在私有 VLAN 中，上行鏈路埠（P-Port）與隔離埠（I-Port）之間的流量限制是通過不允許直接的數據通信來實現的。具體來說，隔離埠只能與上行鏈路埠進行通信，但受限於與其他隔離埠或公共埠的直接通信。這意味著從上行鏈路埠發送到隔離埠的流量將被拒絕，從而防止來自同一私有 VLAN 中不同隔離埠之間的直接數據傳輸。

這種設計的目的主要是出於安全考慮，避免同一私有 VLAN 中的設備之間發生直接的數據鏈路層通信，降低由於配置錯誤或攻擊（如 ARP Spoofing）引發的安全風險。所有跨越隔離埠的流量必須通過上行鏈路完成，從而保證了數據流量的隔離性和安全性。
在私有 VLAN 中，上行鏈路埠與隔離埠之間的流量限制是如何運作的？
**私有 VLAN**（英文：Private VLAN），也稱為**專用 VLAN**，是一種電腦網路技術，它包含被限制的交換機埠，使得它們只能與給定的「上行鏈路」（uplink）通信。受限（restricted）埠稱為「私有埠」。每個專用 VLAN 通常包含許多私有埠和單個上行鏈路。上行鏈路通常是連接到路由器、防火牆、伺服器、提供商網絡或類似中心資源的埠。

## 概述

私有 VLAN 將一個主要 VLAN 劃分為多個次要 VLAN，並同時保留現有的 IP 子網和第三層配置。常規 VLAN 是單個廣播域，而私有 VLAN 將一個廣播域分成多個較小的廣播子域。

* 主要 VLAN：原始的 VLAN。這種類型的 VLAN 用於將數據幀下行轉發到所有次要 VLAN。
* 次要 VLAN：次要 VLAN 配置為以下類型之一：
  * 隔離（Isolated）：與隔離 VLAN 相關聯的任何埠都可以到達主要 VLAN，但不能訪問任何其他次要 VLAN。此外，與同一個隔離 VLAN 關聯的主機無法相互通訊。一個私有 VLAN 中可以有多個隔離 VLAN（如果出於安全考慮，VLAN 需要使用不同的路徑，則可能會有用）; 隔離 VLAN 的埠在每個 VLAN 內保持彼此隔離。
  * 公共（Community）：與公共 VLAN 相關聯的任何交換機埠都可以相互通信，並與主 VLAN 進行通信，但不能與任何其他輔助 VLAN 進行通信。一個私有 VLAN 內可以有多個不同的公共 VLAN。

私有 VLAN 主要有兩種類型的埠：混雜埠（P-Port）和主機埠。主機埠進一步分為兩種類型：隔離埠（I-Port）和公共埠（C-Port）。

* 混雜埠（P-Port）：交換機埠連接到路由器，防火牆或其他網關設備。該埠可以與連接到主 VLAN 或任何輔助 VLAN 的任何其他埠進行通信。換句話說，它是允許從 VLAN 中任何其他埠發送和接收數據幀的一種類型的埠。
* 主機埠：
  * 隔離埠（I-Port）：連接到隔離 VLAN 上的常規主機。此埠只能與 P-Port 通信。
  * 公共埠（C-Port）：連接到公共 VLAN 上的常規主機。該埠能與同一個私有 VLAN 上的 P-Port 和 C-Port 埠進行通信。

示例：一台 VLAN100 的交換機，為其配置一個私有 VLAN，一個埠為 P-Port，兩個埠為隔離 VLAN 101，四個埠為公共 VLAN 102 和公共 VLAN 103。交換機有一個 uplink-port（上行埠）（trunk），連接到另一個交換機。如右圖。

下表顯示了可以在這些埠之間通訊的流量。

流量從 Uplink-port 到隔離埠將會被拒絕。如果在主要 VLAN 中，將允許從 uplink-port 到隔離埠的流量。

無論 VLAN ID 或目的 MAC 地址如何，交換機將從專用埠接收的所有幀轉發到上行埠。從上行鏈路埠接收的幀以正常方式轉發（即，到承載目的地 MAC 地址的埠，或廣播幀的所有埠或未知目的地 MAC 地址）。結果，通過交換機的端對端流量會被交換機阻塞（blocked），並且任何這樣的通信必須經過上行鏈路。私有 VLAN 在數據鏈路層提供通訊間的隔離，但網絡設備的配置會導致客戶端仍然可能在高層進行通信。

## 應用

私有 VLAN 的典型應用是酒店或家庭乙太網，每個房間或公寓都有一個可以上網的埠。在基於乙太網的 ADSL DSLAM 中使用類似的埠隔離。允許客戶節點之間的直接數據鏈路層通信將使本地網絡暴露於諸如 ARP Spoofing 之類的各種安全攻擊，並增加由於配置錯誤而導致的損壞的可能性。

