网络端口如何实现物理隔离（交换网络安全技术）

一、端口隔离1、我们通常通过划分VLAN，实现不同VLAN之间广播域的隔离2、大型网络中划分太多的VLAN，如果通过划分VLAN实现二层隔离会浪费VLAN资源3、通过端口隔离实现，用户将端口加入隔离组，实现隔离组内端口之间二层数据隔离二、拓扑需求1、配置财务和市场VLAN102、配置财务部实现端口隔离3、PC3和PC4属于端口隔离组3，测试PC3与PC4的连通性4、PC1和PC2属于端口隔离组1，

1、我们通常通过划分VLAN，实现不同VLAN之间广播域的隔离

2、大型网络中划分太多的VLAN，如果通过划分VLAN实现二层隔离会浪费VLAN资源

3、通过端口隔离实现，用户将端口加入隔离组，实现隔离组内端口之间二层数据隔离

1、配置财务和市场VLAN10

2、配置财务部实现端口隔离

3、PC3和PC4属于端口隔离组3，测试PC3与PC4的连通性

4、PC1和PC2属于端口隔离组1，测试PC1与PC2及PC3PC4的连通性

5、市场部PC5和PC6正常配置VLAN，PC7和PC8属于隔离组8，测试连通性

1、SW1 VLAN划分配置

[SW1]vlan 10 //配置VLAN10

[SW1-GigabitEthernet0/0/3] port link-type access //配置属于默认VLAN10

[SW1-GigabitEthernet0/0/3] port default vlan 10

[SW1-GigabitEthernet0/0/4] port link-type access

[SW1-GigabitEthernet0/0/4] port default vlan 10

2、PC3与PC4互通测试

同一个VLAN内PC3与PC4可以正常通信

3、端口隔离配置

[SW1-GigabitEthernet0/0/3]port-isolate enable group 3 //PC3接口配置属于端口隔离组3

[SW1-GigabitEthernet0/0/4]port-isolate enable group 3//PC4接口配置属于端口隔离组3

此时我们PC3和PC4都属于同一个隔离组3，测试PC3与PC4的连通性

此时交换机虽然可以学到PC3与PC4的MAC，PC3与PC4属于相同的隔离组二层数据隔离。

我们接下来配置交换机的G0/0/1接口属于VLAN10，测试PC1与PC3和PC4的连通性

PC1目前不属于任何隔离组，PC1可以正常和隔离组的PC3和PC4正常通信

然后我们配置PC1和PC2属于端口隔离组1

[SW1-GigabitEthernet0/0/1]port-isolate enable group 1 //配置属于隔离组1

此时PC1虽然属于隔离组1，但是数据仍然可以和不同的隔离组PC3互通

PC1和PC2接的HUB数据直接通过HUB可以实现互通，不受交换机端隔离配置的影响

通过以上配置实验我们可以得出结论：

1、相同隔离组内的PC二层隔离不能互相通信（这里PC直连没有HUB场景）

2、不同隔离组的PC之间可以互相通信

3、正常未配置隔离组的交换机接口连接PC也可以和配置隔离组的PC正常通信

我们再配置PC5和PC6，属于正常VLAN10，PC7和PC8属于隔离组8

[SW3-GigabitEthernet0/0/1] port link-type access G0/0/1-4接口均配置属于VLAN10

[SW3-GigabitEthernet0/0/1] port default vlan 10

PC7和PC8配置属于隔离组8:

[SW3-GigabitEthernet0/0/4]port-isolate enable group 8

[SW3-GigabitEthernet0/0/3]port-isolate enable group 8

此时PC7与PC8属于相同的隔离组不可以正常通信：

PC5属于普通VLAN10可以正常和隔离组PC7通信

即使我们把PC5配置属于隔离组7，PC5仍然可以和不同隔离组8的PC7进行通信：

[SW3-GigabitEthernet0/0/1]port-isolate enable group 7

实验验证理论只要属于相同的隔离组内的PC之间二层隔离不可以互通。

希望对大家有所帮助欢迎关注转发学网络的小伙伴们，更多干货分享下期继续分享，任何技术问题及0基础系统完整学网络、0基础转行、就业、考证、完整网络工程师就业实战课程、华为认证优惠报名及考试真题教程资料均可以私信沟通~