1 端口隔离

1.1 端口隔离简介

为了实现端口间的二层隔离，可以将不同的端口加入不同的VLAN，但VLAN资源有限。采用端口隔离特性，用户只需要将端口加入到隔离组中，就可以实现隔离组内端口之间二层隔离，而不关心这些端口所属VLAN，从而节省VLAN资源。

隔离组内的端口与未加入隔离组的端口之间二层流量双向互通。

1.2 配置隔离组

当二层聚合接口加入隔离组后，若在该二层聚合接口中新增PEX端口，则需要先将该二层聚合接口退出隔离组，然后重新加入隔离组。否则，该PEX端口不和隔离组中的其他端口二层隔离。有关PEX端口的介绍，请参见“虚拟化技术配置指导”中的“IRF3”。

设备支持多个隔离组，用户可以手工配置。隔离组内可以加入的端口数量没有限制。

表1-1 配置隔离组

操作		命令	说明
进入系统视图		system-view	-
创建隔离组		port-isolate group group-number	缺省情况下，未创建任何隔离组
进入相应视图	进入二层以太网接口视图	interface interface-type interface-number	· 二层以太网接口视图下的配置只对当前端口生效 · 二层聚合接口视图下的配置对当前接口及其成员端口生效，若某成员端口配置失败，系统会跳过该端口继续配置其他成员端口，若二层聚合接口配置失败，则不会再配置成员端口
进入相应视图	进入二层聚合接口视图	interface bridge-aggregation interface-number
将当前端口加入到隔离组中		port-isolate enable group group-number	缺省情况下，当前端口不属于任何隔离组一个端口最多只能加入一个隔离组

1.3 端口隔离显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后端口隔离的运行情况，通过查看显示信息验证配置的效果。

表1-2 端口隔离显示和维护

操作	命令
显示隔离组的信息	display port-isolate group [ group-number ]

1.4 端口隔离典型配置举例

1. 组网需求

如图1-1所示，小区用户Host A、Host B、Host C分别与Device的端口GigabitEthernet1/0/1、GigabitEthernet1/0/2、GigabitEthernet1/0/3相连，Device设备通过GigabitEthernet1/0/4端口与外部网络相连。现需要实现小区用户Host A、Host B和Host C彼此之间二层报文不能互通，但可以和外部网络通信。