专用 VLAN

隔离单个 VLAN 的需求在以下部署方案中特别有用：

• 服务器场 - 典型的互联网服务提供商使用服务器场为众多客户提供 Web 托管。在单个服务器场中查找各种服务器可以简化管理。如果所有服务器都在同一 VLAN 中，则会出现安全问题，因为第 2 层广播会转到 VLAN 中的所有服务器。

• 城域以太网网络 — 一家城域网服务提供商为各种住宅、租赁社区和企业提供第 2 层以太网接入。每个客户部署一个 VLAN 的传统解决方案不可扩展且难以管理，从而导致 IP 地址的潜在浪费。PVLAN 可提供更安全、更高效的解决方案。

PVLAN 可以在单个交换机上配置，也可以配置为跨越多个交换机。域和端口的类型包括：

• 主 VLAN — PVLAN 的主 VLAN 使用用于完整 PVLAN 的 802.1Q 标记 （VLAN ID） 进行定义。主 PVLAN 可以包含多个辅助 VLAN（一个隔离 VLAN 和多个公共组 VLAN）。

• 隔离 VLAN/隔离端口 — 主 VLAN 只能包含一个隔离 VLAN。隔离 VLAN 中的接口只能将数据包转发到混合端口或交换机间链路 （ISL） 端口。隔离接口无法将数据包转发到另一个隔离接口;并且隔离接口无法从另一个隔离接口接收数据包。如果客户设备 只需要 访问网关路由器，则必须将设备连接到隔离的中继端口。

• 社区 VLAN/社区端口 — 您可以在单个 PVLAN 中配置多个社区 VLAN。特定公共组 VLAN 内的接口可以与属于同一公共组 VLAN 的任何其他接口建立第 2 层通信。公共组 VLAN 内的接口也可以与混合端口或 ISL 端口通信。 例如，如果您有两台客户设备需要与其他客户设备隔离，但必须能够相互通信，请使用社区端口。

• 混合端口 — 混合端口与 PVLAN 中的所有接口具有第 2 层通信，无论接口属于隔离 VLAN 还是社区 VLAN。混合端口是主 VLAN 的成员，但不包含在任何辅助子域中。第 3 层网关、DHCP 服务器和其他需要与端点设备通信的可信设备通常连接到混合端口。

• 交换机间链路 （ISL） — ISL 是连接 PVLAN 中的多台交换机并包含两个或更多 VLAN 的中继端口。仅当 PVLAN 跨越多台交换机时才需要它。

配置的 PVLAN 是 主 域（主 VLAN）。在 PVLAN 中，您可以配置 辅助 VLAN，这些 VLAN 将成为嵌套在主域中的子域。PVLAN 可以在单个交换机上配置，也可以配置为跨越多个交换机。中显示的 图 1 PVLAN 包括两台交换机，分别具有一个主 PVLAN 域和多个子域。

图 1： PVLAN 中的子域

如 所示 图 3，PVLAN 只有一个主域和多个辅助域。域的类型包括：

• 主 VLAN — 用于将帧下游转发到隔离和社区 VLAN 的 VLAN。PVLAN 的主 VLAN 使用用于完整 PVLAN 的 802.1Q 标记 （VLAN ID） 进行定义。主 PVLAN 可以包含多个辅助 VLAN（一个隔离 VLAN 和多个公共组 VLAN）。

• 辅助隔离 VLAN — 仅从主 VLAN 接收数据包并将帧上游转发到主 VLAN 的 VLAN。隔离 VLAN 是嵌套在主 VLAN 内的辅助 VLAN。一个主 VLAN 只能包含一个隔离的 VLAN。隔离 VLAN（隔离接口）中的接口只能将数据包转发到混合端口或 PVLAN 中继端口。隔离接口无法将数据包转发到另一个隔离接口;隔离接口也无法从另一个隔离接口接收数据包。如果客户设备 只需要 访问路由器，则必须将设备连接到隔离的中继端口。

