两台华为交换机之间怎么做端口隔离，实现他们之间的任何端口都不能通讯？
答案:5 悬赏:30 手机版
解决时间 2021-01-27 05:07
- 提问者网友：孤凫
- 2021-01-26 07:13
两台华为交换机之间怎么做端口隔离，实现他们之间的任何端口都不能通讯？
最佳答案
- 五星知识达人网友：慢性怪人
- 2021-01-26 08:32
你的交换机都接在路由上么？按你的说法应该不会是两台交换机之间做了级联的。如果是上层都接在一台路由上的话，而你对两台设备VLAN没做任何改动那么肯定是通的，如果是我说的这种情况，需要在路由里面做改动。你那边是怎么组网的。。？
48个VLAN神马的完全是扯淡~追问公司有个三层交换机华为5700.三层上分5个valn，vlan之间不能互相访问，此外下面的四台二层交换机之间也不能互相访问。好像听说需要在5700上配置acl控制列表。请教下下面的四个交换之间的端口隔离室在每个端口里设置的吧？vlan之间的隔离是在5700的acl控制列表里座的吧？咋做能说下不？追答因为具体的配置不知道，所以我还是只能按我的理解分析下。
二层的交换机带VLAN上到三层交换机的不同端口，如果三层交换机没做任何设置，那么会因为三层交换机的各个端口都在VLAN1上所以所有四台二层交换机是通的~这个和你在二层交换机上做没做端口隔离应该没关系。如果说在三层交换机上做了设置，那么就如你所说已经设置了5个VLAN，如果每个二层交换机上来的每个端口被分在不同的VLAN下的话，不做三层接口（就是对vlan设置IP）的情况下应该也是所有二层交换机是不通的。在我的印象中ACL表一般是用来对外的，也就是说一般配置ACL表示控制外部对本设备访问的IP限制（一般是远程连接控制），所以你看看三层交换机上是不是做了静态路由了，如果设置的三层接口对应的IP之间都做了静态路由导致所有设置的IP之间都是路由可达的话那么所有二层的交换机肯定是通的。
你用display current-configration 看看三层交换机的配置列表，最好能抓下来让我看看。
我也是在学习中，所以有什么可以讨论讨论。不对的地方请指正~追问嗯，三层的其实没有怎么设置，只是设置了5个vlan。我想请教，我的vlan 10想连接二层交换机。端口1 和2设置在了vlan 10里，这两个口需要什么设置么？领导想给vlan10 设置一个ip地址，然后让接在vlan10上的二层交换机里的pc都获取这个段内的ip地址。帮帮我啊 呵呵追答我看网上的资料，主要是要做三层交换机上的ACL列表控制一定范围的IP访问，对VLAN10做三层的接口，IP自己设置一个，并作为网关IP。你就查查怎么让交换机端口绑定IP地址段，貌似东西有点多，我也在看，但是所学有限啊。。。帮不上忙。。。不好意思。。。。
48个VLAN神马的完全是扯淡~追问公司有个三层交换机华为5700.三层上分5个valn，vlan之间不能互相访问，此外下面的四台二层交换机之间也不能互相访问。好像听说需要在5700上配置acl控制列表。请教下下面的四个交换之间的端口隔离室在每个端口里设置的吧？vlan之间的隔离是在5700的acl控制列表里座的吧？咋做能说下不？追答因为具体的配置不知道，所以我还是只能按我的理解分析下。
二层的交换机带VLAN上到三层交换机的不同端口，如果三层交换机没做任何设置，那么会因为三层交换机的各个端口都在VLAN1上所以所有四台二层交换机是通的~这个和你在二层交换机上做没做端口隔离应该没关系。如果说在三层交换机上做了设置，那么就如你所说已经设置了5个VLAN，如果每个二层交换机上来的每个端口被分在不同的VLAN下的话，不做三层接口（就是对vlan设置IP）的情况下应该也是所有二层交换机是不通的。在我的印象中ACL表一般是用来对外的，也就是说一般配置ACL表示控制外部对本设备访问的IP限制（一般是远程连接控制），所以你看看三层交换机上是不是做了静态路由了，如果设置的三层接口对应的IP之间都做了静态路由导致所有设置的IP之间都是路由可达的话那么所有二层的交换机肯定是通的。
你用display current-configration 看看三层交换机的配置列表，最好能抓下来让我看看。
我也是在学习中，所以有什么可以讨论讨论。不对的地方请指正~追问嗯，三层的其实没有怎么设置，只是设置了5个vlan。我想请教，我的vlan 10想连接二层交换机。端口1 和2设置在了vlan 10里，这两个口需要什么设置么？领导想给vlan10 设置一个ip地址，然后让接在vlan10上的二层交换机里的pc都获取这个段内的ip地址。帮帮我啊 呵呵追答我看网上的资料，主要是要做三层交换机上的ACL列表控制一定范围的IP访问，对VLAN10做三层的接口，IP自己设置一个，并作为网关IP。你就查查怎么让交换机端口绑定IP地址段，貌似东西有点多，我也在看，但是所学有限啊。。。帮不上忙。。。不好意思。。。。
