PVLAN 基础概念
传统网络中，通过给每个客户划分一个VLAN，以实现防范黑客攻击，控制病毒传播等
但是这种做法有着一些局限性：
1、VLAN的限制：交换机固有的VLAN数量的限制2、复杂的STP：对于每个VLAN，每个相关的Spanning Tree的拓扑都需要管理3、IP地址的紧缺：IP子网划分势必造成一些IP地址的浪费4、路由的限制：每个子网都需要相应的默认网关配置
于是有了一种新的VLAN机制：（PVLAN）
所有客户端都在同一个子网中（VLAN），但服务器只能与自己的默认网关通信PVLAN技术优点· 节省VLAN及IP资源：PVLAN采用两层VLAN隔离技术，即上行Primary VLAN和下行Secondary VLAN。对上行设备而言只可见Primary VLAN，而不必关心Private VLAN中的Secondary VLAN，Primary VLAN下面的Secondary VLAN对上行设备不可见，从而大大节省了上行设备的VLAN资源。PVLAN支持L3域功能，对下行不同的Secondary VLAN，均可使用Primary VLAN接口作为网关，并且支持不同Secondary VLAN之间的三层互通，有效地节省了紧缺的IP资源。· 安全性：下行Secondary VLAN在配置为Isolated VLAN后，具备隔离功能，同一Secondary VLAN内各端口二层隔离，增强了安全性。· 高性能：PVLAN转发采用MAC地址同步技术，同时PVLAN L3域的广播报文在Primary VLAN内通信时由芯片完成发送，具有较高的转发性能
PVLAN 相关术语：
· Private VLAN：由一组VLAN集构成，包括1个Primary VLAN和其对应的Secondary VLAN。· Primary VLAN：上行设备感知的用户VLAN，它并不是用户的真正VLAN。· Secondary VLAN：用户真正属于的VLAN。Secondary VLAN有两种类型：Community VLAN和Isolated VLAN。同一Community VLAN内的下行端口（又称为Community port）可以互通，同一Isolated VLAN内的下行端口（又称为Isolated port）相互隔离。缺省情况下，Secondary VLAN为Community VLAN。· Host工作模式：工作在Host模式的端口用于与用户相连，负责和终端通信，属于下行端口。对于Host模式的端口，需确保其缺省VLAN为Secondary VLAN，否则该端口无法转发来自Primary VLAN的报文。· Trunk secondary工作模式：工作在Trunk secondary模式的端口用于和下行设备相连，属于下行端口。报文携带的Primary VLAN ID在端口出方向上会替换为对应Secondary VLAN ID，从而对于下行设备屏蔽了Primary VLAN。Trunk secondary模式的端口，对于同一个Primary VLAN只能加入一个Secondary VLAN，但可加入多个不同Primary VLAN对应的Secondary VLAN。Trunk secondary模式适用于需要多个Secondary VLAN通过下行端口的情况，该模式下多个Secondary VLAN携带Tag通过下行端口。而Host模式适用于只有一个Secondary VLAN通过下行端口的情况，该模式下Secondary VLAN不带Tag通过下行端口。· Promiscuous工作模式：工作在Promiscuous模式的端口用于和上行设备相连，负责和上行设备通信，属于上行端口。Promiscuous模式的端口，需确保其缺省VLAN为Primary VLAN，否则该端口无法转发来自Secondary VLAN的报文。Promiscuous适用于只有一个Primary VLAN通过上行端口的情况，该模式下Primary VLAN不带Tag通过上行端口。Trunk pomiscuous工作模式：工作在Trunk promiscuous模式的端口用于和上行设备相连，属于上行端口。报文携带的Secondary VLAN ID在端口出方向上会替换为对应Primary VLAN ID，从而对于上行设备屏蔽了Secondary VLAN。Trunk promiscuous模式适用于多个Primary VLAN携带Tag通过上行端口。· PVLAN L3域：通过在Primary VLAN接口上指定三层互通的Secondary VLAN，配置Primary VLAN接口的IP地址及开启本地代理ARP（Address Resolution Protocol，地址解析协议）/ND（Neighbor Discovery，邻居发现）功能可以建立PVLAN L3域。其中三层互通的Secondary VLAN被认为加入了该PVLAN L3域，这些Secondary VLAN共用Primary VLAN接口作为网关，大大节省了IP资源。