端口隔离典型配置举例.docVIP

. ..页脚. 1? 端口隔离典型配置举例 1.1? 简介 本章介绍了采用端口隔离特性，实现同一VLAN内端口之间的隔离。用户只需要将端口加入到隔离组中，就可以实现隔离组内端口之间数据的隔离。 1.2? 端口隔离限制设备间互访典型配置举例 1.2.1? 适用产品和版本 表1 配置适用的产品与软件版本关系 产品 软件版本 S10500系列以太网交换机 Release 1120系列，Release 1130系列，Release 1200系列 S5800S5820X系列以太网交换机 Release 1808 S5830系列以太网交换机 Release 1115，Release 1118 S5500-EIS5500-SI系列以太网交换机 Release 2220 ? 1.2.2? 组网需求 如 表2。 SwitchA display port-isolate group ?Port-isolate group information: ?Uplink port support: NO ?Group ID: 1 Group members: GigabitEthernet1/0/1???? GigabitEthernet1/0/2 表2 display port-isolate group命令显示信息描述表 字段 描述 Port-isolate group information 显示端口隔离组的信息 Uplink port support 是否支持配置上行端口 Group ID 隔离组编号 Group members 隔离组中包含的普通端口（非上行端口） ? 1.2.6? 配置文件 S5500-SI系列交换机不支持port link-mode bridge命令。 ? # vlan 100 # interface GigabitEthernet1/0/1 ?port link-mode bridge ?port access vlan 100 ?port-isolate enable # interface GigabitEthernet1/0/2 ?port link-mode bridge ?port access vlan 100 ?port-isolate enable # interface GigabitEthernet1/0/3 ?port link-mode bridge ?port access vlan 100 # interface GigabitEthernet1/0/4 ?port link-mode bridge ?port access vlan 100 # 1.3? 隔离端口间的定时互访典型配置举例 1.3.1? 适用产品和版本 表3 配置适用的产品与软件版本关系 产品 软件版本 S10500系列以太网交换机 Release 1120系列，Release 1130系列，Release 1200系列 S5800S5820X系列以太网交换机 Release 1808 S5830系列以太网交换机 Release 1115，Release 1118 S5500-EIS5500-SI系列以太网交换机 Release 2220 ? 1.3.2? 组网需求 如 \l _Ref248137065图2所示，某公司内部的研发部门、市场部门和行政部门分别与Switch B上的端口相连。要求在使用端口隔离功能的情况下同时实现以下需求： ??????各部门与外界网络互访。 ??????在每天8:00～12:00的时间段内，允许Host A访问行政部门的服务器，拒绝其它的IP报文通过。 ??????在每天14:00～16:00的时间段内，允许Host B访问行政部门的服务器，拒绝其它的IP报文通过。 ??????在其他时间段，各部门之间不能互访。 图2 隔离端口间的定时互访组网图 ? ? 1.3.3? 配置思路 要实现隔离端口间的互访，需要在网关设备上使用本地代理ARP功能。然而，启用本地代理ARP之后，接入层设备上的隔离端口都可互访或某一IP地址范围内的设备可互访。因此，还需要结合网关设备的报文过滤功能以实现隔离端口间的定时访问。 1.3.4? 配置步骤 1. Switch B的配置 # 配置Switch B上的端口GigabitEthernet1/0/1、 GigabitEthernet1/0/2、 GigabitEthernet1/0/3和GigabitEthernet1/0/4属于同一VLAN 100；并将端口GigabitEthernet1/0/1、 GigabitEthernet1/0/2和GigabitEthernet1/0/3加入到隔离组中，以实现研发部门、