选择区域语言: EN CN HK

04-二层技术-以太网交换配置指导

05-端口隔离配置

本章节下载  (209.11 KB)

docurl=/cn/Service/Document_Software/Document_Center/Switches/Catalog/S12500/S12500/Configure/Operation_Manual/H3C_S12500_CG-R1828P04-6W182/04/201407/834566_30005_0.htm

05-端口隔离配置


1 端口隔离

说明

·     设备支持两种运行模式:独立运行模式和IRF模式,缺省情况为独立运行模式。端口隔离功能仅适用于处于独立运行模式、或处于IRF模式但没有配置IRF增强功能的设备。有关IRF模式的介绍,请参见“IRF配置指导”中的“IRF”。

·     端口隔离功能和基于MAC的VLAN功能不能同时使用。有关基于MAC的VLAN功能的介绍,请参见“二层技术-以太网交换配置指导”中的“VLAN”。

 

1.1  端口隔离简介

1.1.1  端口隔离

为了实现报文之间的二层隔离,可以将不同的端口加入不同的VLAN,但会浪费有限的VLAN资源。采用端口隔离特性,可以在无关VLAN的情况下实现端口之间的二层隔离(例如,实现同一VLAN内端口之间的隔离)。用户只需要将同一台设备或同一个IRF的成员设备的端口加入到隔离组中,就可以实现隔离组内端口之间二层流量的隔离。端口隔离功能为用户提供了更安全、更灵活的组网方案。

端口隔离特性与端口所属的VLAN无关。对于隔离组内的端口,不论属于何种VLAN,端口之间的二层流量都互相隔离。对于隔离组外的端口,如果与隔离组内的端口属于同一VLAN,则它们的二层流量双向互通。

说明

·     目前隔离组中的端口,除了支持MAC地址学习、部分应用在此端口上入方向的策略所对应的流行为(accountingfilter denycar cir committed-information-rate red discard、流镜像等)、聚合功能外,其它功能均不支持。

·     建议您不要在隔离组的端口上配置二三层协议(例如GVRP等二层协议;组播、路由等三层协议),否则可能导致网络功能不正常。

 

1.1.2  非隔离VLAN

在隔离组中,还可以配置非隔离VLAN,从而允许隔离组内的端口对某个指定VLAN的数据可以二层互通,增加了组网的灵活性。

图1-1所示,Switch B和Switch C都通过Switch A与公共服务器群互通;Switch A通过GE3/0/2和GE3/0/3连接Switch B和Switch C,且这两个端口同时属于VLAN 2、VLAN 3。将GE3/0/2和GE3/0/3加入隔离组1(port-isolate group 1)后,缺省情况下Switch B与Switch C之间不能二层互通(因此,属于同一VLAN的Host A和Host C之间、Host B和Host D之间也不能互通)。如果配置该隔离组中的VLAN 3为非隔离VLAN,则属于VLAN 3的Host B和Host D之间可以二层互通。

图1-1 在隔离组中配置非隔离VLAN

 

1.2  端口隔离配置任务简介

表1-1 端口隔离配置任务简介

配置任务

说明

详细配置

将端口加入隔离组

必选

1.3 

配置非隔离VLAN

可选

1.4 

 

1.3  将端口加入隔离组

说明

隔离组内可以加入的端口数量没有限制。

 

表1-2 将端口加入隔离组

操作

命令

说明

进入系统视图

system-view

-

创建隔离组,并进入隔离组视图

port-isolate group group-number

必选

如果该隔离组已经存在,则直接进入该隔离组视图

退出隔离组视图

quit

-

进入相应视图

进入以太网接口视图

interface interface-type interface-number

三者必选其一

进入端口组视图

port-group manual port-group-name

进入二层聚合接口视图

interface bridge-aggregation interface-number

将指定端口加入到隔离组中

port-isolate enable group group-number

必选

缺省情况下,隔离组中没有加入任何端口

 

1.4  配置非隔离VLAN

说明

本配置仅适用于运行模式为独立运行模式、或处于IRF模式但没有配置IRF增强功能的设备。

 

表1-3 配置非隔离VLAN

操作

命令

说明

进入系统视图

system-view

-

创建隔离组,并进入隔离组视图

port-isolate group group-number

必选

如果该隔离组已经存在,则直接进入该隔离组视图

配置非隔离VLAN

community-vlan vlan { vlan-id-list | all }

必选

缺省情况下,隔离组下未配置非隔离VLAN

 

1.5  端口隔离显示和维护

在完成上述配置后,在任意视图下执行display命令可以显示配置后端口隔离的相关信息,通过查看显示信息验证配置的效果。

表1-4 端口隔离显示和维护

操作

命令

显示端口隔离的信息

display port-isolate group [ group-number ] [ | { begin | exclude | include } regular-expression ]

 

1.6  端口隔离典型配置举例

说明

缺省情况下,以太网接口、VLAN接口及聚合接口处于DOWN状态。如果要对这些接口进行配置,请先使用undo shutdown命令使接口状态处于UP。

 

1.6.1  端口隔离的典型配置举例

1. 组网需求

·     交换机通过GigabitEthernet4/0/1端口可以正常访问外部网络。

·     端口GigabitEthernet4/0/1~GigabitEthernet4/0/4属于VLAN 2;要求实现小区用户Host A、Host B和Host C彼此之间二层报文不能互通,但可以和外部网络通信。

