VLAN Privadas

Generalmente el trfico se permite sin ningn tipo de restriccin dentro de la misma

VLAN. Los paquetes son enviados desde un host hacia otro y normalmente son recibidos
por el host de destino, gracias a la naturaleza de capa 2 que vienen los switches.
Pero si un host enva un paquete de broadcast, todos los dems host dentro de la misma
VLAN lo recibirn. Una VACL puede filtrar los paquetes entre un origen y los destinos en
la misma VLAN si ambos estn conectados al mismo switch. Es muy til poder segmentar
trfico en una VLAN sin tener que utilizar mltiples VLAN y un router.
Las PVLAN (Private VLAN) solucionan este problema. sintticamente se puede decir que
una VLAN normal puede estar lgicamente asociada con una VLAN secundaria, los host
asociados con la VLAN secundaria podrn comunicarse con la VLAN primaria (por
ejemplo, con un router), pero no con otros de la VLAN secundaria. Una VLAN secundaria
se configura como uno de los siguientes tipos:

Isolated (aislada): cualquier puerto asociado con una VLAN aislada podr
alcanzar la VLAN primaria, pero no podr alcanzar otro puerto en la VLAN
secundaria. En suma, los host asociados con la misma estn aislados entre si pero
no de la VLAN primaria.

Community: cualquier puerto asociado con una VLAN community puede

comunicarse con otros y adems con la VLAN primaria, pero no podr
comunicarse con cualquier otra VLAN secundaria. Esto proporciona una
segmentacin bsica para granjas de servidores y grupos de trabajo dentro de una
organizacin, ofreciendo un aislamiento entre organizaciones.

Todas las VLAN secundarias deben estar asociadas con una VLAN primaria para llevar a
cabo una relacin unidireccional. Las PVLAN estn configuradas utilizando como base
VLAN normales, pero VTP no enva informacin sobre las PVLAN por los que estas son
solo significativamente locales al switches. Cada una de las PVLAN tienen que
configurarse localmente en cada uno de los switches que estn interconectados.
Cada puerto del switch que utiliza una PVLAN debe configurarse con una asociacin de
VLAN; tambin el puerto debe definirse en alguno de los siguientes modos:

Promiscuo: el puerto del switch se conecta a un router, firewall o algn dispositivo

que hace las veces de Gateway. El puerto puede comunicarse con cualquier
dispositivo conectado ya sea VLAN primarias o secundarias. Las reglas de las
PVLAN son ignoradas.

Host: el puerto del switch esta conectado a un host normal que reside en una
VLAN aislada o community. El puerto solo se comunica con puertos promiscuo o
con puertos de la misma VLAN community.

La siguiente figura muestra la operacin bsica de la PVLAN, en la imagen se muestran

algunos PC conectados a una VLAN community secundaria, las dos VLAN community
estn asociadas con una VLAN primaria donde se conecta el router. El router se conecta
a un puerto promiscuo en la VLAN primaria y un host se conecta a una VLAN secundaria
aislada de tal manera que solo podr comunicarse con los routers en el puerto promiscuo.

Configuracin de PVLAN
El primer paso en la configuracin de la PVLAN es definir alguna VLAN secundaria, par
ello se utiliza el siguiente comando:
Switch(config)# vlan vlan-id
Switch(config-vlan)# private-vlan {isolated | community}
La VLAN secundaria puede ser isolated o community, lo siguiente es definir la VLAN
primaria:
Switch(config)# vlan vlan-id
Switch(config-vlan)# private-vlan primary
Switch(config-vlan)# private-vlan association {secondary-vlan-list | add secondary-vlanlist | remove secondary-vlan-list}
La VLAN primaria debe estar correctamente asociada con todas las VLAN secundarias
utilizando el parmetro association. Si la VLAN primaria ya ha sido configurada, se podr
aadir solo el parmetro remove para las asociaciones individuales. Estos comandos de
configuracin de VLAN solo proporcionan los mecanismos para brindar conectividad
unidireccional desde la VLAN secundaria a la primaria. Tambin se debe asociar cada
puerto del switch individual con sus VLAN privadas respectivas.

Configuracin de VLAN privada

Para configurar una VLAN privada, siga estos pasos:
1. Modo VTP Configurar a transparente
2. Crear las VLANs privadas secundarias
3. Crear la VLAN privada primaria
4. Asociar la VLAN privada secundaria con la VLAN privada primaria. Slo una VLAN
privada aislada se puede asignar a una VLAN privada primaria, pero ms de una
comunidad privada VLAN se puede asignar a una VLAN privada primaria
5. Configurar una interfaz como un puerto aislado o comunidad
6. Asociar el puerto aislado o puerto de la comunidad con el par de VLAN privada
primaria-secundaria

7. Configurar una interfaz como un puerto promiscuo

8. Asignar el puerto promiscuo al par VLAN privada primaria-secundaria

Configuracin de las VLAN privadas en CISCO IOS

Para configurar VLANs privadas en Cisco IOS, realice los siguientes pasos:
1. Introduzca VLAN modo de configuracin global para configurar las VLAN privadas:
Switch(config)# vlan pvlan-id
2. Configurar las VLAN como un tipo de VLAN privada:
Switch(config-vlan)# private-vlan (community | isolated | primary)
3. Salga del modo de configuracin:
Switch(config)# exit
4. Entre en el modo de configuracin global para configurar VLAN primaria:
Switch(config)# vlan primary-vlan-id
5. Si se trata de una VLAN primaria, asegrese de asociar la capa 2 VLAN
secundaria a la VLAN primaria:
Switch(config-vlan)# private-vlan association (secondary-vlan-list | add
secondary-vlan-list | remove secondary-vlan-list)
6. Seleccione el modo de configuracin de interfaz para la VLAN primaria:
Switch(config)# interface vlan primary-vlan-id
7. Mapa VLANs secundarias a la interfaz de Capa 3 VLAN de una VLAN primaria
para permitir al Switch de Capa 3 del trfico de ingreso de VLAN privada:
Switch(config-if)# private-vlan mapping (secondary-vlan-list | add secondaryvlan-list | remove secondary-vlan-list)
8. Seleccione la interfaz de puerto LAN para configurar como host VLAN privada o
puerto promiscuo:
Switch(config)# interface type slot/port
9. Configurar el puerto LAN para Capa 2 operacin si el comportamiento
predeterminado es una operacin de Capa 3:
Switch(config-if)# switchport
10. Configure el puerto de Capa 2 como puerto VLAN privada ya sea como host o
puerto promiscuo:
Switch(config-if)# switchport mode private-vlan (host | promiscuous)
11. Para acceder al puerto de VLAN privada, asociar la comunidad o aislada VLAN
privada a la VLAN privada:
Switch(config-if)# switchport private-vlan host-association primary-vlan-id
secondary-vlan-id

12. Para los puertos promiscuos, configurar la interfaz mediante la asignacin del
puerto a la VLAN privada:
Switch(config-if)# switchport private-vlan mapping primary-vlan-id (secondaryvlan-list | add secondary-vlan-list | remove secondary-vlan-list)
13. Salga del modo de configuracin.