全部回答
- 1楼网友：酒醒三更
- 2021-01-26 12:21
设置48个vlan试试
- 2楼网友：老鼠爱大米
- 2021-01-26 11:46
你的问题应该已经解决了，在这里我想告诉你的是，端口隔离技术对于交换机来说之后本地意义，即只有在同一个交换机上的受保护端口时间不能互相通信，而位于不同交换机上的两个受保护端口之间是不会相互隔离的。
参考资料：CCNP SWITCH（642-813）86页
- 3楼网友：笑迎怀羞
- 2021-01-26 10:48
华为5700默认vlan间能互访而且不能取消（思科的二层三层相互独立）。port-isolate enable默认是二层隔离三层互通，通过命令port-isolate mode all实现端口之间三层也隔离。只是为了端口隔离而去做ACL太浪费CPU了，配置起来也麻烦。
- 4楼网友：等灯
- 2021-01-26 09:22
华为3000系列：
比如：将端口E0/1、E0/2、E0/3加入VLAN
[Quidway-vlan10]port ethernet 0/1 to ethernet 0/3
1.进入E0/1端口视图
[Quidway-vlan10] interface ethernet 0/1
2.配置端口E0/1与E0/2和E0/3隔离
[Quidway-Ethernet0/1] am isolate ethernet 0/2 to ethernet 0/3
3.进入E0/2端口视图
[Quidway-Ethernet0/1] interface ethernet 0/2
4.配置端口E0/2和E0/3隔离
[Quidway-Ethernet0/2] am isolate ethernet 0/3
1．此功能只能用于隔离同一VLAN相同IP网段用户；
2．对于两个端口之间的隔离，只需要在其中一个端口下进行配置即可。
3600系列
# 将以太网端口Ethernet1/0/2、Ethernet1/0/3、Ethernet1/0/4加入隔离组。
system-view
System View: return to User View with Ctrl+Z.
[H3C] interface ethernet1/0/2
[H3C-Ethernet1/0/2] port isolate
[H3C-Ethernet1/0/2] quit
[H3C] interface ethernet1/0/3
[H3C-Ethernet1/0/3] port isolate
[H3C-Ethernet1/0/3] quit
[H3C] interface ethernet1/0/4
[H3C-Ethernet1/0/4] port isolate
[H3C-Ethernet1/0/4] quit
[H3C]
# 显示隔离组中的端口信息。
display isolate port
Isolated port(s) on UNIT 1:
Ethernet1/0/2, Ethernet1/0/3, Ethernet1/0/4
9000系列
软件版本：S9500交换机1250之后的版本
硬件版本：S9500交换机业务单板
1）创建VLAN 100，将端口E4/1/1，E4/1/2，E4/1/3加入VLAN 100中
[H3C]vlan 100
[H3C-vlan100]port e4/1/1 to e4/1/3
2）创建隔离组1
[H3C]port-isolate group 1
3）将端口E4/1/1，E4/1/2，E4/1/3加入隔离组中
[H3C]interface e4/1/1
[H3C-Ethernet4/1/1]port-isolate group 1
[[H3C-Ethernet4/1/1]]interface e4/1/2
[H3C-Ethernet4/1/2]port-isolate group 1
[H3C-Ethernet4/1/2]interface e4/1/3
[H3C-Ethernet4/1/3]port-isolate group 1
4）将端口G3/1/1配置成trunk，并允许vlan100通过，同时将其配置成隔离组1的上行端口
[H3C]interface g3/1/1
[H3C-GigabitEthernet3/1/1]port link-type trunk
[H3C-GigabitEthernet3/1/1]port trunk permit vlan 100
[H3C-GigabitEthernet3/1/1]port-isolate uplink-port group 1
四、配置关键点：
1）隔离组内的端口只能与上行端口进行通信，隔离组的上行端口所在的VLAN必须包括所有该隔离组内端口；
2）只有在创建隔离组后才能配置该隔离组的上行端口和该隔离组的隔离端口；
