用VLAN中。
（6）给isolated（被隔离）VLAN和community（群体）VLAN映射混杂（promiscuous）端口
COS交换机
set pvlan mapping primary_number secondary_number mod/port
IOS交换机
（global） interface type mod/port
（interface） switchport
（interface） switchport mode private-vlan promiscuous
（interface） switchport mode private-vlan mapping primary_number secondary_number
在把端口划给次VLAN之后，为了能访问到isolated（被隔离）VLAN或者community（群体）VLAN之外，必须将VLAN映射到一个混杂（promiscuous）端口。
（7）给isolated（被隔离）VLAN和community（群体）VLAN映射MSFC接口（可选）
COS交换机
COS set pvlan mapping primary_number secondary_number 15/1 session 15
（privileged）config t
（global）interface vlan primary_number
（interface）ip address address mask
IOS交换机
（global） interface primary_number
（interface） ip address address mask
（interface） private-vlan mapping primary_number secondary_number
如果您的交换机有一块MSFC，那么可以将私用VLAN映射到MSFC。对于运行COS的交换机来说，要把VLAN映射到端口15/1（对于在于2槽的MSFC来说是16/1），然后将VLAN接口上的IP地址配置为主VLAN的number。对于IOS交换机来说，要找到primary_number的VLAN接口，然后把主次VLAN是映射到那个端口。
提示：你可以配置私用边缘VLAN。3500XL交换机使用受保护端口（protected port）的概念来控制交换机上的流量。3500XL上受保护端口不会向同一交换机上的另一个受保护端口转发流量。这样做和isolated（被隔离）VLAN类似，因为受保护的端口彼此不能通信。使用下面的命令配置受保护的端口。要配置一个私用边缘VLAN，可以选定接口，键入命令port protected。为了核实该端口已经处于受保护的模式，可以使用命令show port protected。
（8）核实PVLAN的运行
在配置私用VLAN之后，可以使用下面的命令来核实它的运行：
COS交换机
show pvlan number
show pvlan mapping
show pvlan capability mod/port
IOS交换机
show vlan private-vlan [type]
show interface private-vlan mapping
show interface type mod/port switchport
解决：PVLAN配置案例
这是一所外国语大学的网络拓扑图，由于考虑到安全的原因，我们只分隔出本案例中需要说明的部分。
在这个案例中，需要交换机Sw-access1的端口1和2配置成了受保护的端口，它们都在VLAN 10里，Sw-core1上的VLAN 10服务器（VLAN10 Server）也在VLAN 10里。这就让PC只能连接到这台服务器，而不会连接到其它服务器。在汇集交换机上还创建了私用VLAN 90，它包括一次community VLAN 901和一个isolated VLAN 900，端口3/46的服务器2和端口3/48服务器3都在community VLAN 901内，而连接到端口3/1和3/2的服务器在isolated VLAN 900内。使10.10.90.5和10.10.90.6之间不能通讯，10.10.90.7和10.10.90.8能够互相通讯，但这四台主机都可以和10.10.90.2通讯。所有这些设备都被映射到连接在端口1/2上的路由器。
1．核心交换机Sw-core1的设置清单
Sw-core1#vlan database
Sw-core1（vlan）#vtp transparent
Sw-core1（vlan）#exit
Sw-core1#conf t
Sw-core1（config）#vlan 90
Sw-core1（config-vlan）#private-vlan primary
Sw-core1（config-vlan）#vlan 900
Sw-core1（config-vlan）#private-vlan isolated
Sw-core1（config-vlan）#vlan 901
Sw-core1（config-vlan）#private-vlan community
Sw-core1（config-vlan）#vlan 90
Sw-core1（config-vlan）#private-vlan association 900,901
Sw-core1（config-vlan）#interface range fastethernet 3/1 – 2
Sw-core1（config-if）#switchport mode private-vlan host
Sw-core1（config-if）#switchport mode private-vlan host-association 90 900
Sw-core1（config-if）#no shut
Sw-core1（config-if）#interface range fastethernet 3/46 , 3/48
Sw-core1（config-if）#switchport
Sw-core1（config-if）#switchport mode private-vlan host
Sw-core1（config-if）#switchport mode private-vlan host-association 90 901
Sw-core1（config-if）#no shut
Sw-core1（config-if）#interface gigabitethernet 1/2
Sw-core1（config-if）#switchport
Sw-core1（config-if）#switchport mode private-vlan promiscuous
Sw-core1（config-if）#switchport mode private-vlan mapping 90 900,901
Sw-core1（config-if）#no shut
Sw-core1（config-if）#interface vlan 90
Sw-core1（config-if）#ip address 10.10.90.1 255.255.255.0
Sw-core1（config-if）#private-vlan mapping 90 900,901
Sw-core1（config-if）#no shut
Sw-core1（config-if）#end
Sw-core1#copy running-config startup-config
（2）负责宿舍里面接入的交换机配置清单
Sw-access1# configure terminal
Sw-access1（config）#interface fastethernet 0/1
Sw-access1（config-if）#switchport access vlan 10
Sw-access1（config-if）#port protected
Sw-access1（config-if）#interface fastethernet 0/1
Sw-access1（config-if）#switchport access vlan 10
Sw-access1（config-if）#port protected
Sw-access1（config-if）#interface gigabitethernet 0/1
Sw-access1（config-if）#switchport mode trunk
Sw-access1（config-if）#switchport trunk encapsulation dot1q
Sw-access1（config-if）#end
Sw-access1# copy running-config startup-config
