H3C 端口隔離配置

1、操作手冊(cè) 接入分冊(cè) 端口隔離目 錄目 錄第1章 端口隔離配置.1-11.1 端口隔離簡(jiǎn)介.1-11.2 配置單隔離組.1-31.2.1 將端口加入隔離組.1-31.2.2 配置隔離組的上行端口.1-31.3 配置多隔離組.1-41.3.1 將端口加入隔離組.1-41.3.2 配置隔離組的上行端口.1-51.4 隔離組顯示和維護(hù).1-51.5 端口隔離典型配置舉例（支持單隔離組和上行端口的設(shè)備）.1-61.6 端口隔離典型配置舉例（支持多隔離組和上行端口的設(shè)備）.1-7i操作手冊(cè) 接入分冊(cè) 端口隔離第1章 端口隔離配置本文中標(biāo)有“請(qǐng)以實(shí)際情況為準(zhǔn)”的特性描述，表示各型號(hào)對(duì)于此特性的支持情況可能不

2、同，本節(jié)將對(duì)此進(jìn)行說(shuō)明。MSR系列路由器提供的特性支持情況如下： 特性 將端口加入隔離組配置單隔離組 配置隔離組的上行端口將端口加入隔離組配置多隔離組 配置隔離組的上行端口 MSR 20-1XMSR 20 MSR 30 MSR 50說(shuō)明：zz H3C MSR系列路由器對(duì)相關(guān)命令參數(shù)支持情況、缺省值及取值范圍的差異內(nèi)容請(qǐng)參見本模塊的命令手冊(cè)。 H3C MSR系列各型號(hào)路由器均為集中式設(shè)備。第1章 端口隔離配置1.1 端口隔離簡(jiǎn)介為了實(shí)現(xiàn)報(bào)文之間的二層隔離，可以將不同的端口加入不同的VLAN，但會(huì)浪費(fèi)有限的VLAN資源。采用端口隔離特性，可以實(shí)現(xiàn)同一VLAN內(nèi)端口之間的隔離。用戶只需要將端口加入到

3、隔離組中，就可以實(shí)現(xiàn)隔離組內(nèi)端口之間二層數(shù)據(jù)的隔離。端口隔離功能為用戶提供了更安全、更靈活的組網(wǎng)方案。目前：z 有些設(shè)備只支持一個(gè)隔離組（以下簡(jiǎn)稱單隔離組），由系統(tǒng)自動(dòng)創(chuàng)建隔離組1，用戶不可刪除該隔離組或創(chuàng)建其它的隔離組。z 有些設(shè)備支持多個(gè)隔離組（以下簡(jiǎn)稱多隔離組），用戶可以手工配置。不同設(shè)備支持的隔離組數(shù)不同，請(qǐng)以設(shè)備實(shí)際情況為準(zhǔn)。z 隔離組內(nèi)可以加入的端口數(shù)量沒有限制。1-1操作手冊(cè) 接入分冊(cè) 端口隔離第1章 端口隔離配置說(shuō)明：zzz 聚合組的成員端口不允許配置成為上行端口。反之，已經(jīng)配置為上行端口的接口不能加入聚合組。特殊情況下（為了兼容舊的配置文件），如果用戶同時(shí)配置端口為聚合組的成

4、員端口和隔離組的上行端口，則只有聚合組配置生效，隔離組將被刪除。（聚合相關(guān)內(nèi)容請(qǐng)參見“系統(tǒng)分冊(cè)”中的“鏈路聚合配置”） 業(yè)務(wù)環(huán)回的成員端口不允許配置成為隔離組的上行端口或普通端口。反之，隔離組的上行端口或普通端口不能配置業(yè)務(wù)環(huán)回特性。 設(shè)備是支持單隔離組還是多隔離組，與設(shè)備的型號(hào)有關(guān)，請(qǐng)以設(shè)備實(shí)際情況為準(zhǔn)。端口隔離特性與端口所屬的VLAN無(wú)關(guān)。對(duì)于屬于不同VLAN的端口，只有同一個(gè)隔離組的普通端口到上行端口的二層報(bào)文可以單向通過(guò)，其它情況的端口二層數(shù)據(jù)是相互隔離的。對(duì)于屬于同一VLAN的端口，隔離組內(nèi)、外端口的二層數(shù)據(jù)互通的情況，又可以分為以下兩種：z 支持上行端口的設(shè)備，各種類型端口之間二層

5、報(bào)文的互通情況如圖1-1所示。 不支持上行端口的設(shè)備，隔離組內(nèi)的端口和隔離組外端口二層流量雙向互通。圖1-1 支持上行端口的設(shè)備同一VLAN內(nèi)隔離組內(nèi)、外端口二層報(bào)文互通情況說(shuō)明：圖中箭頭方向表示報(bào)文的發(fā)送方向。1-2操作手冊(cè) 接入分冊(cè) 端口隔離第1章 端口隔離配置1.2 配置單隔離組1.2.1 將端口加入隔離組表1-1 將端口加入隔離組操作進(jìn)入系統(tǒng)視圖進(jìn)入以太網(wǎng)接口視圖進(jìn)入以太網(wǎng)接口視圖/端口組視圖/二層聚合接口視圖進(jìn)入端口組視圖命令system-viewinterface interface-type interface-number port-group manual port-grou

