- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
05-端口隔离配置
本章节下载： 05-端口隔离配置 (209.11 KB)
目 录
· 设备支持两种运行模式：独立运行模式和IRF模式，缺省情况为独立运行模式。端口隔离功能仅适用于处于独立运行模式、或处于IRF模式但没有配置IRF增强功能的设备。有关IRF模式的介绍，请参见“IRF配置指导”中的“IRF”。
· 端口隔离功能和基于MAC的VLAN功能不能同时使用。有关基于MAC的VLAN功能的介绍，请参见“二层技术-以太网交换配置指导”中的“VLAN”。
为了实现报文之间的二层隔离，可以将不同的端口加入不同的VLAN，但会浪费有限的VLAN资源。采用端口隔离特性，可以在无关VLAN的情况下实现端口之间的二层隔离（例如，实现同一VLAN内端口之间的隔离）。用户只需要将同一台设备或同一个IRF的成员设备的端口加入到隔离组中，就可以实现隔离组内端口之间二层流量的隔离。端口隔离功能为用户提供了更安全、更灵活的组网方案。
端口隔离特性与端口所属的VLAN无关。对于隔离组内的端口，不论属于何种VLAN，端口之间的二层流量都互相隔离。对于隔离组外的端口，如果与隔离组内的端口属于同一VLAN，则它们的二层流量双向互通。
· 目前隔离组中的端口，除了支持MAC地址学习、部分应用在此端口上入方向的策略所对应的流行为（accounting、filter deny、car cir committed-information-rate red discard、流镜像等）、聚合功能外，其它功能均不支持。
· 建议您不要在隔离组的端口上配置二三层协议（例如GVRP等二层协议；组播、路由等三层协议），否则可能导致网络功能不正常。
在隔离组中，还可以配置非隔离VLAN，从而允许隔离组内的端口对某个指定VLAN的数据可以二层互通，增加了组网的灵活性。
如图1-1所示，Switch B和Switch C都通过Switch A与公共服务器群互通；Switch A通过GE3/0/2和GE3/0/3连接Switch B和Switch C，且这两个端口同时属于VLAN 2、VLAN 3。将GE3/0/2和GE3/0/3加入隔离组1（port-isolate group 1）后，缺省情况下Switch B与Switch C之间不能二层互通（因此，属于同一VLAN的Host A和Host C之间、Host B和Host D之间也不能互通）。如果配置该隔离组中的VLAN 3为非隔离VLAN，则属于VLAN 3的Host B和Host D之间可以二层互通。
表1-1 端口隔离配置任务简介
|
配置任务 |
说明 |
详细配置 |
|
将端口加入隔离组 |
必选 |
|
|
配置非隔离VLAN |
可选 |
隔离组内可以加入的端口数量没有限制。
表1-2 将端口加入隔离组
|
操作 |
命令 |
说明 |
|
|
进入系统视图 |
system-view |
- |
|
|
创建隔离组，并进入隔离组视图 |
port-isolate group group-number |
必选 如果该隔离组已经存在，则直接进入该隔离组视图 |
|
|
退出隔离组视图 |
quit |
- |
|
|
进入相应视图 |
进入以太网接口视图 |
interface interface-type interface-number |
三者必选其一 |
|
进入端口组视图 |
port-group manual port-group-name |
||
|
进入二层聚合接口视图 |
interface bridge-aggregation interface-number |
||
|
将指定端口加入到隔离组中 |
port-isolate enable group group-number |
必选 缺省情况下，隔离组中没有加入任何端口 |
|
本配置仅适用于运行模式为独立运行模式、或处于IRF模式但没有配置IRF增强功能的设备。
表1-3 配置非隔离VLAN
|
操作 |
命令 |
说明 |
|
进入系统视图 |
system-view |
- |
|
创建隔离组，并进入隔离组视图 |
port-isolate group group-number |
必选 如果该隔离组已经存在，则直接进入该隔离组视图 |
|
配置非隔离VLAN |
community-vlan vlan { vlan-id-list | all } |
必选 缺省情况下，隔离组下未配置非隔离VLAN |
在完成上述配置后，在任意视图下执行display命令可以显示配置后端口隔离的相关信息，通过查看显示信息验证配置的效果。
表1-4 端口隔离显示和维护
|
操作 |
命令 |
|
显示端口隔离的信息 |
display port-isolate group [ group-number ] [ | { begin | exclude | include } regular-expression ] |
缺省情况下，以太网接口、VLAN接口及聚合接口处于DOWN状态。如果要对这些接口进行配置，请先使用undo shutdown命令使接口状态处于UP。
· 交换机通过GigabitEthernet4/0/1端口可以正常访问外部网络。
· 端口GigabitEthernet4/0/1～GigabitEthernet4/0/4属于VLAN 2；要求实现小区用户Host A、Host B和Host C彼此之间二层报文不能互通，但可以和外部网络通信。
图1-2 配置端口隔离
# 创建VLAN，将端口加入到此VLAN中。
<Switch> system-view
[Switch] vlan 2
[Switch-vlan2] port GigabitEthernet 4/0/1 to GigabitEthernet 4/0/4
[Switch-vlan2] quit
# 创建隔离组2。
[Switch] port-isolate group 2
# 将端口GigabitEthernet4/0/2～GigabitEthernet4/0/4加入隔离组2。
[Switch] interface GigabitEthernet 4/0/2
[Switch-GigabitEthernet4/0/2] port-isolate enable group 2
[Switch-GigabitEthernet4/0/2] quit
[Switch] interface GigabitEthernet 4/0/3