• 辅助交换机间隔离 VLAN — 用于通过 PVLAN 中继端口将隔离的 VLAN 流量从一台交换机转发到另一台交换机的 VLAN。交换机间隔离 VLAN 需要 802.1Q 标记，因为 IEEE 802.1Q 使用内部标记机制，中继设备通过该机制将 4 字节 VLAN 帧标识选项卡插入数据包标头。交换机间隔离 VLAN 是嵌套在主 VLAN 中的辅助 VLAN。

• 辅助公共组 VLAN — VLAN 用于在社区成员（VLAN 内用户子集）之间传输帧，并将帧转发到主 VLAN 的上游。公共组 VLAN 是嵌套在主 VLAN 内的辅助 VLAN。您可以在单个 PVLAN 中配置多个公共组 VLAN。特定公共组 VLAN 内的接口可以与属于同一公共组 VLAN 的任何其他接口建立第 2 层通信。公共组 VLAN 内的接口也可以与混合端口或 PVLAN 中继端口通信。

图 2 显示了跨多台交换机的 PVLAN，其中主 VLAN （100） 包含两个公共组域 (300 和 400） 和一个交换机间隔离域。

图 2： 跨多台交换机的 PVLAN

配置的 PVLAN 将成为主域，辅助 VLAN 将成为嵌套在主域内的子域。可以在单个路由器上创建 PVLAN。中显示的 图 3 PVLAN 包括一个路由器，具有一个主 PVLAN 域和多个辅助子域。

图 3： 具有一台路由器的 PVLAN 中的子域

域的类型包括：

• 主 VLAN — 用于将帧下游转发到隔离和社区 VLAN 的 VLAN。

• 辅助隔离 VLAN — 仅从主 VLAN 接收数据包并将帧上游转发到主 VLAN 的 VLAN。

• 辅助交换机间隔离 VLAN — 用于通过 PVLAN 中继端口将隔离的 VLAN 流量从一个路由器转发到另一个路由器的 VLAN。

• 辅助公共组 VLAN — VLAN 用于在社区成员（VLAN 内用户子集）之间传输帧，并将帧转发到主 VLAN 的上游。

图 4 显示了单个交换机上的 PVLAN，其中主 VLAN （VLAN 100） 包含两个公共组 VLAN（VLAN 300 和 VLAN 400）和一个隔离的 VLAN （VLAN 50）。

图 4： 单个 EX 交换机上的专用 VLAN

图 5 显示了跨多台交换机的 PVLAN，其中主 VLAN （VLAN 100） 包含两个公共组 VLAN（VLAN 300 和 VLAN 400）和一个隔离的 VLAN （VLAN 200）。它还显示交换机 1 和 2 通过交换机间链路（PVLAN 中继链路）连接。

图 5： 跨多个 EX 系列交换机的 PVLAN

此外，中显示的 图 4 PVLAN 并使用 图 5 连接到路由器的混合端口作为在社区和隔离 VLAN 之间路由第 3 层流量的手段。您可以在中的 图 4 交换机或中显示的 图 5 交换机之一（在某些 EX 交换机上）配置 RVI，而不是使用连接到路由器的混合端口。

要在隔离 VLAN 和社区 VLAN 之间路由第 3 层流量，您必须将路由器连接到混合端口（如和 图 5中图 4所示），或者配置 RVI。

如果选择 RVI 选项，则必须为 PVLAN 域中的主 VLAN 配置一个 RVI。此 RVI 服务于整个 PVLAN 域，无论该域是否包含一台或多台交换机。配置 RVI 后，辅助 VLAN 接口接收的第 3 层数据包将映射到 RVI，并由 RVI 路由。

设置 RVI 时，还必须启用代理地址解析协议 （ARP），以便 RVI 可以处理辅助 VLAN 接口收到的 ARP 请求。

有关在单个交换机和多个交换机上配置 PVLAN 的信息，请参阅在单个 EX 系列交换机上创建专用 VLAN（CLI 过程）。 有关配置 RVI 的信息，请参阅 在 EX 系列交换机上的专用 VLAN 中配置路由 VLAN 接口。

