二层技术-端口隔离配置
计算机网络技术：实训案例——网络隔离划分VLAN
实训案例6——网络隔离【项目目标】掌握在单交换机上进行VLAN 划分的方法。
掌握在多交换机上进行VLAN 划分的方法。
掌握同一交换机上，同一VLAN中端口隔离的配置方法。
【项目背景】某企业有两个主要部门：销售部和技术部，其中销售部门的个人计算机系统连接在不同的交换机上，他们之间需要相互进行通信，但为了数据安全起见，销售部和技术部需要相互隔离；技术部的个人计算机系统虽然连接在一个交换机上，但由于研发项目的不同也要求研发小组之间相互隔离；同一研发小组的计算机之间能够通信，但某一研发小组的两台计算机之间要求隔离。
本项目的实施使用Packet Tracer 5.0。
Packet Tracer 5.0是一款非常不错的Cisco(思科)网络设备模拟器。
【方案设计】1.总体设计通过在单交换机上进行VLAN 划分和跨交换机进行VLAN配置的方法隔离销售部和技术部，以及技术部中各个研发小组的隔离。
通过交换机中同一VLAN的端口隔离来完成某一研发小组的两台计算机之间的隔离。
2.任务分解任务1：单交换机上创建多个VLAN段。
任务2：实现单交换机上多个VLAN的隔离。
任务3：跨交换机进行VLAN配置。
任务4：查看交换机的系统和配置信息。
任务5：设置同一VLAN两台PC的隔离。
任务6：删除VLAN。
3.知识准备（1）VLAN Tag为使交换机能够分辨不同VLAN的报文，需要在报文中添加标识VLAN的字段。
由于交换机工作在OSI模型的数据链路层，只能对报文的数据链路层封装进行识别。
因此，识别字段需要添加到数据链路层封装中。
传统的以太网数据帧在目的MAC地址和源MAC地址之后封装上层协议的类型字段。
如图7-1所示。
图7-1 封装类型字段其中DA表示目的MAC地址，SA表示源MAC地址，Type表示报上层协议的类型字段。
IEEE 802.1Q协议规定，在目的MAC地址和源MAC地址之后封装4个字节的VLAN Tag，用以标识VLAN的相关信息。
网络互联技术项目教程(微课版)课后习题
项目1认识计算机网络及网络设备1．选择题（1）学校办公室网络类型是（）。
A．局域网B．城域网C．广域网D．互联网（2）以下（）结构提供了最高的可靠性保证。
A．总线型拓扑B．星形拓扑C．网状拓扑D．环形拓扑（3）tracert诊断工具记录下每一个ICMP TTL超时消息的（），从而可以向用户提供报文到达目的地所经过的IP地址。
A．源端口B．目的端口C．目的IP地址D．源IP地址（4）在IP地址方案中，202.199.100.1是一个（）。
A．A类地址B．B类地址C．C类地址D．D类地址（5）跟踪网络路由路径使用的网络命令是（）。
A．ipconfig/all B．tracert C．ping D．netstat （6）下列传输介质中，（）传输速度最快。
A．光纤B．双绞线C．同轴电缆D．无线介质（7）下列（）方式属于带外方式管理交换机。
A．Telnet B．SSH C．Web D．Console （8）（）快捷键的功能是显示历史命令缓冲区中的前一条命令。
A．Ctrl+N B．Ctrl+P C．Ctrl+W D．Ctrl+X （9）VRP结构定义了很多命令行视图，“<>”代表（）。
A．用户视图B．系统视图C．端口视图D．协议视图（10）对设备进行文件管理时，使用（）命令可以删除文件夹目录。
A．mkdir B．move C．rmdir D．rename （11）对设备进行文件配置管理时，使用（）命令可以让设备下次启动时采用默认的配置参数进行初始化。
A．save B．reset saved-configuration C．reboot D．reset2．简答题（1）什么是计算机网络？常用的网络拓扑结构分为几类?（2）常用的网络命令有哪些?（3）什么是三层交换技术？三层交换机与传统路由器相比有哪些优点？（4）简述交换机的基本功能。
（5）简述路由器的基本功能。
（6）交换机、路由器管理方式有几种？它们各自有哪些优缺点？构建办公局域网络1．选择题（1）华为交换机GVRP默认的注册模式为（）。
以太网技术的前世今生
以太网技术的前世今生从二十世纪八十年代开始以太网就成为最普遍采用的网络技术，它"统治"着世界各地的局域网和企业骨干网，并且正在向城域网发起攻击。
随着万兆以太网标准的推出，以太网为征服广域网、存储和宽带领域中的新领地做好了准备。
根据IDC的统计，以太网的端口数约为所有网络端口数的85%。
而且以太网的这种优势仍然有继续保持下去的势头。
从10M、100M、千兆到万兆以太网，以太网技术的发展，在速率呈数量级增长的同时，其应用领域也在不断拓宽。
而不同应用领域各自的应用需求，又促进了在这些领域内以太网技术的个性化发展。
