主从 VLAN 精细隔离是什么
MUX VLAN（华为）与 Private VLAN（思科）解决同一类需求：在一个大二层域里做结构化隔离——一部分端口之间互通、一部分完全不通，但都要能访问网关。华为的模型是一个主 VLAN 加若干从 VLAN，从 VLAN 分隔离型（组内彼此不通）和互通型（组内互通）；思科对应 primary VLAN 与 isolated、community。H3C 没有同名特性，用端口隔离组近似实现。
基本信息
| 适用平台 | 华为 MUX VLAN、思科 PVLAN（H3C 用端口隔离近似） |
|---|---|
| 模型要素 | 一个主 VLAN + 若干从 VLAN + 端口角色 |
| 网关位置 | 必须放在主 VLAN 侧，否则租户整体不通 |
| 前置检查 | 确认设备型号支持该特性 |
| 典型规模 | 单台设备内生效，跨设备需分层设计 |
典型使用场景
- 多租户共享一个 IP 网段，需要租户之间彼此隔离
- 酒店、宿舍或园区无线接入，抑制终端之间互访
- 同部门内终端隔离，但都要访问统一服务器
- 运营商共享接入场景，一台设备承载多个用户
- 比端口隔离更细致、需要区分隔离与部分互通的场景
华为 VRP
华为 VRP
[Huawei] vlan 100
[Huawei-vlan100] mux-vlan # 主 VLAN
[Huawei-vlan100] subordinate separate 110 # 隔离型从 VLAN，组内互不通
[Huawei-vlan100] subordinate group 120 # 互通型从 VLAN，组内互通
[Huawei-GigabitEthernet0/0/5] port default vlan 110
[Huawei-GigabitEthernet0/0/5] port mux-vlan enable思科 IOS
思科 IOS
SW-CORE-01(config)# vlan 100
SW-CORE-01(config-vlan)# private-vlan primary
SW-CORE-01(config)# vlan 110
SW-CORE-01(config-vlan)# private-vlan isolated
SW-CORE-01(config)# vlan 120
SW-CORE-01(config-vlan)# private-vlan community
SW-CORE-01(config-vlan)# private-vlan association 110,120 # 关联到主 VLAN
SW-CORE-01(config-if)# switchport mode private-vlan host
SW-CORE-01(config-if)# switchport private-vlan host-association 100 110H3C Comware
H3C Comware
# H3C 无直接对应特性，用端口隔离组实现近似效果
[H3C-GigabitEthernet1/0/5] port-isolate enable group 1
# 需要主 VLAN 可通所有成员的语义时，用 ACL 配合网关策略组合模型角色对照
| 角色 | 华为 MUX VLAN | 思科 PVLAN | 互通范围 |
|---|---|---|---|
| 主 VLAN | mux-vlan | primary VLAN | 与所有从 VLAN 互通 |
| 隔离型从 VLAN | subordinate separate | isolated | 只与主 VLAN 通，彼此不通 |
| 互通型从 VLAN | subordinate group | community | 组内互通，组间与主 VLAN 隔离 |
| 端口角色 | port mux-vlan enable | host 或 promiscuous | 决定该端口采用哪种隔离行为 |
思科侧有两个前提最容易漏：从 VLAN 必须用 private-vlan association 关联到主 VLAN；成员端口必须显式切到 private-vlan host 模式（网关侧用 promiscuous），否则隔离行为不会生效。华为侧则要确认设备与版本支持 MUX VLAN，低端机型常常不支持。
网关必须放在主 VLAN 侧：网关 VLAN 配错会让整个租户段不通，且从现象上看不出和隔离特性的关系。设计阶段先把 VLAN 与端口角色的对应表写出来，再动手配置。