День добрый!
Хочется сделать изоляцию пользовательского трафика, идущего в одном ВЛАНе. Таким образом, чтобы обмен трафика между пользователями был запрещен, но разрешен обмен с роутером. Теоретически такое было бы сделать возможно с помощью PVLAN, но тут несколько моментов.
Во-первых сеть разнородная. В ядре 6509, далее dlink 3120. На доступе 1210.
Во-вторых порты идущие от коммутаторов предполагаются транковые и там кроме VLAN100 много других VLAN (на схеме как пример VLAN200). Как я понимаю 6509 не поддерживает функцию PVLAN внтури транкового интерфейса (в отличии от 4500).
Еще есть вариант использовать switchport protected, но опять же он не подходит ввиду наличия других VLAN, прохождение которых должно быть разрешено.
Трансляция VLAN тоже не подходит, ввиду того, что применяется на группу портов.
Сейчас пока этот вопрос решается с помощью ACL на портах DGS3120. 3120, в отличии от 6509, может вешать acl на egress трафике. ACL только на ingress тут не обойдешься, потому что есть широковещательные запросы, и их надо пропускать в центр. Но хочется уйти от схемы с коммутаторами 3120 и ACL.
Есть еще вариант вешать отдельные пользовательские ВЛАН на каждую группу коммутаторов, подключаемых к порту 6509, но в этом варианте мы усложняем обслужвиание сети. Сейчас, чтобы поставить/заменить коммутатор заливается типовой конфиг и ставится на место. Это может сделать даже техник.
Какие варианты еще есть? Или может из вышеописанных можно что-то как-то использовать и я чего не доглядел?
