在同一个vlan中如何实现端口相互隔离呢？这个在交换机组网项目中也是经常会用到。
对于有些项目，项目本身不需要不同vlan之间进行互访，比如有些监控项目就只需要内网访问，那么就没有必要创建vlan了，节约网络设备资源，但是要防止网络风暴，怎么办呢？
采用端口隔离功能，可以实现同一VLAN内端口之间的隔离。用户只需要将端口加入到隔离组中，就可以实现隔离组内端口之间二层数据的隔离。
端口隔离一般用于内网中，端口隔离的端口之间无法相互通信，所以端口隔离功能为用户提供了更安全的方案。
1、本公司员工
2、A合作方公司员工
3、B合作方公司员工
如下图所示，PC1和PC2分别代表A、B合作方员工，PC3代表本公司研发员工，公司希望 在节省VLAN资源的前提下，实现本公司员工和A、B两个合作方公司之间可以相互通 信，但是A、B两个合作方公司员工之间无法通信。
也就是，在同一个vlan中，PC3可以访问PC1与PC2，而PC1与PC2不能相互访问，我们以华为的交换机配置作为实例。
采用如下的思路配置端口隔离：
a、配置接口加入VLAN。
b、 配置接口加入到隔离组中，实现隔离组内接口之间二层数据的隔离。
step1、配置端口隔离功能
<HUAWEI> system-view //进入配置视图
[HUAWEI] sysname Switch //交换机命令为switch
[Switch] vlan 10 //创建vlan10
[Switch-vlan10] quit //返回
[Switch] interface gigabitethernet 1/0/1 //进入端口1/0/1
[Switch-GigabitEthernet1/0/1] port link-type access //配置GE1/0/1的接口类型为access。
[Switch-GigabitEthernet1/0/1] port default vlan 10 //配置GE1/0/1加入VLAN 10。
[Switch-GigabitEthernet1/0/1] port-isolate enable //缺省加入端口隔离组1，且隔离模式为二层隔离三层互通。
[Switch-GigabitEthernet1/0/1] quit
[Switch] interface gigabitethernet 1/0/2
[Switch-GigabitEthernet1/0/2] port link-type access //配置GE1/0/2的接口类型为access。
[Switch-GigabitEthernet1/0/2] port default vlan 10 //配置GE1/0/2加入VLAN 10。
[Switch-GigabitEthernet1/0/2] port-isolate enable //缺省加入端口隔离组1，且隔离模式为二层隔离三层互通。
[Switch-GigabitEthernet1/0/2] quit
[Switch] interface gigabitethernet 1/0/3
[Switch-GigabitEthernet1/0/3] port link-type access //配置GE1/0/3的接口类型为access。
[Switch-GigabitEthernet1/0/3] port default vlan 10 //配置GE1/0/3加入VLAN 10。
[Switch-GigabitEthernet1/0/3] quit
PC1和PC2数据不能互通。
PC1和PC3数据可以互通。
PC2和PC3数据可以互通。
作为交换机有效的访问控制安全控制机制之一：端口隔离，其安全、灵活的特性在实际组网中应用广泛，它可以将指定的端口可以加入到特定的端口隔离组中，同一端口隔离组的端口之间互相隔离，不同端口隔离组的端口之间不隔离。
是不是感觉似曾相识，感觉跟划分VLAN差不多，其实不然，虽然VLAN和端口隔离都是把一部分设备独立在一个空间内，有防护功能，但VLAN一般用来隔离广播的，譬如一栋大楼，每层一个VLAN，隔离出广播域，而端口隔离则不同，一般同一个VLAN的用户都是同一网段的，所以是可以ping通访问的，实现共享资料的，但是做了端口隔离后，即使在同一网段，也禁止互相访问，安全指数更高！
简言之就是：VLAN的作用是隔离广播，同一个VLAN在一个广播域，端口隔离就是将同一个VLAN不同接口再进行隔离。
TOP