# 端口隔离

## 端口隔离是什么

端口隔离是一种二层隔离技术，用来限制同一交换机上某些端口之间的直接通信。

可以简单理解为：

这些主机虽然接在同一台交换机上，甚至可能属于同一个 VLAN，但彼此之间不能直接互访，只能按照既定方向访问网关、上联口或服务器。

## 作用

端口隔离的核心作用是：
- 防止同一接入网内终端之间互相访问
- 提高接入层安全性
- 减少内网横向传播风险
- 适合“用户彼此隔离，但都要能上网”的场景

## 典型应用场景

- 宿舍网
- 酒店网络
- 访客网络
- 同一楼层大量接入终端的园区网络

这类场景的常见需求是：
- 终端之间不要互通
- 终端可以访问默认网关
- 终端可以访问上联网络或互联网

## 与 VLAN 的区别

VLAN 和端口隔离都能起到一定的隔离作用，但思路不同。

### VLAN

- 主要用于划分广播域
- 不同 VLAN 默认不能直接二层通信
- 更适合从网络逻辑分区的角度做隔离

### 端口隔离

- 主要用于限制端口之间的互访
- 常常发生在同一个 VLAN 内
- 更适合做“同网段用户彼此不能访问”的控制

一句话理解：

- **VLAN 更像是“分小区”**
- **端口隔离更像是“同小区里住户彼此不开门”**

## 工作思路

端口隔离的常见思路是：
1. 把多个接入口加入同一个隔离组
2. 同组端口之间禁止二层互通
3. 上联口或网关口通常不做同样限制
4. 终端仍可通过上联口访问外部网络

## 常见问题

### 1. 端口隔离后是不是完全不能通信

不是。

一般是“同组接入口之间不能直接互通”，但到上联口、网关口的通信通常仍然允许，否则用户也无法正常上网。

### 2. 端口隔离能不能代替 VLAN

不能完全代替。

VLAN 解决的是广播域划分问题，端口隔离解决的是端口互访限制问题，两者作用层面不同。

### 3. 端口隔离能不能代替 ACL

也不能完全代替。

端口隔离偏二层控制，ACL 更偏三层、四层的精细匹配控制。

## 一句话理解

- **端口隔离的重点是“同一接入网络里的终端彼此不能直接访问”**
- **它常与 VLAN 配合使用，而不是互相替代**

## 常见厂商命令

### 华为

常见写法：

```bash
interface GigabitEthernet 0/0/1
port-isolate enable group 1
```

把多个接入口加入同一隔离组后，这些端口之间通常不能直接互访。

查看配置：

```bash
display current-configuration interface GigabitEthernet 0/0/1
```

### 思科 Cisco

Cisco 常见对应思路是使用 Protected Port：

```bash
interface gigabitEthernet 0/1
switchport mode access
switchport protected
```

查看接口交换属性：

```bash
show interfaces switchport
```

## 复习时容易写错的点

- 端口隔离不等于 VLAN
- 端口隔离常常发生在同一 VLAN 内
- 端口隔离不是“全断”，通常仍允许终端访问上联口或网关
- Cisco 常见叫法更多是 `protected port`，华为常见直接讲 `端口隔离`