- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
03-端口隔离配置
本章节下载： 03-端口隔离配置 (173.08 KB)
本文中的 “普通型接口板”指的是单板丝印为“CR-SPC-XP8LEF-I/ CR-SPC-XP4LEF-I/ CR-SPC-GP48LEF/ CR-SPC-GT48LEF”的单板。
为了实现报文之间的二层隔离，可以将不同的端口加入不同的VLAN，但会浪费有限的VLAN资源。
采用端口隔离特性，可以实现同一VLAN内端口之间的隔离。用户只需要将端口加入到隔离组中，就可以实现隔离组内端口之间二层数据的隔离。端口隔离功能为用户提供了更安全、更灵活的组网方案。
为了使隔离组内端口与隔离组外二层互通，用户必须为隔离组配置上行口。
目前，隔离组内可以加入的端口数量没有限制。
· 聚合组的成员端口不允许配置成为上行端口。反之，已经配置为上行端口的接口不能加入聚合组。特殊情况下（为了兼容旧的配置文件），如果用户同时配置端口为聚合组的成员端口和隔离组的上行端口，则只有聚合组配置生效，隔离组将被删除。聚合相关内容请参见“二层技术-以太网交换配置指导”中的“以太网链路聚合”。
· 目前隔离组中的普通端口，除了支持MAC地址学习、部分应用在此端口上入方向的策略所对应的流行为（accounting、filter deny、car cir committed-information-rate red discard、流镜像）、聚合功能外，其它功能均不支持。
· 建议您不要在隔离组的普通端口上配置二三层协议（例如GVRP等二层协议；组播、路由等三层协议）。否则可能造成数据转发的异常或者协议振荡。
对于属于不同VLAN的端口，只有同一个隔离组的普通端口到上行端口的二层报文可以单向通过，其它情况的端口二层数据是相互隔离的。对于属于同一VLAN的端口，隔离组内、外端口的二层数据互通的情况如图1-1所示。
图1-1 同一VLAN内隔离组内、外端口二层报文互通情况
图中箭头方向表示报文的发送方向。
仅普通型接口板的端口可以配置为隔离组中的普通端口。
表1-1 将端口加入隔离组
|
操作 |
命令 |
说明 |
|
|
进入系统视图 |
system-view |
- |
|
|
创建隔离组 |
port-isolate group group-number |
必选 |
|
|
进入以太网接口视图/端口组视图/二层聚合接口视图 |
进入二层以太网接口视图 |
interface interface-type interface-number |
三者必选其一 · 在二层以太网接口视图下执行该命令，则该配置只在当前端口生效 · 在端口组视图下执行该命令，则该配置在端口组中的所有端口生效 · 在二层聚合接口视图下执行该命令，则该配置将对二层聚合接口以及相应的所有成员端口生效。在配置过程中，如果某个成员端口配置失败，系统会自动跳过该成员端口继续配置其它成员端口；如果二层聚合接口配置失败，则不会再配置成员端口 |
|
进入端口组视图 |
port-group manual port-group-name |
||
|
进入二层聚合接口视图 |
interface bridge-aggregation interface-number |
||
|
将指定端口加入到隔离组中，并作为隔离组中的普通端口 |
port-isolate enable group group-number |
必选 缺省情况下，隔离组中没有加入任何端口 |
|
表1-2 配置隔离组的上行端口
|
操作 |
命令 |
说明 |
|
|
进入系统视图 |
system-view |
- |
|
|
进入以太网接口视图/二层聚合接口视图 |
进入二层以太网接口视图 |
interface interface-type interface-number |
二者必选其一 · 在二层以太网接口视图下执行该命令，则该配置只在当前端口生效 · 在二层聚合接口视图下执行该命令，只把该二层聚合接口设置为隔离组的上行端口，二层聚合接口对应的成员端口可以设置为隔离组的普通端口，但成员端口会处于Unselected状态，不能收发报文 |
|
进入二层聚合接口视图 |
interface bridge-aggregation interface-number |
||
|
将当前端口加入到隔离组中，并作为隔离组中的上行端口 |
port-isolate uplink-port group group-number |
必选 缺省情况下，隔离组中无上行端口 |
|
· 一个隔离组中只能有一个上行端口，在用户多次配置不同的端口为上行端口时，以最后一个配置为准。
· 如果端口已经被配置为某个隔离组的普通端口，则不能再配置为任何隔离组的上行端口，但是可以配置该端口为其它隔离组的普通端口，同时该端口会从之前的隔离组中删除。
· 如果端口已经被配置为某个隔离组的上行端口，则不能再配置为任何隔离组的普通端口和其它隔离组的上行端口。
· 聚合组的成员端口不允许配置成为上行端口。反之，已经配置为上行端口的接口不能加入聚合组。
在完成上述配置后，在任意视图下执行display命令可以显示配置后隔离组的相关信息，通过查看显示信息验证配置的效果。
表1-3 隔离组显示和维护
|
操作 |
命令 |
|
显示隔离组的信息 |
display port-isolate group [ group-number ] [ | { begin | exclude | include } regular-expression ] |
端口GigabitEthernet3/0/1、GigabitEthernet3/0/2、GigabitEthernet3/0/3和GigabitEthernet3/0/4属于同一VLAN。需要实现小区用户Host A、Host B和Host C彼此之间二层报文不能互通，但可以和外部网络通信。
图1-2 配置端口隔离组网图
# 创建隔离组2。
<Device> system-view
[Device] port-isolate group 2
# 将端口GigabitEthernet3/0/1、GigabitEthernet3/0/2、GigabitEthernet3/0/3加入隔离组2。
[Device] interface GigabitEthernet 3/0/1
[Device-GigabitEthernet3/0/1] port link-mode bridge
[Device-GigabitEthernet3/0/1] port-isolate enable group 2
[Device-GigabitEthernet3/0/1] quit
[Device] interface GigabitEthernet 3/0/2
[Device-GigabitEthernet3/0/2] port link-mode bridge
[Device-GigabitEthernet3/0/2] port-isolate enable group 2
[Device-GigabitEthernet3/0/2] quit
[Device] interface GigabitEthernet 3/0/3
[Device-GigabitEthernet3/0/3] port link-mode bridge
[Device-GigabitEthernet3/0/3] port-isolate enable group 2
[Device-GigabitEthernet3/0/3] quit
# 配置端口GigabitEthernet3/0/4为隔离组2的上行端口。
[Device] interface GigabitEthernet 3/0/4
[Device-GigabitEthernet3/0/4] port link-mode bridge
[Device-GigabitEthernet3/0/4] port-isolate uplink-port group 2
[Device-GigabitEthernet3/0/4] return
# 显示隔离组2中的信息。
<Device> display port-isolate group 2
Port-isolate group information:
Uplink port support: YES
Group ID: 2
Uplink port: GigabitEthernet3/0/4
Group members:
GigabitEthernet3/0/1 GigabitEthernet3/0/2 GigabitEthernet3/0/3
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
