交换机端口隔离port-isolate

一公司有三个部门，分别有三台PC。根据要求实现，PC1与PC2禁止互相访问，PC1可以访问PC3，但PC3不能访问PC1，PC2与PC3之间可以互相访问。

根据需求分析，PC1与PC2之间端口隔离，PC1与PC3之间单向隔离（模拟器没有实现），PC2与PC3之间不隔离。

脚本：

#

VLAN 2

#
interface GigabitEthernet0/0/1
 port link-type access
 port default vlan 2
 port-isolate enable group 3
#
interface GigabitEthernet0/0/2
 port link-type access
 port default vlan 2
 port-isolate enable group 3
#
interface GigabitEthernet0/0/3
 port link-type access
 port default vlan 2

 am isplate gigabitEthernet0/0/1              模拟器未实现单向隔离。
#

在此情况下，PC1与PC2之间隔离了二层，但可以通过ARP porxy实现三层互通。

当PC1 ping PC2 时，

在GI0/0/1抓包：

在GI0/0/2抓包：

从抓包信息可以看到，GI0/0/1有ARP报文，而GI0/0/2没有ARP 报文。

在SW上做VLAN2的网关，

interface Vlanif2
 ip address 10.10.10.250 255.255.255.0
 arp-proxy inner-sub-vlan-proxy enable

此时在GI0/0/1抓包：

在GI0/0/2抓包：

PC1 发送ARP请求PC2的MAC，VLANIF 2作为ARP Proxy代替PC2发送ARP应答报文。PC1收到VLANIF2 的相应后，把APR表中PC2的MAC修改未VLANIF２的MAC。

所以Ping的报文首先送到VLANIF2处理。

PC1与PC2之间虽然二层隔离，但是三层之间互通，此时在系统模式下，配置：port-isolate  mode   all，实现二层三层隔离。

此时PC1 Ping  PC 2,在GI0/0/1端口下抓包：

在GI0/0/2端口下抓包：

PC1发送给ARP 请求，收到VLANIF2的报文响应，PC1发送request请求，但VLANIF 2 并没有发送ARP请求寻找PC2的MAC。

Switch的端口隔离默认模式为二层隔离三层互通，隔离组默认为1。

port-isolate mode l2 
port-isolate enable group 1

am isolate 配置当前端口与指定端口单向隔离。

clear configuration port- - isoelate  在全局模式下可以清除所有的端口隔离配置。