华为---端口隔离简介和示例配置

已于 2024-08-18 00:23:13 修改
阅读量453 收藏 17
点赞数 17
分类专栏： 网络 网络安全 文章标签： 华为 服务器 windows
于 2024-08-18 00:19:01 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/lehe99/article/details/141278529
版权

目录

1. 端口隔离概念

2. 端口隔离作用

3. 端口隔离优点

4. 端口隔离缺点

5. 端口隔离的方法和应用场景

6. 端口隔离配置

6.1 端口隔离相关配置命令

6.2 端口隔离配置思路

7. 示例配置

7.1 示例场景

7.2 网络拓扑图

7.3 基本配置

7.4端口隔离配置与验证

7.4.1 双向隔离配置与验证

7.4.2 双向隔离配置与验证

1. 端口隔离概念

        端口隔离是一种网络安全技术，用于在交换机或路由器中对不同网络端口之间的流量进行隔离和控制。它通过限制不同端口之间的通信，防止未经授权的数据流进入或离开特定的网络区域。

2. 端口隔离作用

  1. 实现用户隔离：端口隔离技术可以实现对网络进行详细隔离和控制。比如居民区网络各住户之间不能相互访问。配置端口隔离后，无论端口在哪个vlan，二层都不能相互通信。
  2. 提升网络安全性：端口隔离可以防止未经授权的访问和攻击，将网络流量隔离，限制了攻击者对敏感数据和网络资源访问，减少攻击面，增强网络安全性。比如一个感染病毒的设备连接到一个隔离端口上，攻击者将难以访问其他网络资源。
  3. 防止网络中的数据泄露：将不同类型的数据流隔离到不同的端口上，可以避免敏感数据与其他非敏感数据混合传输，降低数据泄露风险。比如金融机构中，可以将交易数据和客户个人信息隔离不同的网络区域中。
  4. 提高网络性能和可靠性：端口隔离可以限制不同端口之间的流量竞争，避免网络拥塞和性能下降。

3. 端口隔离优点

       为了实现报文之间的二层隔离，用户可以将不同的端口加入不同的VLAN，但这样会浪费有限的VLAN资源；使用ACL控制策略实现特定源IP地址访问目标IP地址，但这样很不灵活。

        采用端口隔离功能，可以实现同一VLAN内端口之间的隔离。用户只需要将端口加入到隔离组中，就可以实现隔离组内端口之间二层数据的隔离。端口隔离功能为用户提供了更安全、更灵活的组网方案。

4. 端口隔离缺点

  1. 计算机之间共享不能实现；
  2. 隔离只能在一台交换机上实现，不能在堆叠交换机之间实现，如果是堆叠环境，只能改成交换机之间级连。

5. 端口隔离的方法和应用场景

端口隔离的方法

应用场景

配置接口单向隔离
  • 接入同一个设备不同接口的多台主机，若某台主机存在安全隐患，往其他主机发送大量的广播报文，可以通过配置接口间的单向隔离来实现其他主机对该主机报文的隔离。
  • 同一端口隔离组的接口之间互相隔离，不同端口隔离组的接口之间不隔离。为了实现不同端口隔离组的接口之间的隔离，可以通过配置接口之间的单向隔离来实现。

配置端口隔离组

为了实现接口之间的二层隔离，可以将不同的接口加入不同的VLAN，但这样会浪费有限的VLAN资源。采用端口隔离特性，可以实现同一VLAN内接口之间的隔离。用户只需要将接口加入到隔离组中，就可以实现隔离组内接口之间二层数据的隔离。端口隔离功能为用户提供了更安全、更灵活的组网方案。

6. 端口隔离配置

6.1 端口隔离相关配置命令

[Switch-GigabitEthernet0/0/1] port-isolate enable [ group group-id ]，使能端口隔离功能。

[Switch-GigabitEthernet0/0/1] am isolate { interface-type interface-number }&<1-8>，配置端口单向隔离。 

