日常更新笔记+不再推送日记

2026-06-27 22:29:38 +08:00
parent 0292147403
commit a7132b4779
21 changed files with 1243 additions and 37 deletions
@@ -0,0 +1,125 @@
+# 端口隔离
+
+## 端口隔离是什么
+
+端口隔离是一种二层隔离技术，用来限制同一交换机上某些端口之间的直接通信。
+
+可以简单理解为：
+
+这些主机虽然接在同一台交换机上，甚至可能属于同一个 VLAN，但彼此之间不能直接互访，只能按照既定方向访问网关、上联口或服务器。
+
+## 作用
+
+端口隔离的核心作用是：
+- 防止同一接入网内终端之间互相访问
+- 提高接入层安全性
+- 减少内网横向传播风险
+- 适合“用户彼此隔离，但都要能上网”的场景
+
+## 典型应用场景
+
+- 宿舍网
+- 酒店网络
+- 访客网络
+- 同一楼层大量接入终端的园区网络
+
+这类场景的常见需求是：
+- 终端之间不要互通
+- 终端可以访问默认网关
+- 终端可以访问上联网络或互联网
+
+## 与 VLAN 的区别
+
+VLAN 和端口隔离都能起到一定的隔离作用，但思路不同。
+
+### VLAN
+
+- 主要用于划分广播域
+- 不同 VLAN 默认不能直接二层通信
+- 更适合从网络逻辑分区的角度做隔离
+
+### 端口隔离
+
+- 主要用于限制端口之间的互访
+- 常常发生在同一个 VLAN 内
+- 更适合做“同网段用户彼此不能访问”的控制
+
+一句话理解：
+
+- **VLAN 更像是“分小区”**
+- **端口隔离更像是“同小区里住户彼此不开门”**
+
+## 工作思路
+
+端口隔离的常见思路是：
+1. 把多个接入口加入同一个隔离组
+2. 同组端口之间禁止二层互通
+3. 上联口或网关口通常不做同样限制
+4. 终端仍可通过上联口访问外部网络
+
+## 常见问题
+
+### 1. 端口隔离后是不是完全不能通信
+
+不是。
+
+一般是“同组接入口之间不能直接互通”，但到上联口、网关口的通信通常仍然允许，否则用户也无法正常上网。
+
+### 2. 端口隔离能不能代替 VLAN
+
+不能完全代替。
+
+VLAN 解决的是广播域划分问题，端口隔离解决的是端口互访限制问题，两者作用层面不同。
+
+### 3. 端口隔离能不能代替 ACL
+
+也不能完全代替。
+
+端口隔离偏二层控制，ACL 更偏三层、四层的精细匹配控制。
+
+## 一句话理解
+
+- **端口隔离的重点是“同一接入网络里的终端彼此不能直接访问”**
+- **它常与 VLAN 配合使用，而不是互相替代**
+
+## 常见厂商命令
+
+### 华为
+
+常见写法：
+
+```bash
+interface GigabitEthernet 0/0/1
+port-isolate enable group 1
+```
+
+把多个接入口加入同一隔离组后，这些端口之间通常不能直接互访。
+
+查看配置：
+
+```bash
+display current-configuration interface GigabitEthernet 0/0/1
+```
+
+### 思科 Cisco
+
+Cisco 常见对应思路是使用 Protected Port：
+
+```bash
+interface gigabitEthernet 0/1
+switchport mode access
+switchport protected
+```
+
+查看接口交换属性：
+
+```bash
+show interfaces switchport
+```
+
+## 复习时容易写错的点
+
+- 端口隔离不等于 VLAN
+- 端口隔离常常发生在同一 VLAN 内
+- 端口隔离不是“全断”，通常仍允许终端访问上联口或网关
+- Cisco 常见叫法更多是 `protected port`，华为常见直接讲 `端口隔离`