要在隔离 VLAN 和社区 VLAN 之间路由第 3 层流量，必须将外部路由器或交换机连接到主 VLAN 的中继端口。主 VLAN 的中继端口是 混合 端口;因此， 它可以与 PVLAN 中的所有端口通信。

当数据包标有客户特定的 802.1Q 标记时，该标记标识网络中任何交换机或路由器的数据包所有权。有时，PVLAN 中需要 802.1Q 标记来跟踪来自不同子域的数据包。 表 1 指示主 VLAN 或辅助 VLAN 上何时需要 VLAN 802.1Q 标记。

PVLAN 提供 IP 地址保护和 IP 地址的有效分配。在典型的网络中，VLAN 通常对应于单个 IP 子网。在 PVLAN 中，所有辅助 VLAN 中的主机都属于同一个 IP 子网，因为子网已分配给主 VLAN。系统会根据与主 VLAN 关联的 IP 子网为辅助 VLAN 中的主机分配 IP 地址，其 IP 子网屏蔽信息反映了主 VLAN 子网的 IP 子网屏蔽信息。但是，每个辅助 VLAN 都是一个单独的广播域。

PVLAN 最多可以使用六种不同的端口类型。中图 2 描述的网络使用混合端口将信息传输到路由器，使用社区端口将财务和人力资源社区连接到各自的交换机，使用隔离端口连接服务器，使用PVLAN中继端口连接两台交换机。PVLAN 端口有不同的限制：

• 混合中继端口 — 混合端口与 PVLAN 中的所有接口具有第 2 层通信，无论该接口属于隔离 VLAN 还是社区 VLAN。混合端口是主 VLAN 的成员，但不包含在某个辅助子域中。第 3 层网关、DHCP 服务器和其他需要与端点设备通信的可信设备通常连接到混合端口。

• PVLAN 中继链路 — 仅当 PVLAN 配置为跨越多台交换机时，才需要 PVLAN 中继链路（也称为交换机间链路）。PVLAN 中继链路连接组成 PVLAN 的多台交换机。

• PVLAN 中继端口 — 在多交换机 PVLAN 配置中，需要使用 PVLAN 中继端口才能跨越交换机。PVLAN 中继端口是 PVLAN 内所有 VLAN（即主 VLAN、公共组 VLAN 和交换机间隔离 VLAN）的成员，它承载来自主 VLAN 和所有辅助 VLAN 的流量。它可以与隔离端口以外的所有端口通信。

  PVLAN 中继端口与隔离端口之间的通信通常是单向的。PVLAN 中继端口在交换机间隔离 VLAN 中的成员资格仅针对出口，这意味着隔离端口可以将数据包转发到 PVLAN 中继端口，但 PVLAN 中继端口不会将数据包转发到隔离端口（除非数据包在混合访问端口上进入，因此被转发到与混合端口相同的主 VLAN 中的所有辅助 VLAN）。

• 辅助 VLAN 中继端口（未显示）— 辅助中继端口承载辅助 VLAN 流量。对于给定的专用 VLAN，辅助 VLAN 中继端口只能传输一个辅助 VLAN 的流量。但是，只要每个辅助 VLAN 是不同主 VLAN 的成员，辅助 VLAN 中继端口就可以承载多个辅助 VLAN 的流量。例如，辅助 VLAN 中继端口可以传输属于主 VLAN pvlan100 的社区 VLAN 的流量，也可以传输属于主 VLAN pvlan400 的隔离 VLAN 的流量。

• 社区端口 - 社区端口相互通信以及与其混合端口通信。社区端口仅服务于选定的用户组。这些接口在第 2 层与其他社区中的所有其他接口或其 PVLAN 内的隔离端口分开。

