交换机配置 端口隔离.docVIP

交换机配置（十三）端口隔离 字体大小：大 | 中 | 小 2010-07-28 09:36 - 阅读：15 - 评论：0 为了实现报文之间的二层隔离，可以将不同的端口加入不同的VLAN，但会浪费有限的VLAN资源。采用端口隔离特性，可以实现同一VLAN内端口之间的隔离。用户只需要将端口加入到隔离组中，就可以实现隔离组内端口之间二层数据的隔离。端口隔离功能为用户提供了更安全、更灵活的组网方案。 目前： ?????????????? 设备只支持一个隔离组，由系统自动创建隔离组1，用户不可删除该隔离组或创建其它的隔离组。 ?????????????? 隔离组内可以加入的端口数量没有限制。 ?? 说明： ?????? 如果聚合组内的某个端口已经配置成某隔离组的普通端口，则该聚合组内的其他端口可以以普通端口的身份加入该隔离组，但不能配置成上行端口。 ?????? 如果将聚合组内的某个端口配置成某隔离组的上行端口，则该聚合组内的其他端口不能加入该隔离组，且不允许该设备的其他端口加入该聚合组。（聚合组的具体内容请参见“链路聚合配置”） ? 端口隔离特性与端口所属的VLAN无关。 ?????????????? 对于属于不同VLAN的端口，只有同一个隔离组的普通端口到上行端口的二层报文可以单向通过，其它情况的端口二层数据是相互隔离的。 ?????????????? 对于属于同一VLAN的端口，隔离组内、外端口的二层数据互通的情况，如图2-1所示。 图2-1 VLAN内隔离组内、外端口二层报文互通情况 ?? 说明： 图中箭头方向表示报文的发送方向。 2.2? 配置隔离组 2.2.1? 将端口加入隔离组 表2-1 操作 命令 说明 进入系统视图 system-view - 进入以太网端口视图或端口组视图 进入以太网端口视图 interface interface-type interface-number 二者必选其一 进入以太网端口视图后，下面进行的配置只在当前端口下生效；进入端口组视图后，下面进行的配置将在端口组中的所有端口生效 进入端口组视图 port-group { manual port-group-name | aggregation agg-id } 将指定端口加入到隔离组中，并作为隔离组中的普通端口 port-isolate enable 必选 缺省情况下，隔离组中没有加入任何端口 2.2.2? 配置隔离组的上行端口 表2-2 操作 命令 说明 进入系统视图 system-view - 进入以太网端口视图 interface interface-type interface-number - 将当前端口加入到隔离组中，并作为隔离组中的上行端口 port-isolate uplink-port group 必选 缺省情况下，隔离组中无上行端口 ? ? ?说明： ?????? 一个隔离组中只能有一个上行端口，在用户多次配置不同的端口为上行端口时，以最后一个配置为准。 ?????? 如果端口已经被配置为隔离组的普通端口，则不能再配置为所有隔离组的上行端口，反之亦然。 2.3? 隔离组显示 在完成上述配置后，在任意视图下执行display命令可以显示配置后隔离组的相关信息，通过查看显示信息验证配置的效果。 表2-3 操作 命令 显示隔离组的信息 display port-isolate group ? 2.4? 端口隔离典型配置举例 1. 组网需求 ?????????????? 小区用户Host A、Host B、Host C分别与Device的端口Ethernet1/0/1、Ethernet1/0/2、Ethernet1/0/3相连； ?????????????? 设备通过Ethernet1/0/4端口与外部网络相连； ?????????????? 端口Ethernet1/0/1、Ethernet1/0/2、Ethernet1/0/3和Ethernet1/0/4属于同一VLAN；请实现小区用户Host A、Host B和Host C彼此之间二层报文不能互通，但可以和外部网络通信。 2. 组网图 图2-2 3. 配置步骤 # 将端口Ethernet1/0/1、Ethernet1/0/2、Ethernet1/0/3加入隔离组。 Device system-view [Device] interface ethernet 1/0/1 [Device-Ethernet1/0/1] port-isolate enable [Device-Ethernet1/0/1] quit [Device] interface ethernet 1/0/2 [Device-Ethernet1/0/2] port-isolat