- 產品與解決方案
- 行業解決方案
- 服務
- 支持
- 合作夥伴
- 關於我們
07-端口隔離配置
本章節下載： 07-端口隔離配置 (225.50 KB)
目 錄
為了實現端口間的二層隔離，可以將不同的端口加入不同的VLAN，但VLAN資源有限。采用端口隔離特性，用戶隻需要將端口加入到隔離組中，就可以實現隔離組內端口之間二層隔離，而不關心這些端口所屬VLAN，從而節省VLAN資源。
隔離組內的端口與未加入隔離組的端口之間二層流量雙向互通。
在隔離組中，還可以配置非隔離VLAN，允許隔離組內屬於非隔離VLAN的流量二層互通，增加了組網的靈活性。
如圖1-1所示，Device B和Device C都通過Device A與外部網絡相連，Device A分別通過Port B和Port C連接Device B和Device C，且這兩個端口均允許VLAN 2、VLAN 3的報文通過。將Port B和Port C加入隔離組1後，Device B與Device C之間不能二層互通（屬於同一VLAN的Host A和Host C之間、Host B和Host D之間也不能互通）。如果配置該隔離組中的VLAN 3為非隔離VLAN，則屬於VLAN 3的Host B和Host D之間可以二層互通。
圖1-1 非隔離VLAN示意圖
設備支持多個隔離組，用戶可以手工配置。隔離組內可以加入的端口數量沒有限製。
一個端口最多隻能加入一個隔離組。
二層以太網接口視圖下的配置隻對當前端口生效。
二層聚合接口視圖下的配置對當前接口及其成員端口生效，若某成員端口配置失敗，係統會跳過該端口繼續配置其他成員端口，若二層聚合接口配置失敗，則不會再配置成員端口。
(1) 進入係統視圖。
system-view
(2) 創建隔離組。
port-isolate group group-id
(3) 進入接口視圖。
¡ 進入二層以太網接口視圖。
interface interface-type interface-number
¡ 進入二層聚合接口視圖。
interface bridge-aggregation interface-number
(4) 將端口加入到隔離組中。
port-isolate enable group group-id
缺省情況下，當前端口不屬於任何隔離組。
通過配置隔離組內的非隔離VLAN，可以實現同一個隔離組中指定VLAN或所有VLAN的流量二層互通，增加組網的靈活性。
(1) 進入係統視圖。
system-view
(2) 創建隔離組。
port-isolate group group-id
(3) 配置非隔離VLAN。
community-vlan vlan { vlan-id-list | all }
缺省情況下，隔離組下未配置非隔離VLAN。
在完成上述配置後，在任意視圖下執行display命令可以顯示配置後端口隔離的運行情況，通過查看顯示信息驗證配置的效果。
表1-1 端口隔離顯示和維護
|
操作 |
命令 |
|
顯示隔離組的信息 |
display port-isolate group [ group-id ] |
如圖1-2所示，小區用戶Host A、Host B、Host C分別與Device的端口Ten-GigabitEthernet1/0/1、Ten-GigabitEthernet1/0/2、Ten-GigabitEthernet1/0/3相連，Device設備通過Ten-GigabitEthernet1/0/4端口與外部網絡相連。現需要實現小區用戶Host A、Host B和Host C彼此之間二層報文不能互通，但可以和外部網絡通信。
# 創建隔離組2。
<Device> system-view
[Device] port-isolate group 2
# 將端口Ten-GigabitEthernet1/0/1、Ten-GigabitEthernet1/0/2、Ten-GigabitEthernet1/0/3加入隔離組2。
[Device] interface ten-gigabitethernet 1/0/1
[Device-Ten-GigabitEthernet1/0/1] port-isolate enable group 2
[Device-Ten-GigabitEthernet1/0/1] quit
[Device] interface ten-gigabitethernet 1/0/2
[Device-Ten-GigabitEthernet1/0/2] port-isolate enable group 2
[Device-Ten-GigabitEthernet1/0/2] quit
[Device] interface ten-gigabitethernet 1/0/3
[Device-Ten-GigabitEthernet1/0/3] port-isolate enable group 2
[Device-Ten-GigabitEthernet1/0/3] quit
# 顯示隔離組2中的信息。
[Device] display port-isolate group 2
Port isolation group information:
Group ID: 2
Group members:
Ten-GigabitEthernet1/0/1 Ten-GigabitEthernet1/0/2
Ten-GigabitEthernet1/0/3
Community VLAN ID: None
以上信息顯示Device上的端口Ten-GigabitEthernet1/0/1、Ten-GigabitEthernet1/0/2、Ten-GigabitEthernet1/0/3已經加入隔離組2，從而實現二層隔離，Host A、Host B和Host C彼此之間不能ping通。
