端口隔离配置

实验目的：
掌握端口隔离的配置
实验步骤：
1. 在S1上将G0/0/1和G0/0/2口加入到同一个端口隔离组
2. 配置vlanif1接口，并且将vlan内的arp代理功能打开，实现PC1和PC2能够通信
3. 在全局配置端口隔离模式为二层、三层同时隔离

4.1.1端口隔离
隔离类型
双向隔离
同一端口隔离组的接口之间互相隔离，不同端口隔离组的接口之间不隔离。端口隔离只是针对同一设备上的端口隔离组成员，对于不同设备上的接口而言，无法实现该功能。

单向隔离
实现不同端口隔离组的接口之间的隔离。缺省情况下，未配置端口单向隔离。

隔离模式
L2（二层隔离三层互通）  
隔离同一VLAN内的广播报文，但是不同端口下的用户还可以进行三层通信。缺省情况下，端口隔离模式为二层隔离三层互通。

采用二层隔离三层互通的隔离模式时，在VLANIF接口上使能VLAN内Proxy ARP功能，配置arp-proxy inner-sub-vlan-proxy enable，可以实现同一VLAN内主机通信。

ALL（二层三层都隔离）
同一VLAN的不同端口下用户二三层彻底隔离无法通信。

1. 创建VLAN，并把接口划入到VLAN
2. [LSW1]vlan 10
   [LSW1-vlan10]q
   [LSW1]vlan 20
   [LSW1-vlan20]q
   [LSW1]interface g0/0/1
   [LSW1-GigabitEthernet0/0/1]port link-type access
   [LSW1-GigabitEthernet0/0/1]port default vlan 10
   [LSW1-GigabitEthernet0/0/1]quit
   [LSW1]interface g0/0/2
   [LSW1-GigabitEthernet0/0/2]port link-type access
   [LSW1-GigabitEthernet0/0/2]port default vlan 10
   [LSW1-GigabitEthernet0/0/2]quit
   [LSW1]interface g0/0/3
   [LSW1-GigabitEthernet0/0/3]port link-type access
   [LSW1-GigabitEthernet0/0/3]port default vlan 10
   [LSW1-GigabitEthernet0/0/3]quit
   [LSW1]interface g0/0/4
   [LSW1-GigabitEthernet0/0/4]port link-type access
   [LSW1-GigabitEthernet0/0/4]port default vlan 20
   [LSW1-GigabitEthernet0/0/4]quit
   [LSW1]interface g0/0/5
   [LSW1-GigabitEthernet0/0/5]port link-type access   
   [LSW1-GigabitEthernet0/0/5]port default vlan 20
   [LSW1-GigabitEthernet0/0/5]quit
3. 在VLAN10中，PC1，PC2可以访问 PC3，PC1和PC2不能相互访问
4. [LSW1]port-isolate mode l2 
   [LSW1]interface g0/0/2
   [LSW1-GigabitEthernet0/0/2]port-isolate enable group 10
   [LSW1-GigabitEthernet0/0/2]quit
   [LSW1]interface g0/0/1
   [LSW1-GigabitEthernet0/0/1]port-isolate enable  group 10
   [LSW1-GigabitEthernet0/0/1]quit
5. 测试PC1、PC2、PC3的联通性
6. 
7. 
8. 
9. 通过以上输出可以看到PC1与PC2不能相互访问，但是可以访问PC3
10. 在VLAN20中，PC4主机存在安全隐患，往其他主机发送大量的广播报文，通过配置接口间的单向隔离来实现其他主机对该主机报文的隔离。
11. [LSW1]interface g0/0/4
    [LSW1-GigabitEthernet0/0/4]am isolate GigabitEthernet 0/0/5  // g0/0/4的报文不能发给g0/0/5，g0/0/5的报文可以发给g0/0/4
    [LSW1-GigabitEthernet0/0/4]quit
12. 创建三层接口，让PC1和PC2可以相互访问
13. [LSW1]interface Vlanif 10
    [LSW1-Vlanif10]ip address 10.1.1.254 24
    [LSW1-Vlanif10]arp-proxy inner-sub-vlan-proxy enable
    [LSW1-Vlanif10]quit
     

• 
• 总结：

  隔离同一VLAN内的广播报文，但是不同端口下的用户还可以进行三层通信。缺省情况下，端口隔离模式为二层隔离三层互通。
  采用二层隔离三层互通的隔离模式时，在VLANIF接口上使能VLAN内Proxy ARP功能，配置arp-proxy inner-sub-vlan-proxy enable，可以实现同一VLAN内主机通信。