• 隔离访问端口 — 隔离端口仅与混合端口和 PVLAN 中继端口具有第 2 层连接 — 隔离端口无法与另一个隔离端口通信，即使这两个端口是同一隔离 VLAN（或交换机间隔离 VLAN）域的成员。通常，服务器（如邮件服务器或备份服务器）连接在隔离的端口上。在酒店中，每个房间通常都连接在一个隔离的端口上，这意味着房间到房间的通信是不可能的，但每个房间都可以通过混合端口访问互联网。

• 混合访问端口（未显示）— 这些端口承载未标记的流量。在混合接入端口上进入的流量将转发到设备上的所有辅助 VLAN 端口。如果流量在启用 VLAN 的端口上进入设备，并在混合接入端口上出口，则流量在出口处未标记。如果标记的流量入口位于混合接入端口上，则该流量将被丢弃。

• 交换机间链路端口 — 交换机间链路 （ISL） 端口是一个中继端口，当 PVLAN 跨越两个路由器时，该端口将连接这些路由器。ISL 端口是 PVLAN 内所有 VLAN（即主 VLAN、公共组 VLAN 和隔离 VLAN）的成员。

  ISL 端口和隔离端口之间的通信是单向的。ISL 端口在交换机间隔离 VLAN 中的成员资格仅针对出口，这意味着 ISL 端口上的传入流量永远不会分配给隔离 VLAN。隔离端口可以将数据包转发到 PVLAN 中继端口，但 PVLAN 中继端口无法将数据包转发到隔离端口。 表 3 总结了不同类型的端口之间是否存在第 2 层连接。

表 2 总结了支持 ELS 的 EX 系列交换机上 PVLAN 内不同类型端口之间的第 2 层连接。

表 4 总结了 PVLAN 中不同类型的端口之间是否存在第 2 层连接。

如中所述 表 4，隔离端口和 PVLAN 中继端口之间的第 2 层通信是单向的。也就是说，隔离端口只能将数据包发送到 PVLAN 中继端口，而 PVLAN 中继端口只能从隔离端口接收数据包。相反，PVLAN 中继端口无法将数据包发送到隔离端口，隔离端口无法从 PVLAN 中继端口接收数据包。

通过 中 图 6 所示的流程图，您可以大致了解创建 PVLAN 的过程。如果按显示的顺序完成配置步骤，则不会违反这些 PVLAN 规则。（在 PVLAN 规则中，配置 PVLAN 中继端口仅适用于跨多个路由器的 PVLAN。）

• 主 VLAN 必须是带标记的 VLAN。

• 如果要配置公共组 VLAN ID，必须先配置主 VLAN。

• 如果要配置隔离 VLAN ID，必须先配置主 VLAN。

在单个路由器上配置 VLAN 相对简单，如 所示 图 6。

图 6： 在单个交换机上配置 PVLAN

配置主 VLAN 包括以下步骤：

1. 配置主 VLAN 名称和 802.1Q 标记。

2. 在主 VLAN 上设置 no-local-switching 。

3. 配置混合中继端口和接入端口。

4. 使混合中继端口和接入端口成为主 VLAN 的成员。

在主 VLAN 中，您可以配置辅助公共组 VLAN 和/或辅助隔离 VLAN。配置辅助公共组 VLAN 包括以下步骤：

1. 使用常规流程配置 VLAN。

2. 配置 VLAN 的接入接口。

3. 将主 VLAN 分配给公共组 VLAN，

当隔离 VLAN 将接入接口作为成员并在主 VLAN 上启用该选项 no-local-switching 时，将在内部创建隔离 VLAN。

交换机间隔离 VLAN 需要 802.1Q 标记，因为 IEEE 802.1Q 使用内部标记机制，中继设备通过该机制将 4 字节 VLAN 帧标识选项卡插入数据包标头。

