技术编程如何使同vlan中ip地址禁止访问?端口隔离与vlan有何不同?


前面我们曾多次提到关于不同vlan间的互通 , 那么在同一个vlan中如何实现端口相互隔离呢?这个在交换机组网项目中也是经常会用到 。
对于有些项目 , 项目本身不需要不同vlan之间进行互访 , 比如有些监控项目就只需要内网访问 , 那么就没有必要创建vlan了 , 节约网络设备资源 , 但是要防止网络风暴 , 怎么办呢?
采用端口隔离功能 , 可以实现同一VLAN内端口之间的隔离 。 用户只需要将端口加入到隔离组中 , 就可以实现隔离组内端口之间二层数据的隔离 。
端口隔离一般用于内网中 , 端口隔离的端口之间无法相互通信 , 所以端口隔离功能为用户提供了更安全的方案 。
案例:端口隔离实例配置
某企业研发办公室员工分为三类:
1、本公司员工
2、A合作方公司员工
3、B合作方公司员工
如下图所示 , PC1和PC2分别代表A、B合作方员工 , PC3代表本公司研发员工 , 公司希望 在节省VLAN资源的前提下 , 实现本公司员工和A、B两个合作方公司之间可以相互通 信 , 但是A、B两个合作方公司员工之间无法通信 。
也就是 , 在同一个vlan中 , PC3可以访问PC1与PC2 , 而PC1与PC2不能相互访问 , 我们以华为的交换机配置作为实例 。
一、 配置端口隔离示例组网图与ip地址
技术编程如何使同vlan中ip地址禁止访问?端口隔离与vlan有何不同?
本文插图
二、配置思路
采用如下的思路配置端口隔离:
【技术编程如何使同vlan中ip地址禁止访问?端口隔离与vlan有何不同?】a、配置接口加入VLAN 。
b、 配置接口加入到隔离组中 , 实现隔离组内接口之间二层数据的隔离 。
三、配置步骤:
step1、配置端口隔离功能
配置GE1/0/1的端口隔离功能 。
[Switch-GigabitEthernet1/0/1] quit
配置GE01/0/2的端口隔离功能 。
[Switch] interface gigabitethernet 1/0/2
[Switch-GigabitEthernet1/0/2] quit
配置GE1/0/3加入VLAN10
[Switch] interface gigabitethernet 1/0/3
[Switch-GigabitEthernet1/0/3] quit
四、实现结果
PC1和PC2数据不能互通 。
PC1和PC3数据可以互通 。
PC2和PC3数据可以互通 。
端口隔离与v划分vlan的区别
1、端口隔离的端口之间无法相互通信 , 但可以与上联口通信;VLAN是同VLAN ID的端口可以任意通信 , 不同VLAN之间不能直接通信 。
2、端口隔离的各个端口仍然处于同一IP段;VLAN则必须每个VLAN对应一个独立的IP段 。
3、端口隔离仅限于单台交换机 , 即无法控制通过上联口互联的两台交换机之间的隔离端口的通信;VLAN可以跨越多台交换机 , 只要VLAN ID不同 , 就无法直接通信 。