为一个站点，也就是平时接入路由器的设备。