很多场景需要同一网段内部分虚拟机二层隔离不想划分大量独立VLAN这时就可以使用DVS上的Private VLAN私有VLAN。 PVLAN把一个主VLAN划分为多个次级VLAN分为Community团体、Isolated隔离两种类型。隔离端口之间二层互相不能互通但都可以和网关Promiscuous混杂端口通信。很多运维配置后隔离不生效大多是PVLAN类型定义与端口组绑定步骤遗漏。下面梳理原理、完整配置步骤、常见坑点。一、PVLAN三种角色概念Primary VLAN主VLAN主VLAN就是上层网关所在VLAN所有PVLAN流量最终都要经过主VLAN访问网关或者外部网络。所有次级VLAN都依附于主VLAN。Isolated VLAN隔离型次级VLAN同一个Isolated VLAN内的端口之间二层完全隔离互相无法通信仅能和Promiscuous混杂端口网关通信。多用于租户隔离、高危虚拟机隔离场景。Community VLAN团体型次级VLAN同一个Community VLAN内部端口之间可以互相通信但是不能访问其他Community或者Isolated的端口依旧可以访问Promiscuous网关端口。适合同一业务组内部需要互访隔离其他业务。补充Promiscuous端口一般接网关设备接收来自所有次级VLAN的流量。二、DVS中PVLAN完整配置实操步骤1进入分布式交换机PVLAN配置页面vSphere Client打开【网络】选中目标DVS分布式交换机切换到【设置】选项卡找到【Private VLAN】功能入口。 注意PVLAN是DVS交换机全局配置不属于端口组必须先在DVS层面定义好主VLAN、次级VLAN以及类型之后才能分配给端口组。步骤2添加主VLAN与次级PVLAN点击添加首先填写Primary主VLAN ID。 接着添加次级VLAN为每一个次级VLAN指定类型Isolated或者Community。Isolated隔离模式同VLAN端口之间二层隔离Community团体模式组内可互访组间隔离保存DVS的PVLAN全局配置。此时仅仅完成定义网络隔离还不会生效必须绑定到端口组。步骤3新建/编辑分布式端口组应用PVLAN打开端口组设置编辑VLAN类型下拉选择【Private VLAN】。 选择已经在DVS中定义好的次级VLAN IDIsolated或Community。 保存端口组配置把虚拟机网卡接入这个端口组PVLAN隔离策略正式生效。网关端口处理要点网关所在端口需要配置为PVLAN Promiscuous类型该端口可以接收全部次级PVLAN流量。 如果网关是物理设备上行链路对应的物理交换机也需要支持PVLAN否则跨物理主机的隔离失效。三、跨主机隔离关键点PVLAN隔离作用域DVS内部同一台ESXi主机上的虚拟机配置完成后隔离直接生效。 如果虚拟机分布在多台不同ESXi主机DVS上行对接的物理交换机也必须支持Private VLAN。 物理交换机不做对应的PVLAN配置跨主机的虚拟机二层依旧可以互通隔离失效这是最容易踩的坑。四、常见故障现象对照表故障现象根因处理方案端口组找不到PVLAN选项没有在DVS全局先定义Primary与次级PVLAN先到DVS设置‑Private VLAN里面定义VLAN与类型同一主机虚拟机隔离正常跨主机可以互相访问物理交换机未配置PVLANDVS只完成本地隔离物理交换机同步配置PVLAN保证跨主机二层隔离Isolated类型虚拟机之间还能互相ping通端口组VLAN模式仍为普通VLAN没有切换成Private VLAN修改端口组VLAN类型绑定对应次级Isolated VLANPVLAN虚拟机无法访问网关主VLAN配置错误网关端口没有配置Promiscuous模式核对Primary VLAN网关侧端口设置为Promiscuous无法删除PVLAN配置还有端口组正在引用该PVLAN次级ID修改端口组解除PVLAN绑定之后再删除DVS的PVLAN定义五、运维高频误区1.误区直接在端口组上面就能创建PVLAN纠正PVLAN必须先在DVS交换机全局定义Primary、次级VLAN和类型端口组只是做引用绑定。2.误区配置DVS PVLAN之后跨主机自动隔离纠正DVS仅完成单主机内部隔离跨ESXi主机需要上游物理交换机同步支持PVLAN。3.误区Isolated VLAN下虚拟机完全不能访问任何设备纠正Isolated只是隔离同次级VLAN内的其他虚拟机依然可以和Promiscuous网关通信访问外部网络。4.误区Primary主VLAN直接分配给虚拟机端口组使用纠正虚拟机端口组使用的是次级Isolated/Community VLAN主VLAN留给Promiscuous网关。六、生产环境部署规范规划PVLAN时提前整理VLAN ID记录主VLAN、各个次级VLAN以及对应的类型Isolated/Community优先在DVS全局完成全部PVLAN定义之后再配置端口组进行引用多主机虚拟化环境确认上游物理交换机支持PVLAN同步完成物理侧配置保证跨主机隔离效果上线前做连通性测试同Isolated虚拟机互ping、Community组内互ping、跨次级VLAN互ping、访问网关验证全部符合预期删除PVLAN配置前先修改端口组解除PVLAN绑定避免配置残留报错不要把普通虚拟机端口直接放在Primary主VLAN主VLAN用于Promiscuous网关端口七、全文总结DVS配置Private VLAN分为两大步骤第一步在DVS交换机设置中定义Primary主VLAN添加次级VLAN并指定类型为Community或者Isolated第二步在分布式端口组中将VLAN模式选为Private VLAN引用已经定义好的次级VLAN。 单台ESXi内部隔离由DVS完成跨主机场景必须上游物理交换机同样支持PVLAN否则二层隔离失效。上线前务必做连通性验证区分Isolated隔离、Community团体两种模式的使用场景。