My-Notes/笔记/网络工程/01_二层交换技术/端口隔离.md

端口隔离

端口隔离是什么

端口隔离是一种二层隔离技术，用来限制同一交换机上某些端口之间的直接通信。

可以简单理解为：

这些主机虽然接在同一台交换机上，甚至可能属于同一个 VLAN，但彼此之间不能直接互访，只能按照既定方向访问网关、上联口或服务器。

作用

端口隔离的核心作用是：

• 防止同一接入网内终端之间互相访问
• 提高接入层安全性
• 减少内网横向传播风险
• 适合“用户彼此隔离，但都要能上网”的场景

典型应用场景

• 宿舍网
• 酒店网络
• 访客网络
• 同一楼层大量接入终端的园区网络

这类场景的常见需求是：

• 终端之间不要互通
• 终端可以访问默认网关
• 终端可以访问上联网络或互联网

与 VLAN 的区别

VLAN 和端口隔离都能起到一定的隔离作用，但思路不同。

VLAN

• 主要用于划分广播域
• 不同 VLAN 默认不能直接二层通信
• 更适合从网络逻辑分区的角度做隔离

端口隔离

• 主要用于限制端口之间的互访
• 常常发生在同一个 VLAN 内
• 更适合做“同网段用户彼此不能访问”的控制

一句话理解：

• VLAN 更像是“分小区”
• 端口隔离更像是“同小区里住户彼此不开门”

工作思路

端口隔离的常见思路是：

1. 把多个接入口加入同一个隔离组
2. 同组端口之间禁止二层互通
3. 上联口或网关口通常不做同样限制
4. 终端仍可通过上联口访问外部网络

常见问题

1. 端口隔离后是不是完全不能通信

不是。

一般是“同组接入口之间不能直接互通”，但到上联口、网关口的通信通常仍然允许，否则用户也无法正常上网。

2. 端口隔离能不能代替 VLAN

不能完全代替。

VLAN 解决的是广播域划分问题，端口隔离解决的是端口互访限制问题，两者作用层面不同。

3. 端口隔离能不能代替 ACL

也不能完全代替。

端口隔离偏二层控制，ACL 更偏三层、四层的精细匹配控制。

一句话理解

• 端口隔离的重点是“同一接入网络里的终端彼此不能直接访问”
• 它常与 VLAN 配合使用，而不是互相替代

常见厂商命令

华为

常见写法：

interface GigabitEthernet 0/0/1
port-isolate enable group 1

把多个接入口加入同一隔离组后，这些端口之间通常不能直接互访。

查看配置：

display current-configuration interface GigabitEthernet 0/0/1

思科 Cisco

Cisco 常见对应思路是使用 Protected Port：

interface gigabitEthernet 0/1
switchport mode access
switchport protected

查看接口交换属性：

show interfaces switchport

复习时容易写错的点

• 端口隔离不等于 VLAN
• 端口隔离常常发生在同一 VLAN 内
• 端口隔离不是“全断”，通常仍允许终端访问上联口或网关
• Cisco 常见叫法更多是 protected port，华为常见直接讲 端口隔离