6.2 端口隔离配置思路

        双向隔离配置思路：

  1. 基础配置（终端IP、VLAN划分等配置）；
  2. 配置端口加入到隔离组中，实现隔离组内接口之间二层数据的隔离。

 缺省情况下，未使能端口隔离功能。

        单向隔离配置思路：

  1. 基础配置（终端IP、VLAN划分等配置）；
  2. 配置端口单向隔离。

缺省情况下，未配置端口单向隔离。 

7. 示例配置

7.1 示例场景

        某企业研发办公室员工分为本公司员工、A合作方公司员工和B合作方公司员工。PC4和PC5分别代表A、B合作方员工，PC2和PC3代表本公司研发员工，PC1代表本公司网管员工。公司希望在节省VLAN资源的前提下，实现本公司员工和A、B两个合作方公司之间可以相互通信，但是A、B两个合作方公司员工之间无法通信。假设PC2主机发送大量的广播报文，通过配置接口间单向隔离，实现其他主机对该主机报文的隔离。

7.2 网络拓扑图

7.3 基本配置

SW接入交换机基本配置：

system-view 	
sysname SW
vlan batch 3 10
interface GigabitEthernet 0/0/1
port link-type trunk 	
port trunk allow-pass vlan 3 10
interface vlan 3
ip address 192.168.3.254 24
interface vlan 10
ip address 192.168.10.254 24

system-view 	
sysname SW1
vlan batch 3 10
interface Ethernet0/0/1
port link-type trunk
port trunk allow-pass vlan 3 10
interface Ethernet0/0/2
port link-type access
port default vlan 3
interface Ethernet0/0/3
port link-type access
port default vlan 3
interface Ethernet0/0/4
port link-type access
port default vlan 3
interface Ethernet0/0/5
port link-type access
port default vlan 3
interface Ethernet0/0/6
port link-type access
port default vlan 10
quit
interface Vlanif 10
ip address 192.168.10.253 24

<Huawei>system-view     
[Huawei]sysname SW
[SW]vlan batch 3 10
[SW]interface GigabitEthernet 0/0/1
[SW-GigabitEthernet0/0/1]port link-type trunk     
[SW-GigabitEthernet0/0/1]port trunk allow-pass vlan 3 10
[SW-GigabitEthernet0/0/1]interface vlan 3
[SW-Vlanif3]ip address 192.168.3.254 24
[SW-Vlanif3]interface vlan 10
[SW-Vlanif10]ip address 192.168.10.254 24

SW1接入交换机基本配置：

 <Huawei>system-view     
[Huawei]sysname SW1
[SW1]vlan batch 3 10
[SW1]interface Ethernet0/0/1
[SW1-Ethernet0/0/1]port link-type trunk
[SW1-Ethernet0/0/1]port trunk allow-pass vlan 3 10
[SW1-Ethernet0/0/1]interface Ethernet0/0/2
[SW1-Ethernet0/0/2]port link-type access
[SW1-Ethernet0/0/2]port default vlan 3
[SW1-Ethernet0/0/2]interface Ethernet0/0/3
[SW1-Ethernet0/0/3]port link-type access
[SW1-Ethernet0/0/3]port default vlan 3
[SW1-Ethernet0/0/3]interface Ethernet0/0/4
[SW1-Ethernet0/0/4]port link-type access
[SW1-Ethernet0/0/4]port default vlan 3
[SW1-Ethernet0/0/4]interface Ethernet0/0/5
[SW1-Ethernet0/0/5]port link-type access
[SW1-Ethernet0/0/5]port default vlan 3
[SW1-Ethernet0/0/5]interface Ethernet0/0/6
[SW1-Ethernet0/0/6]port link-type access
[SW1-Ethernet0/0/6]port default vlan 10
[SW1-Ethernet0/0/6]quit
[SW1]interface Vlanif 10
[SW1-Vlanif10]ip address 192.168.10.253 24

