登录

欢迎user新华三退出

国家 / 地区

  • 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 新华三人才研学中心
  • 关于我们

04-二层技术-以太网交换配置指导

目录

05-端口隔离配置

本章节下载： 05-端口隔离配置  (251.29 KB)

docurl=/cn/Service/Document_Software/Document_Center/Switches/Catalog/S9500E/S9500E/Configure/Operation_Manual/H3C_S9500E_CG-R1828P04-6W182/04/201407/834402_30005_0.htm

05-端口隔离配置

目  录

1 端口隔离

1.1 端口隔离简介

1.1.1 端口隔离

1.1.2 非隔离VLAN

1.2 端口隔离配置任务简介

1.3 将端口加入隔离组

1.4 配置隔离组的上行端口

1.5 配置非隔离VLAN

1.6 端口隔离显示和维护

1.7 端口隔离典型配置举例

1.7.1 端口隔离的典型配置举例

1.7.2 非隔离VLAN的典型配置举例

 

1 端口隔离

说明

·     设备支持两种运行模式：独立运行模式和IRF模式，缺省情况为独立运行模式。端口隔离功能仅适用于处于独立运行模式、或处于IRF模式但没有配置IRF增强功能的设备。有关IRF模式的介绍，请参见“IRF配置指导”中的“IRF”。

·     当系统工作模式为非混插模式时，端口隔离功能和基于MAC的VLAN功能不能同时使用。有关基于MAC的VLAN功能的介绍，请参见“二层技术-以太网交换配置指导”中的“VLAN”；有关系统工作模式的介绍，请参见“基础配置指导”中的“设备管理”。

 

1.1  端口隔离简介

1.1.1  端口隔离

为了实现报文之间的二层隔离，可以将不同的端口加入不同的VLAN，但会浪费有限的VLAN资源。采用端口隔离特性，可以在无关VLAN的情况下实现端口之间的二层隔离（例如，实现同一VLAN内端口之间的隔离）。用户只需要将同一台设备或同一个IRF的成员设备的端口加入到隔离组中，就可以实现隔离组内端口之间二层流量的隔离。端口隔离功能为用户提供了更安全、更灵活的组网方案。

端口隔离特性与端口所属的VLAN无关。对于隔离组内的端口，不论属于何种VLAN，只有同一个隔离组的普通端口（即，非上行端口）到上行端口的二层报文可以单向通过，其它情况的端口二层流量是相互隔离的。对于隔离组外的端口，如果与隔离组内的端口属于同一VLAN，那么隔离组内、外端口的二层流量互通的情况，又可以分为以下两种：

·     如果系统处于混插模式，则配置端口隔离时必须配置隔离组的上行端口，各种类型端口之间二层报文的互通情况如图1-1所示。

·     如果系统处于非混插模式，则配置端口隔离时无需配置隔离组的上行端口，隔离组内的端口和隔离组外端口二层流量双向互通。

图1-1 同一VLAN内隔离组内、外端口二层报文互通情况

 

说明

图中箭头方向表示报文可以成功发送的方向。

 

说明

·     目前隔离组中的普通端口，除了支持MAC地址学习、部分应用在此端口上入方向的策略所对应的流行为（accounting、filter deny、car cir committed-information-rate red discard、流镜像等）、聚合功能外，其它功能均不支持。

·     建议您不要在隔离组的普通端口上配置二三层协议（例如GVRP等二层协议；组播、路由等三层协议），否则可能导致网络功能不正常。

 

1.1.2  非隔离VLAN

在隔离组中，还可以配置非隔离VLAN，从而允许隔离组内的端口对某个指定VLAN的数据可以二层互通，增加了组网的灵活性。

如图1-2所示，Switch B和Switch C都通过Switch A与公共服务器群互通；Switch A通过GE3/0/2和GE3/0/3连接Switch B和Switch C，且这两个端口同时属于VLAN 2、VLAN 3。将GE3/0/2和GE3/0/3加入隔离组1（port-isolate group 1）后，缺省情况下Switch B与Switch C之间不能二层互通（因此，属于同一VLAN的Host A和Host C之间、Host B和Host D之间也不能互通）。如果配置该隔离组中的VLAN 3为非隔离VLAN，则属于VLAN 3的Host B和Host D之间可以二层互通。

图1-2 在隔离组中配置非隔离VLAN

 

1.2  端口隔离配置任务简介

表1-1 端口隔离配置任务简介

配置任务

说明

详细配置

将端口加入隔离组

必选

1.3 

配置隔离组的上行端口

仅当系统工作模式为混插模式时，必选

1.4 

配置非隔离VLAN

可选

1.5 

 

1.3  将端口加入隔离组

说明

隔离组内可以加入的端口数量没有限制。

 

