126 lines
3.1 KiB
Markdown
126 lines
3.1 KiB
Markdown
|
# 端口隔离
|
|||
|
|
|
|||
|
|
## 端口隔离是什么
|
|||
|
|
|
|||
|
|
端口隔离是一种二层隔离技术，用来限制同一交换机上某些端口之间的直接通信。
|
|||
|
|
|
|||
|
|
可以简单理解为：
|
|||
|
|
|
|||
|
|
这些主机虽然接在同一台交换机上，甚至可能属于同一个 VLAN，但彼此之间不能直接互访，只能按照既定方向访问网关、上联口或服务器。
|
|||
|
|
|
|||
|
|
## 作用
|
|||
|
|
|
|||
|
|
端口隔离的核心作用是：
|
|||
|
|
- 防止同一接入网内终端之间互相访问
|
|||
|
|
- 提高接入层安全性
|
|||
|
|
- 减少内网横向传播风险
|
|||
|
|
- 适合“用户彼此隔离，但都要能上网”的场景
|
|||
|
|
|
|||
|
|
## 典型应用场景
|
|||
|
|
|
|||
|
|
- 宿舍网
|
|||
|
|
- 酒店网络
|
|||
|
|
- 访客网络
|
|||
|
|
- 同一楼层大量接入终端的园区网络
|
|||
|
|
|
|||
|
|
这类场景的常见需求是：
|
|||
|
|
- 终端之间不要互通
|
|||
|
|
- 终端可以访问默认网关
|
|||
|
|
- 终端可以访问上联网络或互联网
|
|||
|
|
|
|||
|
|
## 与 VLAN 的区别
|
|||
|
|
|
|||
|
|
VLAN 和端口隔离都能起到一定的隔离作用，但思路不同。
|
|||
|
|
|
|||
|
|
### VLAN
|
|||
|
|
|
|||
|
|
- 主要用于划分广播域
|
|||
|
|
- 不同 VLAN 默认不能直接二层通信
|
|||
|
|
- 更适合从网络逻辑分区的角度做隔离
|
|||
|
|
|
|||
|
|
### 端口隔离
|
|||
|
|
|
|||
|
|
- 主要用于限制端口之间的互访
|
|||
|
|
- 常常发生在同一个 VLAN 内
|
|||
|
|
- 更适合做“同网段用户彼此不能访问”的控制
|
|||
|
|
|
|||
|
|
一句话理解：
|
|||
|
|
|
|||
|
|
- **VLAN 更像是“分小区”**
|
|||
|
|
- **端口隔离更像是“同小区里住户彼此不开门”**
|
|||
|
|
|
|||
|
|
## 工作思路
|
|||
|
|
|
|||
|
|
端口隔离的常见思路是：
|
|||
|
|
1. 把多个接入口加入同一个隔离组
|
|||
|
|
2. 同组端口之间禁止二层互通
|
|||
|
|
3. 上联口或网关口通常不做同样限制
|
|||
|
|
4. 终端仍可通过上联口访问外部网络
|
|||
|
|
|
|||
|
|
## 常见问题
|
|||
|
|
|
|||
|
|
### 1. 端口隔离后是不是完全不能通信
|
|||
|
|
|
|||
|
|
不是。
|
|||
|
|
|
|||
|
|
一般是“同组接入口之间不能直接互通”，但到上联口、网关口的通信通常仍然允许，否则用户也无法正常上网。
|
|||
|
|
|
|||
|
|
### 2. 端口隔离能不能代替 VLAN
|
|||
|
|
|
|||
|
|
不能完全代替。
|
|||
|
|
|
|||
|
|
VLAN 解决的是广播域划分问题，端口隔离解决的是端口互访限制问题，两者作用层面不同。
|
|||
|
|
|
|||
|
|
### 3. 端口隔离能不能代替 ACL
|
|||
|
|
|
|||
|
|
也不能完全代替。
|
|||
|
|
|
|||
|
|
端口隔离偏二层控制，ACL 更偏三层、四层的精细匹配控制。
|
|||
|
|
|
|||
|
|
## 一句话理解
|
|||
|
|
|
|||
|
|
- **端口隔离的重点是“同一接入网络里的终端彼此不能直接访问”**
|
|||
|
|
- **它常与 VLAN 配合使用，而不是互相替代**
|
|||
|
|
|
|||
|
|
## 常见厂商命令
|
|||
|
|
|
|||
|
|
### 华为
|
|||
|
|
|
|||
|
|
常见写法：
|
|||
|
|
|
|||
|
|
```bash
|
|||
|
|
interface GigabitEthernet 0/0/1
|
|||
|
|
port-isolate enable group 1
|
|||
|
|
```
|
|||
|
|
|
|||
|
|
把多个接入口加入同一隔离组后，这些端口之间通常不能直接互访。
|
|||
|
|
|
|||
|
|
查看配置：
|
|||
|
|
|
|||
|
|
```bash
|
|||
|
|
display current-configuration interface GigabitEthernet 0/0/1
|
|||
|
|
```
|
|||
|
|
|
|||
|
|
### 思科 Cisco
|
|||
|
|
|
|||
|
|
Cisco 常见对应思路是使用 Protected Port：
|
|||
|
|
|
|||
|
|
```bash
|
|||
|
|
interface gigabitEthernet 0/1
|
|||
|
|
switchport mode access
|
|||
|
|
switchport protected
|
|||
|
|
```
|
|||
|
|
|
|||
|
|
查看接口交换属性：
|
|||
|
|
|
|||
|
|
```bash
|
|||
|
|
show interfaces switchport
|
|||
|
|
```
|
|||
|
|
|
|||
|
|
## 复习时容易写错的点
|
|||
|
|
|
|||
|
|
- 端口隔离不等于 VLAN
|
|||
|
|
- 端口隔离常常发生在同一 VLAN 内
|
|||
|
|
- 端口隔离不是“全断”，通常仍允许终端访问上联口或网关
|
|||
|
|
- Cisco 常见叫法更多是 `protected port`，华为常见直接讲 `端口隔离`
|