2. 组网图

图1-2 配置端口隔离

 

3. 配置步骤

# 创建VLAN,将端口加入到此VLAN中。

<Switch> system-view

[Switch] vlan 2

[Switch-vlan2] port GigabitEthernet 4/0/1 to GigabitEthernet 4/0/4

[Switch-vlan2] quit

# 创建隔离组2。

[Switch] port-isolate group 2

# 将端口GigabitEthernet4/0/2~GigabitEthernet4/0/4加入隔离组2。

[Switch] interface GigabitEthernet 4/0/2

[Switch-GigabitEthernet4/0/2] port-isolate enable group 2

[Switch-GigabitEthernet4/0/2] quit

[Switch] interface GigabitEthernet 4/0/3

[Switch-GigabitEthernet4/0/3] port-isolate enable group 2

[Switch-GigabitEthernet4/0/3] quit

[Switch] interface GigabitEthernet 4/0/4

[Switch-GigabitEthernet4/0/4] port-isolate enable group 2

[Switch-GigabitEthernet4/0/4] quit

4. 检验配置效果

# 显示隔离组2中的信息。

[Switch] display port-isolate group 2

Port-isolate group information:

Uplink port support: NO

Group ID: 2

Group members:

   GigabitEthernet4/0/2     GigabitEthernet4/0/3     GigabitEthernet4/0/4

1.6.2  非隔离VLAN的典型配置举例

1. 组网需求

·     Switch A通过GigabitEthernet3/0/1端口可以正常访问外部网络。

·     Site 1和Site 2是某公司的两个分支机构,都在VLAN 2和VLAN 3上承载业务,分别使用Switch B和Switch C接入Switch A。

·     公司希望这两个站点都可以通过Switch A和外部网络通信;另外,除了用于视频会议的VLAN 3的业务可以互通外(即VLAN 3的报文在Host B和Host D之间可以互通),Switch B和Switch C之间的其他二层流量都互相隔离。

2. 组网图

图1-3 配置端口隔离和非隔离VLAN

 

3. 配置步骤

(1)     配置Switch A

# 在Switch A上创建VLAN 2和VLAN 3,将端口GigabitEthernet3/0/2和GigabitEthernet3/0/3的链路类型配置为Trunk,并允许VLAN 2和VLAN 3的报文通过。

<SwitchA> system-view

[SwitchA] vlan 2 to 3

[SwitchA] interface GigabitEthernet 3/0/2

[SwitchA-GigabitEthernet3/0/2] port link-type trunk

[SwitchA-GigabitEthernet3/0/2] port trunk permit vlan 2 3

[SwitchA-GigabitEthernet3/0/2] quit

[SwitchA] interface GigabitEthernet 3/0/3

[SwitchA-GigabitEthernet3/0/3] port link-type trunk

[SwitchA-GigabitEthernet3/0/3] port trunk permit vlan 2 3

[SwitchA-GigabitEthernet3/0/3] quit

# 创建隔离组1。

[SwitchA] port-isolate group 1

[SwitchA-port-isolate-group1] quit

# 将连接Switch B和Switch C的端口GigabitEthernet3/0/2和GigabitEthernet3/0/3加入隔离组1。

[SwitchA] interface GigabitEthernet 3/0/2

[SwitchA-GigabitEthernet3/0/2] port-isolate enable group 1

[SwitchA-GigabitEthernet3/0/2] quit

[SwitchA] interface GigabitEthernet 3/0/3

[SwitchA-GigabitEthernet3/0/3] port-isolate enable group 1

[SwitchA-GigabitEthernet3/0/3] quit

# 配置隔离组1中的VLAN 3为非隔离VLAN。

[SwitchA] port-isolate group 1

[SwitchA-port-isolate-group1] community-vlan vlan 3

[SwitchA-port-isolate-group1] quit

(2)     配置Switch B

# 在Switch B上创建VLAN 2和VLAN 3,并将GigabitEthernet2/0/2端口加入VLAN 2, GigabitEthernet2/0/3端口加入VLAN 3。

<SwitchB> system-view

[SwitchB] vlan 2

[SwitchB-vlan2] port GigabitEthernet 2/0/2

[SwitchB-vlan2] vlan 3

[SwitchB-vlan3] port GigabitEthernet 2/0/3

[SwitchB-vlan3] quit

# 设置GigabitEthernet2/0/1端口的链路类型为Trunk,并允许VLAN 2和VLAN 3的报文通过。

[SwitchB] interface GigabitEthernet 2/0/1

[SwitchB-GigabitEthernet2/0/1] port link-type trunk

[SwitchB-GigabitEthernet2/0/1] port trunk permit vlan 2 3

(3)     Switch C上的配置与Switch B完全一样。

4. 检验配置效果

# 在Switch A上显示隔离组1中的信息。

[SwitchA] display port-isolate group 1

Port-isolate group information:

 Uplink port support: NO

 Group ID: 1

Group members:

   GigabitEthernet3/0/2     GigabitEthernet3/0/3

以上信息显示端口GigabitEthernet3/0/2和GigabitEthernet3/0/3已经被加入隔离组1。

# 显示隔离组1中的配置信息。

[SwitchA] port-isolate group 1

[SwitchA -port-isolate-group1] display this

#

port-isolate group 1

 community-vlan vlan 3

#

return

以上信息显示Switch A中已建立隔离组1,并配置了隔离组1中的VLAN 3为非隔离VLAN。

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!