| 场景 | 多租户/多部门共享 VLAN 段的隔离设计 |
|---|---|
| 适用 | 华为 MUX VLAN / 思科 PVLAN |
华为 VRP
华为 VRP
[Huawei] vlan 100
[Huawei-vlan100] mux-vlan ! 主 VLAN
[Huawei-vlan100] subordinate separate 110 ! 隔离型从 VLAN（组内互不通）
[Huawei-vlan100] subordinate group 120 ! 互通型从 VLAN（组内互通）
[Huawei-GigabitEthernet0/0/5] port default vlan 110
[Huawei-GigabitEthernet0/0/5] port mux-vlan enable思科 IOS
思科 IOS
SW-CORE-01(config)# vlan 100
SW-CORE-01(config-vlan)# private-vlan primary
SW-CORE-01(config)# vlan 110
SW-CORE-01(config-vlan)# private-vlan isolated
SW-CORE-01(config-vlan)# vlan 120
SW-CORE-01(config-vlan)# private-vlan community
SW-CORE-01(config)# vlan 100
SW-CORE-01(config-vlan)# private-vlan association 110,120
SW-CORE-01(config-if)# switchport mode private-vlan host
SW-CORE-01(config-if)# switchport private-vlan host-association 100 110H3C Comware
H3C Comware
# H3C 无直接对应特性：使用端口隔离组实现近似效果
[H3C-GigabitEthernet1/0/5] port-isolate enable group 1
# 需要 promiscuous（主 VLAN 可通所有）语义时用 ACL + 网关策略组合模型对照：主 VLAN=promiscuous（跟所有从 VLAN 通）；isolated=完全隔离（只与主通）；community=组内互通、组间隔离。差异：思科从 VLAN 需关联到主 VLAN 且端口需 host 模式；H3C 用端口隔离近似。