6、p-name-三者必選其一z說(shuō)明進(jìn)入以太網(wǎng)接口視圖后，下面進(jìn)行的配置只在當(dāng)前端口下生效 進(jìn)入端口組視圖后，下面進(jìn)行的配置將在端口組中的所有端口下生效在二層聚合接口視圖下執(zhí)行該命令，則該配置將對(duì)二層聚合接口以及相應(yīng)的所有成員端口生效。在配置過(guò)程中，如果某個(gè)成員端口配置失敗，系統(tǒng)會(huì)自動(dòng)跳過(guò)該成員端口繼續(xù)配置其它成員端口；如果二層聚合接口配置失敗，則不會(huì)再配置成員端口zz進(jìn)入二層聚合接口視圖interfacebridge-aggregation interface-number將指定端口加入到隔離組中，并作為隔離組中的普通端口必選port-isolate enable缺省情況下，隔離組中沒有加入任何

7、端口1.2.2 配置隔離組的上行端口表1-2 配置隔離組的上行端口操作進(jìn)入系統(tǒng)視圖進(jìn)入以太網(wǎng)接口視圖命令system-viewinterface interface-type interface-number-二者必選其一z說(shuō)明進(jìn)入以太網(wǎng)接口視圖/端口組視圖/二層聚合接口視圖進(jìn)入以太網(wǎng)接口視圖后，下面進(jìn)行的配置只在當(dāng)前端口下生效 在二層聚合接口視圖下執(zhí)行該命令，只把該二層聚合接口設(shè)置為隔離組的上行端口，二層聚合接口對(duì)應(yīng)的成員端口可以設(shè)置為隔離組的普通端口，但成員端口會(huì)處于Unselected狀態(tài)，不能收發(fā)報(bào)文z進(jìn)入二層聚合接口視圖interfacebridge-aggregation inte

8、rface-number將當(dāng)前端口加入到隔離組中，并作為隔離組中的上行端口port-isolate uplink-port必選缺省情況下，隔離組中無(wú)上行端口1-3操作手冊(cè) 接入分冊(cè) 端口隔離第1章 端口隔離配置說(shuō)明：z zzzz隔離組的上行端口的支持情況與設(shè)備的型號(hào)有關(guān)，請(qǐng)以設(shè)備的實(shí)際情況為準(zhǔn)。 一個(gè)隔離組中只能有一個(gè)上行端口，在用戶多次配置不同的端口為上行端口時(shí)，以最后一個(gè)配置為準(zhǔn)。如果端口已經(jīng)被配置為某個(gè)隔離組的普通端口，則不能再配置為所有隔離組的上行端口，但是可以配置為其它隔離組的普通端口。如果端口已經(jīng)被配置為某個(gè)隔離組的上行端口，則不能再配置為所有隔離組的普通端口和其它隔離組的上行端口

9、。聚合組的成員端口不允許配置成為上行端口。反之，已經(jīng)配置為上行端口的接口不能加入聚合組。1.3 配置多隔離組1.3.1 將端口加入隔離組表1-3 將端口加入隔離組操作進(jìn)入系統(tǒng)視圖 創(chuàng)建隔離組進(jìn)入以太網(wǎng)接口視圖進(jìn)入以太網(wǎng)接口視圖/端口組視圖/二層聚合接口視圖進(jìn)入端口組視圖命令system-view port-isolate group group-numberinterface interface-type interface-number port-group manual port-group-name- 必選 三者必選其一z說(shuō)明進(jìn)入以太網(wǎng)接口視圖后，下面進(jìn)行的配置只在當(dāng)前端口下生效 進(jìn)入端

10、口組視圖后，下面進(jìn)行的配置將在端口組中的所有端口下生效在二層聚合接口視圖下執(zhí)行該命令，則該配置將對(duì)二層聚合接口以及相應(yīng)的所有成員端口生效。在配置過(guò)程中，如果某個(gè)成員端口配置失敗，系統(tǒng)會(huì)自動(dòng)跳過(guò)該成員端口繼續(xù)配置其它成員端口；如果二層聚合接口配置失敗，則不會(huì)再配置成員端口zz進(jìn)入二層聚合接口視圖interfacebridge-aggregation interface-number將指定端口加入到隔離組中，并作為隔離組中的普通端口port-isolate enable group group-number必選缺省情況下，隔離組中沒有加入任何端口1-4操作手冊(cè) 接入分冊(cè) 端口隔離第1章 端口隔離配

11、置1.3.2 配置隔離組的上行端口表1-4 配置隔離組的上行端口操作進(jìn)入系統(tǒng)視圖進(jìn)入以太網(wǎng)接口視圖命令system-viewinterface interface-type interface-number-二者必選其一z說(shuō)明進(jìn)入以太網(wǎng)接口視圖/端口組視圖/二層聚合接口視圖進(jìn)入以太網(wǎng)接口視圖后，下面進(jìn)行的配置只在當(dāng)前端口下生效 在二層聚合接口視圖下執(zhí)行該命令，只把該二層聚合接口設(shè)置為隔離組的上行端口，二層聚合接口對(duì)應(yīng)的成員端口可以設(shè)置為隔離組的普通端口，但成員端口會(huì)處于Unselected狀態(tài)，不能收發(fā)報(bào)文z進(jìn)入二層聚合接口視圖interfacebridge-aggregation inter

