020-85205216
24小時熱線:136 1022 8025
136 1022 8025
傳真:020-22065085 email:179321907@qq.com
網(wǎng)址:cs-one.cn
如何使同vlan中ip地址禁止訪問?端口隔離與vlan有何不同?
如何使同vlan中ip地址禁止訪問?端口隔離與vlan有何不同?
在同一個vlan中如何實現(xiàn)端口相互隔離呢?這個在交換機(jī)組網(wǎng)項目中也是經(jīng)常會用到。
對于有些項目,項目本身不需要不同vlan之間進(jìn)行互訪,比如有些監(jiān)控項目就只需要內(nèi)網(wǎng)訪問,那么就沒有必要創(chuàng)建vlan了,節(jié)約網(wǎng)絡(luò)設(shè)備資源,但是要防止網(wǎng)絡(luò)風(fēng)暴,怎么辦呢?
采用端口隔離功能,可以實現(xiàn)同一VLAN內(nèi)端口之間的隔離。用戶只需要將端口加入到隔離組中,就可以實現(xiàn)隔離組內(nèi)端口之間二層數(shù)據(jù)的隔離。
端口隔離一般用于內(nèi)網(wǎng)中,端口隔離的端口之間無法相互通信,所以端口隔離功能為用戶提供了更安全的方案。
案例:端口隔離實例配置
某企業(yè)研發(fā)辦公室員工分為三類:
1、本公司員工
2、A合作方公司員工
3、B合作方公司員工
如下圖所示,PC1和PC2分別代表A、B合作方員工,PC3代表本公司研發(fā)員工,公司希望 在節(jié)省VLAN資源的前提下,實現(xiàn)本公司員工和A、B兩個合作方公司之間可以相互通 信,但是A、B兩個合作方公司員工之間無法通信。
也就是,在同一個vlan中,PC3可以訪問PC1與PC2,而PC1與PC2不能相互訪問,我們以華為的交換機(jī)配置作為實例。
一、 配置端口隔離示例組網(wǎng)圖與ip地址
二、配置思路
采用如下的思路配置端口隔離:
a、配置接口加入VLAN。
b、 配置接口加入到隔離組中,實現(xiàn)隔離組內(nèi)接口之間二層數(shù)據(jù)的隔離。
三、配置步驟:
step1、配置端口隔離功能
配置GE1/0/1的端口隔離功能。
<HUAWEI> system-view //進(jìn)入配置視圖
[HUAWEI] sysname Switch //交換機(jī)命令為switch
[Switch] vlan 10 //創(chuàng)建vlan10
[Switch-vlan10] quit //返回
[Switch] interface gigabitethernet 1/0/1 //進(jìn)入端口1/0/1
[Switch-GigabitEthernet1/0/1] port link-type access //配置GE1/0/1的接口類型為access。
[Switch-GigabitEthernet1/0/1] port default vlan 10 //配置GE1/0/1加入VLAN 10。
[Switch-GigabitEthernet1/0/1] port-isolate enable //缺省加入端口隔離組1,且隔離模式為二層隔離三層互通。
[Switch-GigabitEthernet1/0/1] quit
配置GE01/0/2的端口隔離功能。
[Switch] interface gigabitethernet 1/0/2
[Switch-GigabitEthernet1/0/2] port link-type access //配置GE1/0/2的接口類型為access。
[Switch-GigabitEthernet1/0/2] port default vlan 10 //配置GE1/0/2加入VLAN 10。
[Switch-GigabitEthernet1/0/2] port-isolate enable //缺省加入端口隔離組1,且隔離模式為二層隔離三層互通。
[Switch-GigabitEthernet1/0/2] quit
配置GE1/0/3加入VLAN10
[Switch] interface gigabitethernet 1/0/3
[Switch-GigabitEthernet1/0/3] port link-type access //配置GE1/0/3的接口類型為access。
[Switch-GigabitEthernet1/0/3] port default vlan 10 //配置GE1/0/3加入VLAN 10。
[Switch-GigabitEthernet1/0/3] quit
四、實現(xiàn)結(jié)果
PC1和PC2數(shù)據(jù)不能互通。
PC1和PC3數(shù)據(jù)可以互通。
PC2和PC3數(shù)據(jù)可以互通。
端口隔離與v劃分vlan的區(qū)別
1、端口隔離的端口之間無法相互通信,但可以與上聯(lián)口通信;VLAN是同VLAN ID的端口可以任意通信,不同VLAN之間不能直接通信。
2、端口隔離的各個端口仍然處于同一IP段;VLAN則必須每個VLAN對應(yīng)一個獨立的IP段。
3、端口隔離僅限于單臺交換機(jī),即無法控制通過上聯(lián)口互聯(lián)的兩臺交換機(jī)之間的隔離端口的通信;VLAN可以跨越多臺交換機(jī),只要VLAN ID不同,就無法直接通信。