PC配置：

        其他PC与上图类似，不再赘述。

7.4端口隔离配置与验证

7.4.1 双向隔离配置与验证

        【1】在未连接网关设备（SW交换机）情况下（即，二层通信），实现本公司员工和A、B两个合作方公司之间可以相互通信，但是A、B两个合作方公司员工之间无法通信。

相关配置如下：

[SW-GigabitEthernet0/0/1] shutdown 

[SW1]interface Ethernet0/0/3
[SW1-Ethernet0/0/3]port-isolate enable group 3 
[SW1-Ethernet0/0/3]interface Ethernet0/0/4
[SW1-Ethernet0/0/4]port-isolate enable group 3 

测试验证：

        A、B两个合作方公司员工之间无法通信，但和本公司员工可以正常通信。

【2】连接网关设备后，再次测试A、B两个合作方公司员工之间是否可以正常通信？

[SW-GigabitEthernet0/0/1]undo shutdown  

A、B两个合作方公司员工之间无法通信。

【3】假设实现本公司员工1和2之间可以相互通信，但是不能和财务进行通信。

在目前配置下，PC1和PC2、PC3不在同一网段，之间是三层通信。

相关配置如下：

[SW1]interface Ethernet0/0/2
[SW1-Ethernet0/0/2]port-isolate enable group 4 
[SW1-Ethernet0/0/2]interface Ethernet0/0/6
[SW1-Ethernet0/0/6]port-isolate enable group 4
[SW1-Ethernet0/0/6]port-isolate enable group 5
[SW1-Ethernet0/0/6]interface Ethernet0/0/5
[SW1-Ethernet0/0/5]port-isolate enable group 5

测试验证：

        在此配置下，端口隔离无法隔离三层通信。

【4】设置PC1和PC2、PC3都在同一网段，看能否实现本公司员工1和2之间可以相互通信，但是不能和财务进行通信。

相关配置如下：

[SW1]interface eth0/0/6
[SW1-Ethernet0/0/6]port default vlan 3

[SW1]interface Ethernet0/0/2
[SW1-Ethernet0/0/2]port-isolate enable group 4 
[SW1-Ethernet0/0/2]interface Ethernet0/0/6
[SW1-Ethernet0/0/6]port-isolate enable group 4
[SW1-Ethernet0/0/6]port-isolate enable group 5
[SW1-Ethernet0/0/6]interface Ethernet0/0/5
[SW1-Ethernet0/0/5]port-isolate enable group 5

测试验证：

        在此配置下，端口隔离实现了二层隔离，PC21和PC3之间可以相互通信，但是不能和财务PC1进行通信。

7.4.2 双向隔离配置与验证

        假设PC2主机发送大量的广播报文，通过配置接口间单向隔离，实现其他主机对该主机报文的隔离。

相关配置如下：

[SW1-Ethernet0/0/5]am isolate Ethernet 0/0/2 to 0/0/4   //SW1-Ethernet0/0/5到SW1-Ethernet0/0/2 to 0/0/4方向数据隔离

测试验证：

PC2和不在同一隔离组的端口进行通信。

        如上图所示，通过ping测试和抓包可以看出，PC2到PC5的数据被阻断，PC2 ping PC5发出的ARP广播被SW1-Ethernet0/0/5阻断，得不到PC5的回复；PC5 ping PC2，PC2收到了PC5的广播，但PC2的回复被SW1-Ethernet0/0/5阻断；

        PC2到PC3和PC4与PC2到PC5相似，不再测试验证。

参考链接：

https://support.huawei.com/enterprise/zh/doc/EDOC1000141427/4c8ff006

https://support.huawei.com/enterprise/zh/doc/EDOC1100203235/8fb91d07
https://support.huawei.com/enterprise/zh/doc/EDOC1100203235/8fb91d0