只有多路由器 PVLAN 配置才需要中继端口 — 中继端口传输来自主 VLAN 和所有辅助 VLAN 的流量。

• 一个接入接口只能属于一个 PVLAN 域，也就是说，它不能参与两个不同的主 VLAN。

• 只要辅助 VLAN 位于两个 不同的 主 VLAN 中，中继接口就可以是这两个辅助 VLAN 的成员。中继接口不能是 同一 主 VLAN 中的两个辅助 VLAN 的成员。

• 必须在 PVLAN 中包含的所有 VLAN 上配置多生成树协议 （MSTP） 的单个区域。

• 不支持 VLAN 生成树协议 （VSTP）。

• 专用 VLAN 不支持 IGMP 侦听。

• 专用 VLAN 不支持路由 VLAN 接口

• 不支持在同一主 VLAN 中的辅助 VLAN 之间进行路由。

• 无法在辅助 VLAN 上指定某些配置语句。您只能在主 PVLAN 上在层次结构级别配置[edit vlans vlan-name switch-options]以下语句。

• 如果要将主 VLAN 更改为辅助 VLAN，必须先将其更改为普通 VLAN，然后提交更改。例如，您将按照以下过程操作：

  1. 将主 VLAN 更改为普通 VLAN。

  2. 提交配置。

  3. 将普通 VLAN 更改为辅助 VLAN。

  4. 提交配置。

  如果要将辅助 VLAN 更改为主 VLAN，请遵循相同的提交顺序。也就是说，将辅助 VLAN 设为普通 VLAN 并提交该更改，然后将普通 VLAN 更改为主 VLAN。

支持 ELS 配置样式的 Junos 交换机上的 PVLAN 不支持以下功能：

• 出口 VLAN 防火墙过滤器

• 以太网环网保护 （ERP）

• 灵活的 VLAN 标记

• global-mac-statistics（全局）MAC-Statistics

• 集成路由和桥接 （IRB） 接口

• 多机箱链路聚合组 （MC-LAG）

• 端口镜像

• Q-in-Q 隧道

• VLAN 生成树协议 （VSTP）

• IP 语音 （VoIP）

您只能在主 PVLAN 上在层次结构级别配置 [edit vlans vlan-name switch-options] 以下语句：

• mac-table-size

• 无 Mac 学习

• MAC 统计

• interface-mac-limit

PVLAN 可以使用以下不同的端口类型：

• 混合中继端口 — 混合端口是连接到路由器、防火墙、服务器或提供商网络的上游中继端口。混合中继端口可以与所有接口通信，包括 PVLAN 内的隔离端口和社区端口。

• PVLAN 中继端口 — 在多交换机 PVLAN 配置中，需要使用 PVLAN 中继端口才能跨越交换机。PVLAN 中继端口是 PVLAN 内所有 VLAN（即主 VLAN、公共组 VLAN 和交换机间隔离 VLAN）的成员，它承载来自主 VLAN 和所有辅助 VLAN 的流量。它可以与所有端口通信。

  PVLAN 中继端口与隔离端口之间的通信通常是单向的。PVLAN 中继端口在交换机间隔离 VLAN 中的成员资格仅针对出口，这意味着隔离端口可以将数据包转发到 PVLAN 中继端口，但 PVLAN 中继端口不会将数据包转发到隔离端口（除非数据包在混合访问端口上进入，因此被转发到与混合端口相同的主 VLAN 中的所有辅助 VLAN）。

• 辅助 VLAN 中继端口 — 辅助 VLAN 中继端口承载辅助 VLAN 流量。对于给定的专用（主）VLAN，辅助 VLAN 中继端口只能传输一个辅助 VLAN 的流量。但是，只要每个辅助 VLAN 是不同主 VLAN 的成员，辅助 VLAN 中继端口就可以承载多个辅助 VLAN 的流量。例如，辅助 VLAN 中继端口可以传输属于主 VLAN pvlan100 的社区 VLAN 的流量，也可以传输属于主 VLAN pvlan400 的隔离 VLAN 的流量。

