Подключение роутера в асимметричный VLAN с доступом только к серверу

По этой ссылке была схема подключения с симметричным VLAN. Какое отличие при подключении с асимметричным?

Основное различие между базовым стандартом 802.1q VLAN или симметричными VLAN и асимметричными VLAN заключается в том, как выполняется отображение адресов.

Симметричные VLAN используют отдельные адресные таблицы, и таким образом не существует пересечения адресов между VLAN-ами. Асимметричные VLAN могут использовать одну, общую таблицу адресов. Асимметричные VLAN по умолчанию отключены. На использование асимметричных VLAN существуют следующие ограничения:

- Каждый порт в схеме асимметричного VLAN должен быть немаркированным (untagged). 

- IGMP Snooping не поддерживаются.

При активизации асимметричных VLAN, уникальный PVID (Port VLAN Identifier) назначается всем портам схемы, определяющий принадлежность порта к конкретной виртуальной сети внутри коммутатора (по умолчанию все порты коммутатора имеют одинаковый идентификатор PVID=1). Кадр типа untagged преобразуется к типу tagged, для чего дополняется меткой PVID, таким образом уходящий в tagged - порт трафик будет маркироваться номером который мы задаем в PVID.  У каждого порта может быть только один PVID, но в то же время этот порт может принадлежать нескольким VLAN (таким образом расшаривается общий ресурс для разных VLAN).

Возвращаемся к нашей задаче.


Дано: управляемый свич 2-го уровня D-Link (свич придуман для примера на 21 порт), роутер D-Link DSR-1000, сервер Ubuntu с одной сетевой картой.
Нужно: через удаленный доступ, организованный роутером D-Link, попадать только на сервер Ubuntu (остальная сеть не доступна), при этом из локальной сети сервер должен оставаться доступным.
Решение с асимметричным VLAN без дополнительного сетевого интерфейса: В асимметричном VLAN PVID=1 по-умолчанию для всех интерфейсов.
Схема для D-Link взята отсюда.
Порты 1-19 - LAN,   20 - router 192.168.0.5,   21 - server 192.168.0.10
Таким образом у нас адресация локальной сети

Ports	1-19	20	21
PVID	1	2	1
VLAN 1	U		U
VLAN 2		U	U

На свиче производим настройку.
enable asymmetric_vlan
# default vlan is created by default
create vlan v2 tag 2
config vlan default delete 20
config vlan v2 add untagged 1-19,21
config gvrp 1-19,21 pvid 1
config gvrp 20 pvid 2
save

Но изначально задача ставилась для свича HP, а для него подобной схемы не нашел. То есть gvrp есть, но по такой схеме как для D-Link не работает. Как задать PVID я не нашел.

Но для HP Procurve 2530 есть другие способы разделить порты. А именно:
1) ссылка
[no] protected-ports <port-list>
Prevents the selected ports from communicating with each other. You must configure two or more ports.

no protected-ports all
Clears the protection from all ports; all ports can now communicate with each other.

2)

filter source-port
Я использовал этот вариант.

# show filter source-port
Traffic/Security Filters
 Filter Name            | Port List              | Action
 ----------------------- + -------------------- + --------------------------
 no-incoming-web |    20                     | drop 1-19,22-48        

Как я для себя расшифровываю эту таблицу. В фильтре no-incoming-web все что уходит с портов из списка Port Lists дропается на портах из списка Action. Отсюда в таблице видно что все что уходит с порта к которому подключен роутер дропается по всей сети кроме сервера 21 порт. Проверяем, с 21 порта роутер пингуется, с других портов нет. Устанавливается так:

HP-2530-48G(config)# filter source-port named-filter no-incoming-web drop 1-19,22-48

HP-2530-48G(config)# filter source-port 20 named-filter no-incoming-web

HP-2530-48G(config)# write memory

Удаляется как обычно через no