12、face-number將當(dāng)前端口加入到隔離組中，并作為隔離組中的上行端口port-isolate uplink-port group group-number必選缺省情況下，隔離組中無(wú)上行端口說(shuō)明：z zzz隔離組的上行端口的支持情況與設(shè)備的型號(hào)有關(guān)，請(qǐng)以設(shè)備的實(shí)際情況為準(zhǔn)。 一個(gè)隔離組中只能有一個(gè)上行端口，在用戶多次配置不同的端口為上行端口時(shí)，以最后一個(gè)配置為準(zhǔn)。如果端口已經(jīng)被配置為隔離組的普通端口，則不能再配置為所有隔離組的上行端口，反之亦然。聚合組的成員端口不允許配置成為上行端口。反之，已經(jīng)配置為上行端口的接口不能加入聚合組。1.4 隔離組顯示和維護(hù)在完成上述配置后，在任意視圖下執(zhí)行di

13、splay命令可以顯示配置后隔離組的相關(guān)信息，通過(guò)查看顯示信息驗(yàn)證配置的效果。表1-5 隔離組顯示和維護(hù)操作顯示單隔離組的信息 顯示多隔離組的信息命令display port-isolate groupdisplay port-isolate group group-number 1-5操作手冊(cè) 接入分冊(cè) 端口隔離第1章 端口隔離配置1.5 端口隔離典型配置舉例（支持單隔離組和上行端口的設(shè)備）1. 組網(wǎng)需求z 小區(qū)用戶Host A、Host B、Host C分別與Device的端口Ethernet1/1、Ethernet1/2、Ethernet1/3相連；zz 設(shè)備通過(guò)Ethernet1/0端

14、口與外部網(wǎng)絡(luò)相連； 端口Ethernet1/1、Ethernet1/2、Ethernet1/3和Ethernet1/0屬于同一VLAN；請(qǐng)實(shí)現(xiàn)小區(qū)用戶Host A、Host B和Host C彼此之間二層報(bào)文不能互通，但可以和外部網(wǎng)絡(luò)通信。2. 組網(wǎng)圖圖1-2 配置端口隔離組網(wǎng)圖3. 配置步驟# 將端口Ethernet1/1、Ethernet1/2、Ethernet1/3加入隔離組。<Device> system-viewDevice interface ethernet 1/1Device-Ethernet1/1 port-isolate enableDevice-Ethernet

15、1/1 quitDevice interface ethernet 1/2Device-Ethernet1/2 port-isolate enableDevice-Ethernet1/2 quitDevice interface ethernet 1/3Device-Ethernet1/3 port-isolate enable# 配置端口Ethernet1/0為隔離組的上行端口。Device-Ethernet1/3 quitDevice interface ethernet 1/01-6操作手冊(cè) 接入分冊(cè) 端口隔離Device-Ethernet1/0 port-isolate uplink-

16、portDevice-Ethernet1/0 return 第1章 端口隔離配置# 顯示隔離組中的信息。<Device> display port-isolate groupPort-isolate group information:Uplink port support: YESGroup ID: 1Uplink port: Ethernet1/0Group members:Ethernet1/1 Ethernet1/2 Ethernet1/31.6 端口隔離典型配置舉例（支持多隔離組和上行端口的設(shè)備）1. 組網(wǎng)需求z 小區(qū)用戶Host A、Host B、Host C分別與De

17、vice的端口Ethernet1/1、Ethernet1/2、Ethernet1/3相連；zz 設(shè)備通過(guò)Ethernet1/0端口與外部網(wǎng)絡(luò)相連； 端口Ethernet1/1、Ethernet1/2、Ethernet1/3和Ethernet1/0屬于同一VLAN；請(qǐng)實(shí)現(xiàn)小區(qū)用戶Host A、Host B和Host C彼此之間二層報(bào)文不能互通，但可以和外部網(wǎng)絡(luò)通信。2. 組網(wǎng)圖圖1-3 配置端口隔離組網(wǎng)圖3. 配置步驟# 創(chuàng)建隔離組2。<Device> system-view1-7操作手冊(cè) 接入分冊(cè) 端口隔離Device port-isolate group 2 第1章 端口隔離配置

18、# 將端口Ethernet1/1、Ethernet1/2、Ethernet1/3加入隔離組2。Device interface ethernet 1/1Device-Ethernet1/1 port-isolate enable group 2Device-Ethernet1/1 quitDevice interface ethernet 1/2Device-Ethernet1/2 port-isolate enable group 2Device-Ethernet1/2 quitDevice interface ethernet 1/3Device-Ethernet1/3 port-isolate enable group 2# 配置端口Ethernet1/0為隔離組2的上行端口。Device-Ethernet1/3 quitDevice interfac