  注：

  当流量从辅助 VLAN 中继端口出口时，它通常带有辅助端口所属的主 VLAN 的标记。如果您希望从辅助 VLAN 中继端口出口的流量保留其辅助 VLAN 标记，请使用该 extend-secondary-vlan-id 语句。

• 社区端口 - 社区端口相互通信以及与其混合端口通信。社区端口仅服务于选定的用户组。这些接口在第 2 层与其他社区中的所有其他接口或其 PVLAN 内的隔离端口分开。

• 隔离接入端口 — 隔离端口仅与混合端口和 PVLAN 中继端口具有第 2 层连接。隔离访问端口无法与另一个隔离端口通信，即使这两个端口是同一隔离 VLAN 的成员也是如此。

• 混合接入端口 — 这些端口承载未标记的流量，只能是一个主 VLAN 的成员。在混合接入端口上进入的流量将被转发到辅助 VLAN 的端口，这些辅助 VLAN 是混合接入端口所属的主 VLAN 的成员。在这种情况下，如果辅助 VLAN 端口是中继端口，则流量在从辅助 VLAN 端口出口时会携带相应的辅助 VLAN 标记。如果流量在辅助 VLAN 端口上入口，而在混合接入端口上出口，则流量在出口处未标记。如果标记的流量入口位于混合接入端口上，则该流量将被丢弃。

使用辅助 VLAN 中继端口时，请注意以下事项：

• 您必须为辅助 VLAN 中继端口将参与的每个主 VLAN 配置隔离 VLAN ID。即使辅助 VLAN 中继端口将承载的辅助 VLAN 仅限于单个设备，也是如此。

• 如果将端口配置为给定主 VLAN 的辅助 VLAN 中继端口，则还可以将同一物理端口配置为以下任一端口：

  • 另一个主 VLAN 的辅助 VLAN 中继端口

  • 另一个主 VLAN 的 PVLAN 中继

  • 混合中继端口

  • 非专用 VLAN 的访问端口

• 在辅助 VLAN 中继端口（带有辅助 VLAN 标记）上进入的流量和在 PVLAN 中继端口上出口的流量会在出口处保留辅助 VLAN 标记。

• 在辅助 VLAN 中继端口上入口和在混合中继端口上出口的流量在出口处具有相应的主 VLAN 标记。

• 在辅助 VLAN 中继端口上进入和在混合接入端口上出口的流量在出口处未标记。

• 在混合中继端口上进入（具有主 VLAN 标记）和在辅助 VLAN 中继端口上出口的流量会在出口处携带相应的辅助 VLAN 标记。例如，假设您已在交换机上配置了以下内容：

  • 主 VLAN 100

  • 作为主 VLAN 一部分的社区 VLAN 200

  • 混合中继端口

  • 承载公共组 VLAN 200 的辅助中继端口

  如果数据包在主 VLAN 标记为 100 的混合中继端口上入口，并在辅助 VLAN 中继端口上出口，则它在出口处携带标记 200。

现在，您可以在同一接口上同时配置 802.1X 身份验证和专用 VLAN （PVLAN）。

IEEE 802.1X 身份验证提供网络边缘安全性，通过在接口上阻止请求方（客户端）的所有流量，直到请求方的凭据在 （RADIUS 服务器） 上 authentication server 显示和匹配，保护以太网 LAN 免受未经授权的用户访问。

专用 VLAN （PVLAN） 在 VLAN 内的端口之间提供第 2 层隔离，通过创建辅助 VLAN 将广播域拆分为多个离散广播子域。PVLAN 可用于限制广播流和未知单播流量，以及限制已知主机之间的通信。

在同时配置了 802.1X 身份验证和 PVLAN 的交换机上，当新设备连接到 PVLAN 网络时，设备将进行身份验证，然后根据 PVLAN 配置或 RADIUS 配置文件将其分配到辅助 VLAN。然后，设备获取 IP 地址并获取对 PVLAN 网络的访问权限。

