网络安全技术之端口隔离

端口隔离技术是一种实现在客户端的端口间的足够的隔离度以保证一个客户端不会收到另外一个客户端的流量的技术。通过端口隔离技术，用户可以将需要进行控制的端口加入到一个隔离组中，实现隔离组中的端口之间二层、三层数据的隔离，既增强了网络的安全性，也为用户提供了灵活的组网方案。使用隔离技术后隔离端口之间就不会产生单播、广播和组播，病毒就不会在隔离计算机之间传播，尤其对头痛的ARP病毒效果明显。端口隔离是为了实现报文之间的隔离，可以将不同的端口加入不同的VLAN，但会浪费有限的VLAN资源。采用端口隔离特性，可以实现同一VLAN内端口之间的隔离。用户只需要将端口加入到隔离组中，就可以实现隔离组内端口之间二层数据的隔离。端口隔离功能为用户提供了更安全、更灵活的组网方案。

端口隔离特性与端口所属的VLAN无关。对于属于不同VLAN的端口，只有同一个隔离组的普通端口到上行端口的二层报文可以单向通过，其它情况的端口二层数据是相互隔离的。对于属于同一VLAN的端口，隔离组内、外端口的二层数据互通的情况。

【实验拓扑】

【交换机配置】

[Quidway]dis cu

sysname Quidway

radius scheme system

domain system

vlan 1

interface Aux1/0/0

interface Ethernet1/0/1

port isolate

interface Ethernet1/0/2

port isolate

interface Ethernet1/0/3

interface Ethernet1/0/4

interface Ethernet1/0/5

interface Ethernet1/0/6

interface Ethernet1/0/7

interface Ethernet1/0/8

interface Ethernet1/0/9

interface Ethernet1/0/10

interface Ethernet1/0/11

interface Ethernet1/0/12

interface Ethernet1/0/13

interface Ethernet1/0/14

interface Ethernet1/0/15

interface Ethernet1/0/16

interface Ethernet1/0/17

interface Ethernet1/0/18

interface Ethernet1/0/19

interface Ethernet1/0/20

interface Ethernet1/0/21

interface Ethernet1/0/22

interface Ethernet1/0/23

interface Ethernet1/0/24

interface NULL0

user-interface aux 0
user-interface vty 0 4

return

【验证】

更改前：

更改后：

【实验拓扑】

三层交换机

交换机配置：

Quidway>dis cu

sysname Quidway

radius scheme system
server-type huawei
primary authentication 127.0.0.1 1645
primary accounting 127.0.0.1 1646
user-name-format without-domain
domain system
radius-scheme system
access-limit disable
state active
idle-cut disable
domain default enable system

local-server nas-ip 127.0.0.1 key huawei

am enable

vlan 1

interface Aux0/0

interface Ethernet0/1

am isolate Ethernet0/2

interface Ethernet0/2

am isolate Ethernet0/1

interface Ethernet0/3

interface Ethernet0/4

interface Ethernet0/5

interface Ethernet0/6