端口隔離技術(shù)新應(yīng)用
時間：
王淵明1由 分享
摘 要 端口隔離技術(shù)在ISP寬帶接入中已發(fā)揮重要作用，而在園區(qū)網(wǎng)中應(yīng)用還不多，由于網(wǎng)絡(luò)中病毒增多、危害加大，端口隔離技術(shù)越來越受到技術(shù)人員的重視。本文詳細介紹了端口隔離技術(shù)的概況，端口隔離技術(shù)在不同廠商、不同層次交換機上不同的實現(xiàn)，具體分析和舉例端口隔離技術(shù)在園區(qū)網(wǎng)中的規(guī)劃、實施和應(yīng)用。
關(guān)鍵詞 端口隔離；交換機
1 引言
在小區(qū)寬帶接入環(huán)境中，個別計算機中毒發(fā)包、廣播對其它接入計算機都有影響，也會占用帶寬，所以ISP在其接入交換機上早就實施了端口隔離技術(shù)，隔離技術(shù)對網(wǎng)絡(luò)靜化、安全和病毒隔離都有相當良好的作用，應(yīng)用普遍。而在園區(qū)網(wǎng)中由于端口隔離實現(xiàn)在端口之間二、三層隔離，會對一些應(yīng)用帶來不便，所以應(yīng)用并不是很多。但是隨著網(wǎng)絡(luò)中病毒增多、危害加大，新的難以對付、傳播速度又快病毒出現(xiàn)的情況下，端口隔離技術(shù)在園區(qū)網(wǎng)中應(yīng)用會越來越多，下面我們從端口隔離的原理、在H3C、D-LINK、港灣和CISCO不同廠商交換機上的實現(xiàn)和舉例說明在園區(qū)網(wǎng)中的應(yīng)用。
2 端口隔離技術(shù)綜述
端口隔離技術(shù)是一種實現(xiàn)在客戶端的端口間的足夠的隔離度以保證一個客戶端不會收到另外一個客戶端的流量的技術(shù)。通過端口隔離技術(shù)，用戶可以將需要進行控制的端口加入到一個隔離組中，實現(xiàn)隔離組中的端口之間二層、三層數(shù)據(jù)的隔離，既增強了網(wǎng)絡(luò)的安全性，也為用戶提供了靈活的組網(wǎng)方案。使用隔離技術(shù)后隔離端口之間就不會產(chǎn)生單播、廣播和組播，病毒就不會在隔離計算機之間傳播，尤其對頭痛的ARP病毒效果明顯。
3 端口隔離技術(shù)的實現(xiàn)
3.1 端口隔離技術(shù)在H3C交換機上的實現(xiàn)
system-view 進入系統(tǒng)視圖
interface interface-type interface-number 進入以太網(wǎng)端口視圖
port isolate 將以太網(wǎng)端口加入到隔離組中
端口隔離技術(shù)在H3C交換機上實現(xiàn)很強，使用也方便，上述的三條命令就可以實現(xiàn)相應(yīng)端口之間隔離。
3.2 端口隔離技術(shù)在D-LINK交換機上的實現(xiàn)
config traffic_segmentation [<portlist>] forward_list [null |<portlist>]
其中<portlist>表示指定哪個端口作為隔離端口，參數(shù)null表示沒有上連端口，參數(shù)<portlist>表示上連端口。
3.3 端口隔離技術(shù)在港灣交換機上的實現(xiàn)
config vcn up <portlist> [notagout|tagout] baseVID <1-4069>
其中<portlist>表示指定哪個端口作為上行通信端口，可以指定一個或兩個上行端口；參數(shù)notagout 表示上連端口以untag方式屬于vcn所創(chuàng)建的所有vlan，參數(shù)tagout表示上連端口以tag方式屬于baseVID后面所跟的vlanID。
3.4 端口隔離技術(shù)在CISCO交換機上的實現(xiàn)
config terminal 進入系統(tǒng)視圖
interface interface-type interface-number 進入以太網(wǎng)端口視圖
switchport protected 將以太網(wǎng)端口加入到隔離組中
CISCO的端口隔離技術(shù)實際是端口保護，起了switchport protected的端口將不會受單播、廣播和組播的影響。
4 端口隔離技術(shù)的應(yīng)用
4.1 端口隔離技術(shù)在企業(yè)網(wǎng)中的應(yīng)用
圖1
圖1是典型的小企業(yè)的網(wǎng)絡(luò)結(jié)構(gòu)，外連通過防火墻連接Inernet，內(nèi)部通過交換機連接服務(wù)器、PC機，圖中采用H3C交換機，由于病毒等原因公司決定在PC之間采用端口隔離技術(shù)，而訪問服務(wù)器和Inernet要照常。在H3C交換機上連接PC的端口采用端口隔離，配置如下：
system-view 進入系統(tǒng)視圖
interface Ethernet 1/0/1 PC-A連接的端口
port isolate
interface Ethernet 1/0/2 PC-B連接的端口
port isolate
interface Ethernet 1/0/3 PC-C連接的端口
port isolate
交換機上服務(wù)器和防火墻連接的端口不變。
4.2 端口隔離技術(shù)在校園網(wǎng)中的應(yīng)用
圖 2
圖2是典型的校園網(wǎng)機房的網(wǎng)絡(luò)結(jié)構(gòu)，上連核心交換機，二層交換機PC機和教師機，圖中采用D-LINK交換機，機房內(nèi)PC不用相互訪問，只需同教師機和通過核心交換機訪問校內(nèi)外資源，配置如下：
config traffic_segmentation 1，24 forward_ list 1-24
config traffic_segmentation 2-23 forward_list 1，24
D-LINK交換機上1號端口連接教師機，24號端口連接核心交換機，2號端口到23號端口連接PC機。
5 結(jié)束語
端口隔離技術(shù)也有缺點，一是計算機之間共享不能實現(xiàn)；二是隔離只能在一臺交換機上實現(xiàn)，不能在堆疊交換機之間實現(xiàn)，如果是堆疊環(huán)境，只能改成交換機之間級連。希望廠家能繼續(xù)開發(fā)和增強端口隔離技術(shù)，使它能在更多環(huán)境下應(yīng)用。
參考文獻：
[1] xtzj. 系統(tǒng)之家. 在交換機上配置DHCP中繼代理. www.xtzj.com/simple/index.php?t207428.html
[2] 共享聯(lián)盟. 關(guān)于端口隔離技術(shù)的實現(xiàn)問題. http：//211.99.128.10：8080/thread-41645-1-1.html
[3] 端口隔離配置. Quidway E352&E328以太網(wǎng)交換機 操作手冊-Release 1510.華為技術(shù)有限公司. 深圳市龍崗區(qū)坂田華為總部辦公樓
[4] IT樵客. http：//www.itlogger.com/index.php?paged=40
[5] ciscohuawei. 中國成都思科華為網(wǎng)絡(luò)技術(shù)認證. cisco交換機的端口隔離命令. http：//www.ciscohuawei.com/ viewthread.php?tid =19099