端口隔离技术配置：同一 VLAN 内用户互相无法访问，仅可访问网关

wuyun

# 端口隔离技术配置指南

端口隔离(Port Isolation)是一种网络技术，用于实现同一VLAN内用户之间的二层隔离，同时允许他们访问网关(通常是三层设备如路由器或核心交换机)。

## 配置原理

端口隔离技术确保：
- 同一VLAN内的用户无法直接相互访问
- 所有用户可以正常访问网关设备
- 网关设备可以访问所有用户

## 配置方法（以华为/H3C交换机为例）

### 1. 端口隔离组配置

```bash
# 创建端口隔离组（通常组号为1）
system-view
port-isolate group 1

# 或者使用更简单的全局端口隔离模式（不同厂商命令可能不同）
# 例如在华为设备上：
port-isolate enable  # 全局启用端口隔离（某些型号）
```

### 2. 将接口加入隔离组

```bash
interface GigabitEthernet 0/0/1
port-isolate enable group 1  # 将接口加入隔离组1
# 或者简写为（取决于设备型号）：
# port-isolate enable

# 重复上述命令，将所有需要隔离的接口加入同一隔离组
```

### 3. 确保网关接口不在隔离组中

确保连接网关(路由器或核心交换机)的接口**不**加入端口隔离组，这样它就可以与所有隔离端口通信。

### 4. 验证配置

```bash
display port-isolate group all  # 查看隔离组配置
display port-isolate state      # 查看隔离状态
```

## Cisco交换机配置示例

```bash
# 启用私有VLAN边缘(PVLAN Edge)或保护端口(Protect Port)功能

# 方法1：使用保护端口
interface range GigabitEthernet 0/1-24
switchport protected  # 启用保护端口功能

# 方法2：使用PVLAN
# 这需要更复杂的配置，包括创建主VLAN和辅助VLAN
```

## 注意事项

1. **网关可达性**：确保网关接口不在隔离组中，否则网关也无法访问用户
2. **三层通信**：端口隔离只影响二层通信，三层通信(通过IP地址)不受影响
3. **管理流量**：某些设备可能需要特殊配置以允许管理流量
4. **厂商差异**：不同厂商的实现方式可能不同(华为/H3C的port-isolate，Cisco的protect port或PVLAN)
5. **性能影响**：端口隔离通常对性能影响很小

## 替代方案

如果设备不支持端口隔离，可以考虑：
1. 使用ACL限制用户间访问
2. 为每个用户分配单独的VLAN(但会消耗大量VLAN资源)
3. 使用PVLAN(私有VLAN)技术

这种配置常用于酒店、宿舍、公共WiFi等场景，确保用户之间的安全性同时允许访问网络出口。