私有 VLAN 的另一個應用是簡化 IP 位址分配。屬於同一個 IP 子網時，埠在數據鏈路層可以彼此隔離（出於安全性，性能或其他原因）。在這種情況下，受保護埠上的 IP 主機之間的直接通信只能通過使用 MAC-Forced Forwarding 或類似的基於 Proxy ARP 的解決方案通過上行鏈路連接來實現。

## 相關 RFC

* RFC 5517 – Cisco Systems' Private VLANs: Scalable Security in a Multi-Client Environment

## 參考資料

### 腳註

### 其他

* Configuring Private VLANs. Catalyst 3750 Switch Software Configuration Guide, 12.2(25)SEE. Cisco Systems. [2009-05-26]. （原始內容存檔於 2012-08-24）.
* CCNP BCMSN Official exam certification guide.By-David Hucaby, ISBN 978-1-58720-171-4,ISBN 1-58720-171-2
## 概述

私有 VLAN 將一個主要 VLAN 劃分為多個次要 VLAN，並同時保留現有的 IP 子網和第三層配置。常規 VLAN 是單個廣播域，而私有 VLAN 將一個廣播域分成多個較小的廣播子域。

* 主要 VLAN：原始的 VLAN。這種類型的 VLAN 用於將數據幀下行轉發到所有次要 VLAN。
* 次要 VLAN：次要 VLAN 配置為以下類型之一：
  * 隔離（Isolated）：與隔離 VLAN 相關聯的任何埠都可以到達主要 VLAN，但不能訪問任何其他次要 VLAN。此外，與同一個隔離 VLAN 關聯的主機無法相互通訊。一個私有 VLAN 中可以有多個隔離 VLAN（如果出於安全考慮，VLAN 需要使用不同的路徑，則可能會有用）; 隔離 VLAN 的埠在每個 VLAN 內保持彼此隔離。
  * 公共（Community）：與公共 VLAN 相關聯的任何交換機埠都可以相互通信，並與主 VLAN 進行通信，但不能與任何其他輔助 VLAN 進行通信。一個私有 VLAN 內可以有多個不同的公共 VLAN。

私有 VLAN 主要有兩種類型的埠：混雜埠（P-Port）和主機埠。主機埠進一步分為兩種類型：隔離埠（I-Port）和公共埠（C-Port）。 ## 概述

為實現交換器乙太網路的廣播隔離，一種理想的解決方案就是採用虛擬區域網路技術。這種對連接到第 2 層交換器埠的網路使用者的邏輯分段技術實現非常靈活，它可以不受使用者物理位置限制，根據使用者需求進行 VLAN 劃分；可在一個交換器上實現，也可跨交換器實現；可以根據網路使用者的位置、作用、部門或根據使用的應用程式、上層協定或者乙太網路連接埠硬體位址來進行劃分。

一個 VLAN 相當於 OSI 模型第 2 層的廣播域，它能將廣播控制在一個 VLAN 內部。而不同 VLAN 之間或 VLAN 與 LAN / WAN 的數據通訊必須通過第 3 層（網路層）完成。否則，即便是同一交換器上的連接埠，假如它們不處於同一個 VLAN，正常情況下也無法進行數據通訊，特例是由於思科生產的交換機帶有 VLAN 穿越漏洞，外來封包以廣播進到該交換器時，它仍然會流入所有連至交換器上的電腦，而導致資訊可能外洩的潛藏風險。

為瞭解決上述資訊安全議題，1995 年 IEEE 802 委員會發表了 802.1Q VLAN 技術的實作標準與訊框結構，希望能透過設定邏輯位址（TPID、TCI），對實體區域網區隔成獨立虛擬網段，以規範封包廣播時的最大範圍。

## VLAN 的作用

VLAN 可以為網路提供以下作用：

* 廣播控制
* 頻寬利用
* 降低延遲
* 安全性（非設計作用，本身功能所附加出的） **私有 VLAN**（英文：Private VLAN），也稱為**專用 VLAN**，是一種電腦網路技術，它包含被限制的交換機埠，使得它們只能與給定的「上行鏈路」（uplink）通信。受限（restricted）埠稱為「私有埠」。每個專用 VLAN 通常包含許多私有埠和單個上行鏈路。上行鏈路通常是連接到路由器、防火牆、伺服器、提供商網絡或類似中心資源的埠。 **虛擬區域網路**（**Virtual Local Area Network** 或簡寫 **VLAN**，**V-LAN**）是一種建構於區域網路交換技術（LAN Switch）的網路管理的技術，網管人員可以藉此透過控制交換器有效分派出入區域網的封包到正確的出入埠，達到對不同實體區域網中的裝置進行邏輯分群（Grouping）管理，並降低區域網內大量資料流通時，因無用封包過多導致壅塞的問題，以及提昇區域網的資訊安全保障。