04-二层技术-以太网交换配置指导

03-端口隔离配置

1 端口隔离

· 设备支持两种运行模式：独立运行模式和IRF模式，缺省情况为独立运行模式。有关IRF模式的介绍，请参见“虚拟化技术配置指导”中的“IRF”。

· 当设备配置了IRF增强功能时，不支持端口隔离。有关IRF增强功能的介绍，请参见“虚拟化技术配置指导”中的“IRF”。

· 在IRF模式下，请不要同时配置隔离组和精简型二层聚合组，否则会导致报文转发异常。有关精简型二层聚合组的介绍，请参见“二层技术-以太网交换配置指导”中的“以太网链路聚合”。

1.1 端口隔离简介

为了实现端口间的二层隔离，可以将不同的端口加入不同的VLAN，但VLAN资源有限。采用端口隔离特性，用户只需要将端口加入到隔离组中，就可以实现隔离组内端口之间二层隔离，而不关心这些端口所属VLAN，从而节省VLAN资源。

隔离组内的端口与未加入隔离组的端口之间二层流量双向互通。

· 隔离组中的端口，除了支持MAC地址学习、部分应用在此端口上入方向的策略所对应的流行为（accounting、filter deny、car cir committed-information-rate red discard、流镜像等）以及聚合功能外，其他功能均不支持。

· 建议您不要在隔离组的端口上配置二三层协议（例如GVRP等二层协议；组播、路由等三层协议），否则可能导致网络功能不正常。

在隔离组中，还可以配置非隔离VLAN，允许隔离组内属于非隔离VLAN的流量二层互通，增加了组网的灵活性。

如图1-1所示，Device B和Device C都通过Device A与外部网络相连，Device A分别通过GigabitEthernet3/0/2和GigabitEthernet3/0/3连接Device B和Device C，且这两个端口均允许VLAN 2、VLAN 3的报文通过。将GigabitEthernet3/0/2和GigabitEthernet3/0/3加入隔离组1后，Device B与Device C之间不能二层互通（属于同一VLAN的Host A和Host C之间、Host B和Host D之间也不能互通）。如果配置该隔离组中的VLAN 3为非隔离VLAN，则属于VLAN 3的Host B和Host D之间可以二层互通。

图1-1 非隔离VLAN示意图

1.2 配置隔离组

设备支持多个隔离组，用户可以手工配置。隔离组内可以加入的端口数量没有限制。

表1-1 配置隔离组

操作		命令	说明
进入系统视图		system-view	-
创建隔离组		port-isolate group group-number	缺省情况下，未创建任何隔离组
进入相应视图	进入二层以太网接口视图	interface interface-type interface-number	· 二层以太网接口视图下的配置只对当前端口生效 · 二层聚合接口视图下的配置对当前接口及其成员端口生效，若某成员端口配置失败，系统会跳过该端口继续配置其他成员端口，若二层聚合接口配置失败，则不会再配置成员端口
进入相应视图	进入二层聚合接口视图	interface bridge-aggregation interface-number
将指定端口加入到隔离组中		port-isolate enable group group-number	缺省情况下，当前端口不属于任何隔离组一个端口最多只能加入一个隔离组

1.3 配置非隔离VLAN

本特性仅适用于运行模式为独立运行模式、或处于IRF模式但没有配置IRF增强功能的设备。

通过配置隔离组内的非隔离VLAN，可以实现同一个隔离组中指定VLAN或所有VLAN的流量二层互通，增加组网的灵活性。

表1-2 配置非隔离VLAN

操作	命令	说明
进入系统视图	system-view	-
创建隔离组，并进入隔离组视图	port-isolate group group-number	如果该隔离组已经存在，则直接进入该隔离组视图
配置非隔离VLAN	community-vlan vlan { vlan-id-list \| all }	缺省情况下，隔离组下未配置非隔离VLAN

1.4 端口隔离显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后端口隔离的运行情况，通过查看显示信息验证配置的效果。

表1-3 端口隔离显示和维护

操作	命令
显示隔离组的信息	display port-isolate group [ group-number ]

1.5 端口隔离典型配置举例

缺省情况下，以太网接口、VLAN接口及聚合接口处于down状态。如果要使这些接口能够正常工作，请先使用undo shutdown命令使接口状态处于up状态。

1. 组网需求

如图1-2所示，小区用户Host A、Host B、Host C分别与Device的端口GigabitEthernet3/0/1、GigabitEthernet3/0/2、GigabitEthernet3/0/3相连，Device设备通过GigabitEthernet3/0/4端口与外部网络相连。现需要实现小区用户Host A、Host B和Host C彼此之间二层报文不能互通，但可以和外部网络通信。

2. 组网图

图1-2 配置端口隔离组网图

3. 配置步骤

# 创建隔离组2。

<Device> system-view

[Device] port-isolate group 2

[Device-port-isolate-group2] quit

# 将端口GigabitEthernet3/0/1、GigabitEthernet3/0/2、GigabitEthernet3/0/3加入隔离组2。

[Device] interface GigabitEthernet 3/0/1

[Device-GigabitEthernet3/0/1] port-isolate enable group 2

[Device-GigabitEthernet3/0/1] quit

[Device] interface GigabitEthernet 3/0/2

[Device-GigabitEthernet3/0/2] port-isolate enable group 2

[Device-GigabitEthernet3/0/2] quit

[Device] interface GigabitEthernet 3/0/3

[Device-GigabitEthernet3/0/3] port-isolate enable group 2

[Device-GigabitEthernet3/0/3] quit

4. 验证配置

# 显示隔离组2中的信息。

[Device] display port-isolate group 2

Port isolation group information:

Group ID: 2

Group members:

GigabitEthernet3/0/1 GigabitEthernet3/0/2 GigabitEthernet3/0/3

Community VLAN ID: None

以上信息显示Device上的端口GigabitEthernet3/0/1、GigabitEthernet3/0/2、GigabitEthernet3/0/3已经加入隔离组2，从而实现二层隔离，分别对应的Host A、Host B和Host C彼此之间不能Ping通。

1.6 非隔离VLAN的典型配置举例

缺省情况下，以太网接口、VLAN接口及聚合接口处于down状态。如果要使这些接口能够正常工作，请先使用undo shutdown命令使接口状态处于up状态。

1. 组网需求

· Device A通过GigabitEthernet3/0/1端口与外部网络相连。

· Site 1和Site 2是某公司的两个部门，都在VLAN 2和VLAN 3上承载业务，分别使用Device B和Device C接入Device A。

· 公司希望这两个站点都可以通过Device A和外部网络通信；另外，除了用于视频会议的VLAN 3的业务可以互通外（即VLAN 3的报文在Host B和Host D之间可以互通），Device B和Device C之间的其他二层流量都互相隔离。

2. 组网图

图1-3 配置端口隔离和非隔离VLAN

3. 配置步骤

(1) 配置Device A

# 在Device A上创建VLAN 2和VLAN 3，将端口GigabitEthernet3/0/2和GigabitEthernet3/0/3的链路类型配置为Trunk，并允许VLAN 2和VLAN 3的报文通过。

<DeviceA> system-view

[DeviceA] vlan 2 to 3

[DeviceA] interface GigabitEthernet 3/0/2

[DeviceA-GigabitEthernet3/0/2] port link-type trunk

[DeviceA-GigabitEthernet3/0/2] port trunk permit vlan 2 3

[DeviceA-GigabitEthernet3/0/2] quit

[DeviceA] interface GigabitEthernet 3/0/3

[DeviceA-GigabitEthernet3/0/3] port link-type trunk

[DeviceA-GigabitEthernet3/0/3] port trunk permit vlan 2 3

[DeviceA-GigabitEthernet3/0/3] quit

# 创建隔离组1。

[DeviceA] port-isolate group 1

[DeviceA-port-isolate-group1] quit

# 将连接Device B和Device C的端口GigabitEthernet3/0/2和GigabitEthernet3/0/3加入隔离组1。

[DeviceA] interface GigabitEthernet 3/0/2

[DeviceA-GigabitEthernet3/0/2] port-isolate enable group 1

[DeviceA-GigabitEthernet3/0/2] quit

[DeviceA] interface GigabitEthernet 3/0/3

[DeviceA-GigabitEthernet3/0/3] port-isolate enable group 1

[DeviceA-GigabitEthernet3/0/3] quit

# 配置隔离组1中的VLAN 3为非隔离VLAN。

[DeviceA] port-isolate group 1

[DeviceA-port-isolate-group1] community-vlan vlan 3

[DeviceA-port-isolate-group1] quit

(2) 配置Device B

# 在Device B上创建VLAN 2和VLAN 3，并将端口GigabitEthernet3/0/2加入VLAN 2，GigabitEthernet3/0/3加入VLAN 3。

<DeviceB> system-view

[DeviceB] vlan 2

[DeviceB-vlan2] port GigabitEthernet 3/0/2

[DeviceB-vlan2] quit

[DeviceB] vlan 3

[DeviceB-vlan3] port GigabitEthernet 3/0/3

[DeviceB-vlan3] quit

# 设置GigabitEthernet3/0/1端口的链路类型为Trunk，并允许VLAN 2和VLAN 3的报文通过。

[DeviceB] interface GigabitEthernet 3/0/1

[DeviceB-GigabitEthernet3/0/1] port link-type trunk

[DeviceB-GigabitEthernet3/0/1] port trunk permit vlan 2 3

(3) Device C上的配置与Device B完全一样。

4. 验证配置

# 在Device A上显示隔离组1中的信息。

[DeviceA] display port-isolate group 1

Port-isolate group information:

Group ID: 1

Group members:

GigabitEthernet3/0/2 GigabitEthernet3/0/3

Community VLAN ID: 3

以上信息显示端口GigabitEthernet3/0/2和GigabitEthernet3/0/3已经被加入隔离组1，并配置了隔离组1中的VLAN 3为非隔离VLAN。

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

热门推荐

热门推荐

H3C服务器

HPE服务器

热门推荐

H3C存储

HPE存储

热门推荐

商用台式机

商用笔记本

商用显示器

配件

热门推荐

热门推荐

智能终端

技术解决方案

行业解决方案

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

专业安全服务

安全运营服务

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

公司刊物

加入我们

国家/地区

04-二层技术-以太网交换配置指导

目录

03-端口隔离配置

1.2 配置隔离组

1.3 配置非隔离VLAN

1.5 端口隔离典型配置举例

1. 组网需求

2. 组网图

3. 配置步骤

4. 验证配置

1.6 非隔离VLAN的典型配置举例

1. 组网需求

联系我们