3）隔离组的隔离端口和上行端口只能配置在以太网口和RPR端口；
4）一个端口只能加入一个隔离组；
5）一个隔离组的上行端口只能有一个，可以是聚合组，但不能是静态聚合组或动态聚合组；
6）一个端口可以既是隔离端口也可以是上行端口，但不能是同一个隔离组的隔离端口和上行端口；
7）如果隔离端口是聚合组的成员，聚合组的其他端口也将加入隔离组
比如：将端口E0/1、E0/2、E0/3加入VLAN
[Quidway-vlan10]port ethernet 0/1 to ethernet 0/3
1.进入E0/1端口视图
[Quidway-vlan10] interface ethernet 0/1
2.配置端口E0/1与E0/2和E0/3隔离
[Quidway-Ethernet0/1] am isolate ethernet 0/2 to ethernet 0/3
3.进入E0/2端口视图
[Quidway-Ethernet0/1] interface ethernet 0/2
4.配置端口E0/2和E0/3隔离
[Quidway-Ethernet0/2] am isolate ethernet 0/3
1．此功能只能用于隔离同一VLAN相同IP网段用户；
2．对于两个端口之间的隔离，只需要在其中一个端口下进行配置即可。
3600系列
# 将以太网端口Ethernet1/0/2、Ethernet1/0/3、Ethernet1/0/4加入隔离组。
system-view
System View: return to User View with Ctrl+Z.
[H3C] interface ethernet1/0/2
[H3C-Ethernet1/0/2] port isolate
[H3C-Ethernet1/0/2] quit
[H3C] interface ethernet1/0/3
[H3C-Ethernet1/0/3] port isolate
[H3C-Ethernet1/0/3] quit
[H3C] interface ethernet1/0/4
[H3C-Ethernet1/0/4] port isolate
[H3C-Ethernet1/0/4] quit
[H3C]
# 显示隔离组中的端口信息。
display isolate port
Isolated port(s) on UNIT 1:
Ethernet1/0/2, Ethernet1/0/3, Ethernet1/0/4
9000系列
软件版本：S9500交换机1250之后的版本
硬件版本：S9500交换机业务单板
1）创建VLAN 100，将端口E4/1/1，E4/1/2，E4/1/3加入VLAN 100中
[H3C]vlan 100
[H3C-vlan100]port e4/1/1 to e4/1/3
2）创建隔离组1
[H3C]port-isolate group 1
3）将端口E4/1/1，E4/1/2，E4/1/3加入隔离组中
[H3C]interface e4/1/1
[H3C-Ethernet4/1/1]port-isolate group 1
[[H3C-Ethernet4/1/1]]interface e4/1/2
[H3C-Ethernet4/1/2]port-isolate group 1
[H3C-Ethernet4/1/2]interface e4/1/3
[H3C-Ethernet4/1/3]port-isolate group 1
4）将端口G3/1/1配置成trunk，并允许vlan100通过，同时将其配置成隔离组1的上行端口
[H3C]interface g3/1/1
[H3C-GigabitEthernet3/1/1]port link-type trunk
[H3C-GigabitEthernet3/1/1]port trunk permit vlan 100
[H3C-GigabitEthernet3/1/1]port-isolate uplink-port group 1
四、配置关键点：
1）隔离组内的端口只能与上行端口进行通信，隔离组的上行端口所在的VLAN必须包括所有该隔离组内端口；
2）只有在创建隔离组后才能配置该隔离组的上行端口和该隔离组的隔离端口；
3）隔离组的隔离端口和上行端口只能配置在以太网口和RPR端口；
4）一个端口只能加入一个隔离组；
5）一个隔离组的上行端口只能有一个，可以是聚合组，但不能是静态聚合组或动态聚合组；
6）一个端口可以既是隔离端口也可以是上行端口，但不能是同一个隔离组的隔离端口和上行端口；
7）如果隔离端口是聚合组的成员，聚合组的其他端口也将加入隔离组
我要举报
如以上回答内容为低俗、色情、不良、暴力、侵权、涉及违法等信息，可以点下面链接进行举报！
点此我要举报以上问答信息
大家都在看
推荐资讯