· Device A通過Ten-GigabitEthernet1/0/1端口與外部網絡相連。
· Site 1和Site 2是某公司的兩個部門，都在VLAN 2和VLAN 3上承載業務，分別使用Device B和Device C接入Device A。
· 公司希望這兩個站點都可以通過Device A和外部網絡通信；另外，除了用於視頻會議的VLAN 3的業務可以互通外（即VLAN 3的報文在Host B和Host D之間可以互通），Device B和Device C之間的其他二層流量都互相隔離。
圖1-3 配置端口隔離和非隔離VLAN
(1) 配置Device A
# 在Device A上創建VLAN 2和VLAN 3，將端口Ten-GigabitEthernet1/0/2和Ten-GigabitEthernet1/0/3的鏈路類型配置為Trunk，並允許VLAN 2和VLAN 3的報文通過。
<DeviceA> system-view
[DeviceA] vlan 2 to 3
[DeviceA] interface ten-gigabitethernet 1/0/2
[DeviceA-Ten-GigabitEthernet1/0/2] port link-type trunk
[DeviceA-Ten-GigabitEthernet1/0/2] port trunk permit vlan 2 3
[DeviceA-Ten-GigabitEthernet1/0/2] quit
[DeviceA] interface ten-gigabitethernet 1/0/3
[DeviceA-Ten-GigabitEthernet1/0/3] port link-type trunk
[DeviceA-Ten-GigabitEthernet1/0/3] port trunk permit vlan 2 3
[DeviceA-Ten-GigabitEthernet1/0/3] quit
# 創建隔離組1。
[DeviceA] port-isolate group 1
[DeviceA-port-isolate-group1] quit
# 將連接Device B和Device C的端口Ten-GigabitEthernet1/0/2和Ten-GigabitEthernet1/0/3加入隔離組1。
[DeviceA] interface ten-gigabitethernet 1/0/2
[DeviceA-Ten-GigabitEthernet1/0/2] port-isolate enable group 1
[DeviceA-Ten-GigabitEthernet1/0/2] quit
[DeviceA] interface ten-gigabitethernet 1/0/3
[DeviceA-Ten-GigabitEthernet1/0/3] port-isolate enable group 1
[DeviceA-Ten-GigabitEthernet1/0/3] quit
# 配置隔離組1中的VLAN 3為非隔離VLAN。
[DeviceA] port-isolate group 1
[DeviceA-port-isolate-group1] community-vlan vlan 3
[DeviceA-port-isolate-group1] quit
(2) 配置Device B
# 在Device B上創建VLAN 2和VLAN 3，並將端口Ten-GigabitEthernet1/0/2加入VLAN 2，Ten-GigabitEthernet1/0/3加入VLAN 3。
<DeviceB> system-view
[DeviceB] vlan 2
[DeviceB-vlan2] port ten-gigabitethernet 1/0/2
[DeviceB-vlan2] quit
[DeviceB] vlan 3
[DeviceB-vlan3] port ten-gigabitethernet 1/0/3
[DeviceB-vlan3] quit
# 設置Ten-GigabitEthernet1/0/1端口的鏈路類型為Trunk，並允許VLAN 2和VLAN 3的報文通過。
[DeviceB] interface ten-gigabitethernet 1/0/1
[DeviceB-Ten-GigabitEthernet1/0/1] port link-type trunk
[DeviceB-Ten-GigabitEthernet1/0/1] port trunk permit vlan 2 3
(3) Device C上的配置與Device B完全一樣。
# 在Device A上顯示隔離組1中的信息。
[DeviceA] display port-isolate group 1
Port-isolate group information:
Group ID: 1
Group members:
Ten-GigabitEthernet1/0/2 Ten-GigabitEthernet1/0/3
Community VLAN ID: 3
以上信息顯示端口Ten-GigabitEthernet1/0/2和Ten-GigabitEthernet1/0/3已經被加入隔離組1，並配置了隔離組1中的VLAN 3為非隔離VLAN。
不同款型規格的資料略有差異, 詳細信息請向具體銷售和400谘詢。H3C保留在沒有任何通知或提示的情況下對資料內容進行修改的權利!
支持
