华为交换机的端口隔离功能

华为交换机实现端口隔离功能

端口隔离功能原理：在交换机的接口视图下开启此接口的端口隔离功能，交换机默认是将隔离的端口加入到了一个隔离组中，默认是group 1，处于同一个组中的端口之间是不能互相访问的。不同组之间的端口是可以互相访问的。

interface GigabitEthernet0/0/1
 port-isolate enable group 1

interface GigabitEthernet0/0/2
 port-isolate enable group 1
 默认如果不指定组的话，是group1

interface GigabitEthernet0/0/3
 port-isolate enable group 2
将3口加入到组2中

这样实现的效果是，1、2口之间的主机即使处于同一个网段中也是不能互相访问的，但是他们和3口之间是可以互相访问的。这属于端口隔离中的双向隔离。需要注意的是，同组中的端口是不能互相访问的，即使没有配置端口隔离的端口，是可以和配置了的端口进行访问的。

还有一种是单向隔离，如果在一个端口下开启和另一个端口之间的单向隔离，那么另一个端口的发包是可以到达此接口的，只是此接口回不了包而已。
比如说是这样：

interface g0/0/3
   am isolate g0/0/1

那么，1口的包是可以到达3口的，只是3口不能给1口进行回包而已。

如果开启了代理arp，那么双方还是会相互访问，那是因为隔离模式默认是2层隔离，开启了代理arp,数据包会发送给具有代理arp功能的设备，如果这个设备有能力到达目标IP，那么所请求的mac地址，就由代理arp帮你请求。
配置：

interface g0/0/0		进入到需要开启代理arp的接口
arp-proxy enable

这样的话，即使开启的单向隔离，那么两个端口之间也会进行访问，但是需要注意它们之间访问的逻辑是什么。

ok，以上就是关于端口隔离的简单介绍。