03-端口隔离配置
本章节下载: 03-端口隔离配置 (160.94 KB)
为了实现报文之间的二层隔离,可以将不同的端口加入不同的VLAN,但会浪费有限的VLAN资源。
采用端口隔离特性,可以实现同一VLAN内端口之间的隔离。用户只需要将端口加入到隔离组中,就可以实现隔离组内端口之间二层数据的隔离。端口隔离功能为用户提供了更安全、更灵活的组网方案。
为了使隔离组内端口与隔离组外二层互通,用户必须为隔离组配置上行口。
目前,隔离组内可以加入的端口数量没有限制。
· 聚合组的成员端口不允许配置成为上行端口。反之,已经配置为上行端口的接口不能加入聚合组。特殊情况下(为了兼容旧的配置文件),如果用户同时配置端口为聚合组的成员端口和隔离组的上行端口,则只有聚合组配置生效,隔离组将被删除。聚合相关内容请参见“二层技术-以太网交换配置指导”中的“以太网链路聚合”。
· 目前隔离组中的普通端口,除了支持MAC地址学习、部分应用在此端口上入方向的策略所对应的流行为(accounting、filter deny、car cir committed-information-rate red discard、流镜像)、聚合功能外,其它功能均不支持。
· 建议您不要在隔离组的普通端口上配置二三层协议(例如GVRP等二层协议;组播、路由等三层协议)。否则可能造成数据转发的异常或者协议振荡。
对于属于不同VLAN的端口,只有同一个隔离组的普通端口到上行端口的二层报文可以单向通过,其它情况的端口二层数据是相互隔离的。对于属于同一VLAN的端口,隔离组内、外端口的二层数据互通的情况如图1-1所示。
图1-1 同一VLAN内隔离组内、外端口二层报文互通情况
图中箭头方向表示报文的发送方向。
表1-1 将端口加入隔离组
操作 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
创建隔离组 |
port-isolate group group-number |
必选 |
|
进入以太网接口视图/端口组视图/二层聚合接口视图 |
进入二层以太网接口视图 |
interface interface-type interface-number |
三者必选其一 · 在二层以太网接口视图下执行该命令,则该配置只在当前端口生效 · 在端口组视图下执行该命令,则该配置在端口组中的所有端口生效 · 在二层聚合接口视图下执行该命令,则该配置将对二层聚合接口以及相应的所有成员端口生效。在配置过程中,如果某个成员端口配置失败,系统会自动跳过该成员端口继续配置其它成员端口;如果二层聚合接口配置失败,则不会再配置成员端口 |
进入端口组视图 |
port-group manual port-group-name |
||
进入二层聚合接口视图 |
interface bridge-aggregation interface-number |
||
将指定端口加入到隔离组中,并作为隔离组中的普通端口 |
port-isolate enable group group-number |
必选 缺省情况下,隔离组中没有加入任何端口 |
表1-2 配置隔离组的上行端口
操作 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
进入以太网接口视图/二层聚合接口视图 |
进入二层以太网接口视图 |
interface interface-type interface-number |
二者必选其一 · 在二层以太网接口视图下执行该命令,则该配置只在当前端口生效 · 在二层聚合接口视图下执行该命令,只把该二层聚合接口设置为隔离组的上行端口,二层聚合接口对应的成员端口可以设置为隔离组的普通端口,但成员端口会处于Unselected状态,不能收发报文 |
进入二层聚合接口视图 |
interface bridge-aggregation interface-number |
||
将当前端口加入到隔离组中,并作为隔离组中的上行端口 |
port-isolate uplink-port group group-number |
必选 缺省情况下,隔离组中无上行端口 |
· 一个隔离组中只能有一个上行端口,在用户多次配置不同的端口为上行端口时,以最后一个配置为准。
· 如果端口已经被配置为某个隔离组的普通端口,则不能再配置为任何隔离组的上行端口,但是可以配置该端口为其它隔离组的普通端口,同时该端口会从之前的隔离组中删除。
· 如果端口已经被配置为某个隔离组的上行端口,则不能再配置为任何隔离组的普通端口和其它隔离组的上行端口。
· 聚合组的成员端口不允许配置成为上行端口。反之,已经配置为上行端口的接口不能加入聚合组。
在完成上述配置后,在任意视图下执行display命令可以显示配置后隔离组的相关信息,通过查看显示信息验证配置的效果。
表1-3 隔离组显示和维护
操作 |
命令 |
显示隔离组的信息 |
display port-isolate group [ group-number ] [ | { begin | exclude | include } regular-expression ] |
端口GigabitEthernet3/1/1、GigabitEthernet3/1/2、GigabitEthernet3/1/3和GigabitEthernet3/1/4属于同一VLAN。需要实现小区用户Host A、Host B和Host C彼此之间二层报文不能互通,但可以和外部网络通信。
图1-2 配置端口隔离组网图
# 创建隔离组2。
<Device> system-view
[Device] port-isolate group 2
# 将端口GigabitEthernet3/1/1、GigabitEthernet3/1/2、GigabitEthernet3/1/3加入隔离组2。
[Device] interface GigabitEthernet 3/1/1
[Device-GigabitEthernet3/1/1] port-isolate enable group 2
[Device-GigabitEthernet3/1/1] quit
[Device] interface GigabitEthernet 3/1/2
[Device-GigabitEthernet3/1/2] port-isolate enable group 2
[Device-GigabitEthernet3/1/2] quit
[Device] interface GigabitEthernet 3/1/3
[Device-GigabitEthernet3/1/3] port-isolate enable group 2
[Device-GigabitEthernet3/1/3] quit
# 配置端口GigabitEthernet3/1/4为隔离组2的上行端口。
[Device] interface GigabitEthernet 3/1/4
[Device-GigabitEthernet3/1/4] port-isolate uplink-port group 2
[Device-GigabitEthernet3/1/4] return
# 显示隔离组2中的信息。
<Device> display port-isolate group 2
Port-isolate group information:
Uplink port support: YES
Group ID: 2
Uplink port: GigabitEthernet3/1/4
Group members:
GigabitEthernet3/1/1 GigabitEthernet3/1/2 GigabitEthernet3/1/3
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!