表1-2 将端口加入隔离组

操作

命令

说明

进入系统视图

system-view

-

创建隔离组，如果系统工作模式为非混插模式，还会进入隔离组视图

port-isolate group group-number

必选

当系统工作模式为非混插模式时，如果该隔离组已经存在，则直接进入该隔离组视图

退出隔离组视图

quit

仅当系统工作模式为非混插模式时需要此操作

进入相应视图

进入以太网接口视图

interface interface-type interface-number

三者必选其一

进入端口组视图

port-group manual port-group-name

进入二层聚合接口视图

interface bridge-aggregation interface-number

将指定端口加入到隔离组中，并作为隔离组中的普通端口

port-isolate enable group group-number

必选

缺省情况下，隔离组中没有加入任何端口

 

1.4  配置隔离组的上行端口

说明

当系统工作模式为混插模式时，配置端口隔离时必须配置隔离组的上行端口。

 

表1-3 配置隔离组的上行端口

操作

命令

说明

进入系统视图

system-view

-

进入相应视图

进入以太网接口视图

interface interface-type interface-number

二者必选其一

进入二层聚合接口视图

interface bridge-aggregation interface-number

将当前端口加入到隔离组中，并作为隔离组中的上行端口

port-isolate uplink-port group group-number

必选

缺省情况下，隔离组中无上行端口

 

说明

·     一个隔离组中只能有一个上行端口，在用户多次配置不同的端口为上行端口时，以最后一个配置为准。

·     如果端口已经被配置为某个隔离组的普通端口，则不能再配置为任何隔离组的上行端口，但是可以配置该端口为其它隔离组的普通端口，同时该端口会从之前的隔离组中删除。

·     如果端口已经被配置为某个隔离组的上行端口，则不能再配置为任何隔离组的普通端口和其它隔离组的上行端口。

·     聚合组的成员端口不允许配置成为上行端口。反之，已经配置为上行端口的接口不能加入聚合组。特殊情况下（为了兼容旧的配置文件），如果用户同时配置端口为聚合组的成员端口和隔离组的上行端口，则只有聚合组配置生效，隔离组将被删除。（聚合相关内容请参见“二层技术-以太网交换配置指导”中的“以太网链路聚合”）。

 

1.5  配置非隔离VLAN

说明

·     本配置仅适用于系统工作模式为非混插模式的设备。

·     本配置仅适用于运行模式为独立运行模式、或处于IRF模式但没有配置IRF增强功能的设备。

 

表1-4 配置非隔离VLAN

操作

命令

说明

进入系统视图

system-view

-

创建隔离组，并进入隔离组视图

port-isolate group group-number

必选

如果该隔离组已经存在，则直接进入该隔离组视图

配置非隔离VLAN

community-vlan vlan { vlan-id-list | all }

必选

缺省情况下，隔离组下未配置非隔离VLAN

 

1.6  端口隔离显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后端口隔离的相关信息，通过查看显示信息验证配置的效果。

表1-5 端口隔离显示和维护

操作

命令

显示端口隔离的信息

display port-isolate group [ group-number ] [ | { begin | exclude | include } regular-expression ]

 

1.7  端口隔离典型配置举例

说明

缺省情况下，以太网接口、VLAN接口及聚合接口处于DOWN状态。如果要对这些接口进行配置，请先使用undo shutdown命令使接口状态处于UP。

 

1.7.1  端口隔离的典型配置举例

说明

此举例假设系统工作模式处于混插模式。

 

1. 组网需求

·     交换机通过GigabitEthernet4/0/1端口可以正常访问外部网络。

·     端口GigabitEthernet4/0/1～GigabitEthernet4/0/4属于VLAN 2；要求实现小区用户Host A、Host B和Host C彼此之间二层报文不能互通，但可以和外部网络通信。

2. 组网图

图1-3 配置端口隔离

 

3. 配置步骤

# 创建VLAN，将端口加入到此VLAN中。

<Switch> system-view

[Switch] vlan 2

[Switch-vlan2] port GigabitEthernet 4/0/1 to GigabitEthernet 4/0/4

[Switch-vlan2] quit

# 创建隔离组2。

[Switch] port-isolate group 2

# 将端口GigabitEthernet4/0/2～GigabitEthernet4/0/4加入隔离组2。

[Switch] interface GigabitEthernet 4/0/2

[Switch-GigabitEthernet4/0/2] port-isolate enable group 2

[Switch-GigabitEthernet4/0/2] quit

[Switch] interface GigabitEthernet 4/0/3

[Switch-GigabitEthernet4/0/3] port-isolate enable group 2

[Switch-GigabitEthernet4/0/3] quit

[Switch] interface GigabitEthernet 4/0/4

[Switch-GigabitEthernet4/0/4] port-isolate enable group 2

[Switch-GigabitEthernet4/0/4] quit

# 配置端口GigabitEthernet4/0/1为隔离组2的上行端口。

[Switch] interface GigabitEthernet 4/0/1

[Switch-GigabitEthernet4/0/1] port-isolate uplink-port group 2

[Switch-GigabitEthernet4/0/1] quit

4. 检验配置效果

# 显示隔离组2中的信息。

[Switch] display port-isolate group 2

Port-isolate group information:

Uplink port support: YES

Group ID: 2

Uplink port: GigabitEthernet4/0/1

Group members:

   GigabitEthernet4/0/2     GigabitEthernet4/0/3     GigabitEthernet4/0/4

1.7.2  非隔离VLAN的典型配置举例

说明

此举例假设系统工作模式处于非混插模式。

 

1. 组网需求

·     Switch A通过GigabitEthernet3/0/1端口可以正常访问外部网络。

·     Site 1和Site 2是某公司的两个分支机构，都在VLAN 2和VLAN 3上承载业务，分别使用Switch B和Switch C接入Switch A。

·     公司希望这两个站点都可以通过Switch A和外部网络通信；另外，除了用于视频会议的VLAN 3的业务可以互通外（即VLAN 3的报文在Host B和Host D之间可以互通），Switch B和Switch C之间的其他二层流量都互相隔离。

2. 组网图

图1-4 配置端口隔离和非隔离VLAN

 

3. 配置步骤

(1)     配置Switch A

# 在Switch A上创建VLAN 2和VLAN 3，将端口GigabitEthernet3/0/2和GigabitEthernet3/0/3的链路类型配置为Trunk，并允许VLAN 2和VLAN 3的报文通过。

<SwitchA> system-view

[SwitchA] vlan 2 to 3

[SwitchA] interface GigabitEthernet 3/0/2

[SwitchA-GigabitEthernet3/0/2] port link-type trunk

[SwitchA-GigabitEthernet3/0/2] port trunk permit vlan 2 3

[SwitchA-GigabitEthernet3/0/2] quit

[SwitchA] interface GigabitEthernet 3/0/3

[SwitchA-GigabitEthernet3/0/3] port link-type trunk

[SwitchA-GigabitEthernet3/0/3] port trunk permit vlan 2 3

[SwitchA-GigabitEthernet3/0/3] quit

# 创建隔离组1。

[SwitchA] port-isolate group 1

[SwitchA-port-isolate-group1] quit

# 将连接Switch B和Switch C的端口GigabitEthernet3/0/2和GigabitEthernet3/0/3加入隔离组1。

[SwitchA] interface GigabitEthernet 3/0/2

[SwitchA-GigabitEthernet3/0/2] port-isolate enable group 1

[SwitchA-GigabitEthernet3/0/2] quit

[SwitchA] interface GigabitEthernet 3/0/3

[SwitchA-GigabitEthernet3/0/3] port-isolate enable group 1

[SwitchA-GigabitEthernet3/0/3] quit

# 配置隔离组1中的VLAN 3为非隔离VLAN。

[SwitchA] port-isolate group 1

[SwitchA-port-isolate-group1] community-vlan vlan 3

[SwitchA-port-isolate-group1] quit

(2)     配置Switch B

# 在Switch B上创建VLAN 2和VLAN 3，并将GigabitEthernet2/0/2端口加入VLAN 2， GigabitEthernet2/0/3端口加入VLAN 3。

<SwitchB> system-view

[SwitchB] vlan 2

[SwitchB-vlan2] port GigabitEthernet 2/0/2

[SwitchB-vlan2] vlan 3

[SwitchB-vlan3] port GigabitEthernet 2/0/3

[SwitchB-vlan3] quit

# 设置GigabitEthernet2/0/1端口的链路类型为Trunk，并允许VLAN 2和VLAN 3的报文通过。

[SwitchB] interface GigabitEthernet 2/0/1

[SwitchB-GigabitEthernet2/0/1] port link-type trunk

[SwitchB-GigabitEthernet2/0/1] port trunk permit vlan 2 3

(3)     Switch C上的配置与Switch B完全一样。

4. 检验配置效果

# 在Switch A上显示隔离组1中的信息。

[SwitchA] display port-isolate group 1

Port-isolate group information:

 Uplink port support: NO

 Group ID: 1

Group members:

   GigabitEthernet3/0/2     GigabitEthernet3/0/3

以上信息显示端口GigabitEthernet3/0/2和GigabitEthernet3/0/3已经被加入隔离组1。

# 显示隔离组1中的配置信息。

[SwitchA] port-isolate group 1

[SwitchA -port-isolate-group1] display this

#

port-isolate group 1

 community-vlan vlan 3

#

return

以上信息显示Switch A中已建立隔离组1，并配置了隔离组1中的VLAN 3为非隔离VLAN。

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

新华三官网
联系我们