义一
关注
  • 17
    点赞
  • 踩
  • 17
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
华为网络工程师 | 如何配置端口隔离？
网络技术联盟站
12-12 486
组网需求 如图所示，要求PC1与PC2之间不能互相访问，PC1与PC3之间可以互相访问，PC2与PC3之间可以互相访问。 配置思路 采用如下的思路配置端口隔离： 使能PC1和PC2相连端口的端口隔离功能，使PC1与PC2不能互相访问。 数据准备 为完成此配置例，需准备如下的数据： Switch与PC1之间连接的端口号。 Switch与PC2之间连接的端口号。 配置连接PC1、PC2、...
华为交换机端口隔离配置示例（ENSP）
ilovewyl的博客
06-18 658
华为交换机端口隔离配置示例（ENSP） PC2-PC4,PC3-PC4可以二层访问；PC2与PC3之间不能二层访问；
华为-端口隔离
潇峰的博客
09-15 7246
配置端口隔离端口隔离可实现同一VLAN内端口之间的隔离，为用户提供了更安全、更灵活的组网方案。背景信息为了实现报文之间的二层隔离，用户可以将不同的端口加入不同的VLAN，但这样会浪费有限的VLAN资源。采用端口隔离功能，可以实现同一VLAN内端口之间的隔离。用户只需要将端口加入到隔离组中，就可以实现隔离组内端口之间二层数据的隔离。端口隔离功能为用户提供了更安全、更灵活的组网方案。如果用户希望隔离同......
端口隔离-isolation
Shane_xie的博客
09-20 1419
端口隔离是一种重要的网络安全技术,用于限制计算机端口或网络区段之间的通信。
华为交换机的端口隔离功能
热门推荐
weixin_45857582的博客
03-10 1万+
华为交换机实现端口隔离功能 端口隔离功能原理：在交换机的接口视图下开启此接口的端口隔离功能，交换机默认是将隔离的端口加入到了一个隔离组中，默认是group 1，处于同一个组中的端口之间是不能互相访问的。不同组之间的端口是可以互相访问的。 interface GigabitEthernet0/0/1 port-isolate enable group 1 interface GigabitEthernet0/0/2 port-isolate enable group 1 默认如果不指定组的话，是gro
华为 mux vlan介绍及配置实例-值得收藏学习
满地找牙的博客
06-30 1504
华为的是一种增强型的VLAN配置技术，主要用来提供更细致的二层流量隔离和控制策略，特别是在需要对用户群体进行分组隔离，同时又保持某些特定服务或资源可被多个分组访问的场景。
配置端口隔离示例
lzwq1288的博客
10-23 2181
配置端口隔离示例 PC1与 PC2之间不能互相访问， PC1与 PC3之间可以互相访问， PC2与 PC3之间可以互相访问 配置思路 采用如下的思路配置端口隔离： 使能 PC1和 PC2相连端口的端口隔离功能，使 PC1与 PC2不能互相访问。 配置端口隔离功能 配置端口隔离模式为二层隔离三层互通。 system-view [Quidway] port-isolate mode l2 配置 G...
华为交换机Hybrid接口工作原理及示例配置
lehe99的专栏
04-18 7613
Hybrid接口既可以连接普通终端的接入链路又可以连接交换机间的干道链路，它允许多个VLAN的帧通过，并可以在出接口方向将某些VLAN帧的标签剥掉。 Hybrid接口处理VLAN帧的过程如下: （1）收到一个二层帧，判断是否有VLAN标签。没有标签，则标记上Hybrid接口的PVID，进行下- -步处理;有标签，判断该Hybrid接口是否允许该VLAN的帧进入，允许则进行下一步处理，否则丢弃。 （2）当数据帧从Hybrid接口发出时，交换机判断VLAN在本接口的属性是Untag
华为 Qinq 介绍及配置实例和常用问题-(值得收藏学习)
满地找牙的博客
06-30 1551