[Switch-GigabitEthernet4/0/3] port-isolate enable group 2
[Switch-GigabitEthernet4/0/3] quit
[Switch] interface GigabitEthernet 4/0/4
[Switch-GigabitEthernet4/0/4] port-isolate enable group 2
[Switch-GigabitEthernet4/0/4] quit
# 显示隔离组2中的信息。
[Switch] display port-isolate group 2
Port-isolate group information:
Uplink port support: NO
Group ID: 2
Group members:
GigabitEthernet4/0/2 GigabitEthernet4/0/3 GigabitEthernet4/0/4
· Switch A通过GigabitEthernet3/0/1端口可以正常访问外部网络。
· Site 1和Site 2是某公司的两个分支机构，都在VLAN 2和VLAN 3上承载业务，分别使用Switch B和Switch C接入Switch A。
· 公司希望这两个站点都可以通过Switch A和外部网络通信；另外，除了用于视频会议的VLAN 3的业务可以互通外（即VLAN 3的报文在Host B和Host D之间可以互通），Switch B和Switch C之间的其他二层流量都互相隔离。
图1-3 配置端口隔离和非隔离VLAN
(1) 配置Switch A
# 在Switch A上创建VLAN 2和VLAN 3，将端口GigabitEthernet3/0/2和GigabitEthernet3/0/3的链路类型配置为Trunk，并允许VLAN 2和VLAN 3的报文通过。
<SwitchA> system-view
[SwitchA] vlan 2 to 3
[SwitchA] interface GigabitEthernet 3/0/2
[SwitchA-GigabitEthernet3/0/2] port link-type trunk
[SwitchA-GigabitEthernet3/0/2] port trunk permit vlan 2 3
[SwitchA-GigabitEthernet3/0/2] quit
[SwitchA] interface GigabitEthernet 3/0/3
[SwitchA-GigabitEthernet3/0/3] port link-type trunk
[SwitchA-GigabitEthernet3/0/3] port trunk permit vlan 2 3
[SwitchA-GigabitEthernet3/0/3] quit
# 创建隔离组1。
[SwitchA] port-isolate group 1
[SwitchA-port-isolate-group1] quit
# 将连接Switch B和Switch C的端口GigabitEthernet3/0/2和GigabitEthernet3/0/3加入隔离组1。
[SwitchA] interface GigabitEthernet 3/0/2
[SwitchA-GigabitEthernet3/0/2] port-isolate enable group 1
[SwitchA-GigabitEthernet3/0/2] quit
[SwitchA] interface GigabitEthernet 3/0/3
[SwitchA-GigabitEthernet3/0/3] port-isolate enable group 1
[SwitchA-GigabitEthernet3/0/3] quit
# 配置隔离组1中的VLAN 3为非隔离VLAN。
[SwitchA] port-isolate group 1
[SwitchA-port-isolate-group1] community-vlan vlan 3
[SwitchA-port-isolate-group1] quit
(2) 配置Switch B
# 在Switch B上创建VLAN 2和VLAN 3，并将GigabitEthernet2/0/2端口加入VLAN 2， GigabitEthernet2/0/3端口加入VLAN 3。
<SwitchB> system-view
[SwitchB] vlan 2
[SwitchB-vlan2] port GigabitEthernet 2/0/2
[SwitchB-vlan2] vlan 3
[SwitchB-vlan3] port GigabitEthernet 2/0/3
[SwitchB-vlan3] quit
# 设置GigabitEthernet2/0/1端口的链路类型为Trunk，并允许VLAN 2和VLAN 3的报文通过。
[SwitchB] interface GigabitEthernet 2/0/1
[SwitchB-GigabitEthernet2/0/1] port link-type trunk
[SwitchB-GigabitEthernet2/0/1] port trunk permit vlan 2 3
(3) Switch C上的配置与Switch B完全一样。
# 在Switch A上显示隔离组1中的信息。
[SwitchA] display port-isolate group 1
Port-isolate group information:
Uplink port support: NO
Group ID: 1
Group members:
GigabitEthernet3/0/2 GigabitEthernet3/0/3
以上信息显示端口GigabitEthernet3/0/2和GigabitEthernet3/0/3已经被加入隔离组1。
# 显示隔离组1中的配置信息。
[SwitchA] port-isolate group 1
[SwitchA -port-isolate-group1] display this
#
port-isolate group 1
community-vlan vlan 3
#
return
以上信息显示Switch A中已建立隔离组1，并配置了隔离组1中的VLAN 3为非隔离VLAN。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
售前咨询
售后咨询
人工在线咨询