在同一接口上配置这两个功能时，请记住以下准则和限制：

• 您不能将启用 802.1X 的接口配置为混合接口（根据配置是主 VLAN 成员的接口）或交换机间链路 （ISL） 接口。

• 不能通过逻辑接口上属于同一 PVLAN 域的不同 VLAN 对多个用户进行身份验证 — 例如，如果接口 ge-0/0/0 配置为 supplicant multiple ，并且客户端 C1 和 C2 经过身份验证并分别添加到动态 VLAN V1 和 V2，则 V1 和 V2 必须属于不同的 PVLAN 域。

• 如果 VoIP VLAN 和数据 VLAN 不同，则这两个 VLAN 必须位于不同的 PVLAN 域中。

• 更改 PVLAN 成员资格（即，在不同的 PVLAN 中重新配置接口）时，必须重新对客户端进行身份验证。

现在，您可以在专用 VLAN （PVLAN） 上启用接入端口安全功能，例如 DHCP 侦听。

出于安全原因，限制广播和未知单播流量的流动，甚至限制已知主机之间的通信通常很有用。PVLAN 功能允许您将广播域拆分为多个独立的广播子域，实质上是将 VLAN 放入 VLAN 中。

以太网 LAN 容易受到网络设备上的地址欺骗（伪造）和第 2 层拒绝服务 （DoS） 等攻击。以下接入端口安全功能有助于保护您的设备免受此类攻击可能导致的信息丢失和工作效率的影响，您现在可以在 PVLAN 上配置这些安全功能：

• DHCP 侦听 — 过滤并阻止不受信任端口上的 DHCP 服务器入口消息。DHCP 侦听构建并维护一个包含 DHCP 租用信息的数据库，该数据库称为 DHCP 侦听数据库。

• DHCPv6 侦听 — 适用于 IPv6 的 DHCP 侦听。

• DHCP 选项 82 — 也称为“DHCP 中继代理信息”选项。帮助保护交换机免受攻击，例如 IP 地址和 MAC 地址欺骗以及 DHCP IP 地址资源不足。Option 82 提供有关 DHCP 客户端网络位置的信息。DHCP 服务器使用此信息为客户端实现 IP 地址或其他参数。

• DHCPv6 选项：

  • 选项 37 — DHCPv6 的远程 ID 选项;将有关远程主机网络位置的信息插入到 DHCPv6 数据包中。

  • 选项 18 — DHCPv6 的电路 ID 选项;将有关客户端端口的信息插入 DHCPv6 数据包中。

  • 选项 16 — DHCPv6 的供应商 ID 选项;将有关客户端硬件供应商的信息插入 DHCPv6 数据包中。

• 动态 ARP 检查 （DAI） — 防止地址解析协议 （ARP） 欺骗攻击。将 ARP 请求和回复与 DHCP 侦听数据库中的条目进行比较，并根据这些比较结果做出过滤决策。

• IP 源保护 — 减轻 IP 地址欺骗攻击对以太网 LAN 的影响;根据 DHCP 侦听数据库验证从不受信任的访问接口发送的数据包中的源 IP 地址。如果无法验证数据包，则会将其丢弃。

• IPv6 源保护 — IPv6 的 IP 源保护。

• IPv6 邻居发现检查 — 防止 IPv6 地址欺骗攻击;将邻居发现请求和回复与 DHCPv6 侦听数据库中的条目进行比较，并根据这些比较结果做出过滤决策。

在 PVLAN 上配置接入端口安全功能时，请记住以下准则和限制：

• 您必须在主 VLAN 及其所有辅助 VLAN 上应用 相同的 接入端口安全功能。

• 一个 PVLAN 只能有一个集成路由和桥接 （IRB） 接口，并且该 IRB 接口必须位于主 VLAN 上。

• PVLAN 上的接入端口安全配置限制与不在 PVLAN 中的接入端口安全功能配置的限制相同。请参阅 《安全服务管理指南》中的访问端口安全文档。

• 问题
• 解决方案

• 问题
• 解决方案

• 问题
• 解决方案