华为QinQ（）是一种扩展VLAN（虚拟局域网）空间的技术，它遵循IEEE 802.1ad标准。QinQ技术通过在原有的802.1Q标签报文基础上再嵌套一层802.1Q标签，从而实现两层VLAN标签的封装，使得每个数据包携带两个VLAN标识，以此来扩展VLAN的可用数量并提供更多的网络分段和隔离能力。
华为S5700-28C-SI三层交换机配置文档说明
04-13
### 华为S5700-28C-SI三层交换机配置解析 #### 配置背景 根据所提供的信息，本次配置的目标是利用华为S5700-28C-SI三层交换机实现以下两个策略： 1. **misgate服务器与五台基于OPC通讯的DCS服务器之间实现相互...
配置mux-vlan示例——接入层设备
12-28
理解并掌握接入层设备上的MUX VLAN配置，不仅有助于你通过华为HCIE认证，更能在实际工作中提升网络设计和管理能力，有效地解决多VLAN环境下的隔离和通信问题。在实践中，应结合实际网络需求，灵活应用MUX VLAN技术，...
华为数通认证hcie-r&s知识点大牛总结
05-20
为了解决MAC地址漂移问题，交换机支持MAC地址漂移检测和处理机制，例如端口隔离、自动恢复等策略。 **1.1.7 MAC表参数缺省配置** 默认情况下，交换机的MAC地址表条目数量限制为8K，老化时间设置为300秒。可以通过...
二层隔离配置示例.docx
11-17
例如，在华为和华三的交换机配置中，会在VLAN接口上启用ARP代理功能，并在汇聚交换机的Eth-Trunk接口上启用端口隔离并分配到同一组，同时在接入交换机的用户侧接口上启用端口隔离并加入相同的组。 2. **二层三层都...
华为S3328TP-EI三层交换机配置
03-30
在华为S3328TP-EI上，配置VLAN（虚拟局域网）是必要的，它可以帮助隔离不同的网络流量，如外网、办公网络、手机和咨询网络等。例如，创建VLAN 2，将外网端口GigabitEthernet 0/0/4分配给VLAN 2，并设置VLANif 2的IP...
华为S3700交换机配置VLAN的方法​
最新发布
huaqianzkh的专栏
08-18 630
VLAN即虚拟局域网，是一种将一个物理的局域网在逻辑上划分成多个广播域的技术。
华为的流程管理
m516387177的博客
08-14 1230
战略管理流程DSTE（开发战略到执行，Develop Strategy to Execute）是华为端到端的战略管理流程体系，完整地澄清了一个组织的战略从制定到执行的业务脉络和管控视图，通过战略管理流程来实现战略规划至落地实施的一体化打通，其打通了公司及各业务单元的中长期战略目标与年度计划资源预算和滚动计划，进而集成各功能部门（产品线、地区部、战略部、HR部、财经部、质量部等）的管理。MTL与LTC构成了完整的营销流程，MTL偏向于“营”，对应了客户的认知阶段，LTC偏向于“销”，对应了客户的采购阶段。
eNSP 华为三层交换机配置DHCP
XLB
08-18 649
SW-Vlanif10]dhcp server excluded-ip-address 192.168.1.101 192.168.1.253 //分配除192.168.1.101-253的IP地址。[SW-ip-pool-20]excluded-ip-address 172.16.1.151 172.16.1.253 //去除以上IP地址。[SW-Vlanif10]dhcp select interface //基于接口DHCP，分配该接口下网段的IP。携带分配给客户端的IP地址。
【鸿蒙学习】HarmonyOS应用开发者基础 - 构建更加丰富的页面之Tabs（三）
一个不断前行的程序者
08-15 913
当页面信息较多时，为了让用户能够**聚焦**于当前显示的内容，需要对页面内容进行**分类**，提高页面空间利用率。Tabs组件可以在一个页面内**快速实现视图内容的切换**，一方面**提升**查找信息的**效率**，另一方面**精简**用户单次获取到的信息量。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值