目前網路中乙太網路技術的應用非常廣泛。然而，各種網路攻擊的存在（例如針對ARP、DHCP等協定的攻擊），不僅造成了網路合法用戶無法正常存取網路資源，而且對網路資訊安全構成嚴重威脅，因此乙太網路交換的安全性越來越重要。

本系列透過介紹常見的乙太網路交換安全技術，包括連接埠隔離、連接埠安全、MAC位址漂移偵測、風暴控制、連接埠限速、MAC位址表安全、DHCP Snooping及IP Source Guard等常見技術，以提高對以太網交換安全的理解與認識。

• 以太交換網路中為了實現封包之間的二層隔離，使用者通常會將不同的連接埠加入不同的VLAN，實現二層廣播域的隔離。
• 大型網路中，業務需求種類繁多，只透過VLAN實現封包二層隔離，會浪費有限的VLAN資源。

如下圖所示，由於某種業務需求，PC1與PC2雖然屬於同一個VLAN ，但要求它們在二層不能互通（但允許三層互通），PC1與PC3在任何情況下都不能互通，但VLAN 3裡的主機可以存取VLAN 2裡的主機。那麼該如何解決這個問題呢？

連接埠隔離技術概述

採用連接埠隔離功能，可實現相同VLAN內連接埠之間的隔離。使用者只需要將連接埠加入隔離群組中，就可以實現隔離群組內連接埠之間二層資料的隔離。連接埠隔離功能為使用者提供了更安全、更靈活的網路方案。

連接埠隔離技術原理

(1) 雙向隔離

同一埠隔離組的介面之間互相隔離，不同埠隔離組的介面之間不隔離。連接埠隔離只是針對同一裝置上的連接埠隔離群組成員，對於不同裝置上的介面而言，無法實現該功能。

(2) 單向隔離

為了實現不同連接埠隔離組的介面之間的隔離，可以透過配置介面之間的單向隔離來實現。缺省情況下，未配置連接埠單向隔離。

(3) L2（二層隔離三層互通）

隔離同一VLAN內的廣播封包，但是不同連接埠下的使用者還可以進行三層通訊。預設情況下，連接埠隔離模式為二層隔離三層互通。

(4) ALL(二層三層都隔離)

同一VLAN的不同連接埠下用戶二三層徹底隔離無法通訊。

採用二層隔離三層互通的隔離模式時，在VLANIF介面上啟用VLAN內Proxy ARP功能，並設定arp-proxy inner-sub-vlan-proxy enable，可實現相同VLAN內主機通訊。

連接埠隔離配置命令

(1) 使能埠隔離功能

[Huawei-GigabitEthernet0/0/1] port-isolate enable [ group group-id ]
1.

缺省情況下，未使能連接埠隔離功能。如果不指定group-id參數時，預設加入的連接埠隔離組為1。

(2) (選用）配置連接埠隔離模式

Huawei] port-isolate mode { l2 | all }
1.

缺省情況下，連接埠隔離模式為L2。

• L2 連接埠隔離模式為二層隔離三層互通。
• all 連接埠隔離模式為二層三層都隔離

(3) 配置連接埠單向隔離

[Huawei-GigabitEthernet0/0/1] am isolate {interface-type interface-number }&<1-8>
1.

am isolate指令用來設定目前介面與指定介面的單向隔離。在介面A上配置與介面B之間單向隔離後，介面A發送的封包無法到達介面B，但從介面B發送的封包可以到達介面A。缺省情況下，未配置連接埠單向隔離。

連接埠隔離配置舉例

如圖所示：PC1、PC2和PC3屬於VLAN 2，透過設定埠隔離，使PC3可以與PC1、PC2通信，但PC1和PC2之間無法通訊。

Switch配置如下：

[Switch] vlan 2
[Switch] port-isolate mode all
[Switch] interface GigabitEthernet 0/0/1
[Switch-GigabitEthernet0/0/1] port link-type access
[Switch-GigabitEthernet0/0/1] port default vlan 2
[Switch-GigabitEthernet0/0/1] port-isolate enable group 2 
[Switch] interface GigabitEthernet 0/0/2
[Switch-GigabitEthernet0/0/2] port link-type access
[Switch-GigabitEthernet0/0/2] port default vlan 2
[Switch-GigabitEthernet0/0/2] port-isolate enable group 2 
[Switch] interface GigabitEthernet 0/0/3
[Switch-GigabitEthernet0/0/3] port link-type access
[Switch-GigabitEthernet0/0/3] port default vlan 2
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.

• display port-isolate group { group-id | all }，查看連接埠隔離群組的設定。
• clear configuration port-isolate指令一鍵式清除設備上所有的連接埠隔離配置。
• port-isolate exclude vlan指令設定埠隔離功能生效時排除的VLAN。

連接埠隔離配置驗證

(1) 透過display port-isolate group group-number查看連接埠隔離群組中的連接埠

[SW]display port-isolate group 2
  The ports in isolate group 2:
GigabitEthernet0/0/1     GigabitEthernet0/0/2
1.
2.
3.

(2) 驗證同一埠隔離群組下主機網路不能互通。