PVLAN（Private VLAN），也称为“专用虚拟局域网”，采用两层VLAN隔离技术，只有上层VLAN全局可见，下层VLAN相互隔离。如果将交换机或IP DSLAM设备的每个端口化为一个（下层）VLAN，则实现了所有端口的隔离。
通常用于企业内部网，用来防止连接到某些接口或接口组中的网络设备相互通信，但却允许与默认网关进行通信。尽管各设备处于不同的pVLAN中，它们可以使用相同的IP子网。
团体VLAN（community vlan）：具有相同名称的团体vlan中的设备可以相互通信，不同名称的团体vlan中的设备不能相互通信。
隔离VLAN（isolated vlan）：隔离vlan中的设备只能访问公网，不能与任何vlan的中任何设备相互通信。
PVLAN中的一些使用规则：
1.一个“Primary VLAN”当中至少有1个“Secondary VLAN”，没有上限。
2.一个“Primary VLAN”当中只能有1个“Isolated VLAN”，可以有多个“Community VLAN”。
3.不同“Primary VLAN”之间的任何端口都不能互相通信（这里“互相通信”是指二层连通性）。
4.“Isolated端口”只能与“混杂端口”通信，除此之外不能与任何其他端口通信。
5.“Community端口”可以和“混杂端口”通信，也可以和同一“Community VLAN”当中的其它物理端口进行通信，除此之外不能和其他端口通信。
模拟实验配置
配置步骤有如下几步：
- 创建primary vlan，并将其设置为primary vlan
- 创建community vlan，并设置为community vlan
- 创建isolated vlan，并设置为isolated vlan
- 在primary vlan的端口下，设置为混杂模式，将primary vlan与isolated vlan、community vlan相关联
- 在community vlan和isolated vlan 的主机端口下，设置为主机模式（host），并将primary vlan分别与community vlan 和isolated vlan相关联
GW
GW(config)#interface g0/0
GW(config-if)#ip address 192.168.1.1 255.255.255.0
GW(config-if)#no shutdown
GW(config-if)#exit
SW-1
W-1(config)#vtp mode off//仅当VTP版本1或2中的VTP处于透明/关闭模式时，以及在VTP版本3中关闭修剪时处于服务器/透明/关闭模式时，才能配置专用VLAN
//创建primary vlan
SW-1(config)#vlan 10
SW-1(config-vlan)#private-vlan primary
SW-1(config-vlan)#exit
//创建community vlan
SW-1(config)#vlan 400
SW-1(config-vlan)#private-vlan community
SW-1(config-vlan)#exit
//创建isolated vlan
SW-1(config)#vlan 401
SW-1(config-vlan)#private-vlan isolated
SW-1(config-vlan)#exit
//将community vlan和isolated vlan 相关联
SW-1(config)#vlan 10
SW-1(config-vlan)#private-vlan association 400-401
SW-1(config-vlan)#exit
//设置混杂端口，并将primary vlan与community vlan、isolated vlan相关联
SW-1(config)#interface g1/0
SW-1(config-if)#switchport mode private-vlan promiscuous
SW-1(config-if)#switchport private-vlan mapping 10 400-401
SW-1(config-if)#exit
//在community vlan和isolated vlan的主机端口下设置主机模式，并分别与primary vlan相关联
SW-1(config)#interface range g0/0-1
SW-1(config-if-range)#switchport mode private-vlan host
SW-1(config-if-range)#switchport private-vlan host-association 10 400
SW-1(config-if-range)#exit
SW-1(config)#interface range g0/2-3
SW-1(config-if-range)#switchport private-vlan host-association 10 401
//两台交换机的端口进行trunk封装
SW-1(config)#interface g1/1
SW-1(config-if)#switchport trunk encapsulation dot1q
SW-1(config-if)#switchport mode trunk
SW-1(config-if)#exitSW-2
SW-2(config)#vtp mode off
SW-2(config)#vlan 10
SW-2(config-vlan)#private-vlan primary
SW-2(config-vlan)#exit
SW-2(config)#vlan 400
SW-2(config-vlan)#private-vlan community
SW-2(config-vlan)#exit
SW-2(config)#vlan 401
SW-2(config-vlan)#private-vlan isolated
SW-2(config-vlan)#exit
SW-2(config)#vlan 10
SW-2(config-vlan)#private-vlan association 400-401
SW-2(config-vlan)#exit
SW-2(config)#interface range g0/0-1
SW-2(config-if-range)#switchport mode private-vlan host
SW-2(config-if-range)#switchport private-vlan host-association 10 400
SW-2(config-if-range)#exit
SW-2(config)#interface g0/2
SW-2(config-if)#switchport mode private-vlan host
SW-2(config-if)#switchport private-vlan host-association 10 401
SW-2(config-if)#exit
//打trunk，封装接口
SW-2(config)#interface g0/3
SW-2(config-if)#switchport trunk encapsulation dot1q
SW-2(config-if)#switchport mode trunk
SW-2(config-if)#exitPC4：192.168.1.4
PC5：192.168.1.5
PC6：192.168.1.6
PC7：192.168.1.7
PC8：192.168.1.8
PC9：192.168.1.9
PC10：192.168.1.10
经验证，PC 4、PC5、PC8、PC9可以相互通信，与PC6、PC7、PC10不能通信。
PC6、PC7、PC10均只能与网关相互通信，不能与其他任何设备相互通信。
来源：51CTO
作者：wx5e2e56c1a480f
链接：https://blog.51cto.com/14671287/2476534