一、以太网的发展历程1973年Metcalfe博士在施乐实验室发明了以太网，并开始进行以太网拓朴的研究工作。
1976年施乐公司构建基于以太网的局域网络，并连接了超过100台PC。
1980年DEC、Intel和施乐联手发布10Mbps以太网标准提议。
1983年IEEE 802.3工作组发布10BASE-5"粗缆"以太网标准，这是最早的以太网标准。
1986年IEEE 802.3工作组发布10BASE-2"细缆"以太网标准。
1991年加入了无屏蔽双绞线（UTP），传输速率是10Mbps，所以称为10BASE-T标准。
T 是双绞线的意思，它可运行在普通的电话双绞线上。
由于支持10BASE-T的集线器和交换机工作十分可靠，使得这种技术和10BASE-T标准得到了迅速推广。
这种标准支持在共享介质上的半双工传输。
并采用CSMA/CD协议来解决信息在共享介质上的冲突。
1995年，IEEE通过了802.3u标准，将以太网的带宽扩大为100Mbps。
对于无屏蔽双绞线的标准称为100BASE-T。
快速以太网（100Mbps以太网）除了继续支持在共享介质上的半双工通信外，还支持在两个通道上进行的双工通信。
双工通信进一步改善了以太网的传输性能。
另外，100Mbps以太网的网络设备的价格并不比10Mbps的设备贵多少。
S2700, S3700 V100R006C05 配置指南-接口管理
S2700, S3700 系列以太网交换机V100R006C05配置指南-接口管理文档版本07发布日期2020-04-15版权所有 © 华为技术有限公司 2020。
保留一切权利。
非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。
商标声明和其他华为商标均为华为技术有限公司的商标。
本文档提及的其他所有商标或注册商标，由各自的所有人拥有。
注意您购买的产品、服务或特性等应受华为公司商业合同和条款的约束，本文档中描述的全部或部分产品、服务或特性可能不在您的购买或使用范围之内。
除非合同另有约定，华为公司对本文档内容不做任何明示或默示的声明或保证。
由于产品版本升级或其他原因，本文档内容会不定期进行更新。
除非另有约定，本文档仅作为使用指导，本文档中的所有陈述、信息和建议不构成任何明示或暗示的担保。
华为技术有限公司地址：深圳市龙岗区坂田华为总部办公楼邮编：518129网址：https://前言读者对象本文档介绍了设备支持的各种接口的基本概念及其配置方法。
本文档主要适用于以下工程师：●数据配置工程师●调测工程师●网络监控工程师●系统维护工程师符号约定在本文中可能出现下列标志，它们所代表的含义如下。
命令行格式约定接口编号约定本手册中出现的接口编号仅作示例，并不代表设备上实际具有此编号的接口，实际使用中请以设备上存在的接口编号为准。
目录前言 (ii)1 接口基础配置 (1)1.1 接口编号规则 (1)1.2 接口分类 (2)1.3 配置接口基本参数 (4)1.3.1 进入接口视图 (4)1.3.2 配置接口描述信息 (4)1.3.3 配置流量统计时间间隔 (5)1.3.4 配置开启或关闭接口 (5)1.3.5 检查配置结果 (6)1.4 维护接口 (6)1.4.1 清除统计信息 (7)2 以太网接口配置 (8)2.1 规格 (8)2.2 以太网接口简介 (9)2.3 缺省配置 (10)2.4 配置端口组 (11)2.5 配置以太网接口 (11)2.5.1 配置Combo接口工作模式 (11)2.5.2 配置MDI类型 (12)2.5.3 配置电缆检测 (13)2.5.4 配置自协商功能 (14)2.5.5 配置双工模式 (14)2.5.6 配置接口速率 (15)2.5.7 配置流量控制 (16)2.5.8 配置端口隔离 (17)2.5.9 配置允许超大帧通过 (18)2.5.10 配置上报状态变化延时时间 (19)2.5.11 配置出/入带宽利用率日志和告警阈值 (19)2.5.12 配置只允许PPPoE报文通过 (20)2.5.13 配置包括帧间隙和前导码的流量统计 (20)2.5.14 配置接收的错误报文超过阈值触发Error-down (20)2.5.15 检查配置结果 (21)2.6 维护以太网接口 (22)2.6.1 配置环回检测功能 (22)2.6.2 清除统计信息 (22)2.7 配置举例 (23)2.7.1 配置端口隔离示例 (23)2.8 常见配置错误 (25)2.8.1 两端接口双工、速率、协商模式配置不一致 (25)3 逻辑接口配置 (26)3.1 逻辑接口简介 (26)3.2 配置Loopback接口 (27)3.3 配置NULL接口 (28)1接口基础配置关于本章通过了解常见接口类型、接口编号规则以及各种可配置的接口参数等内容，方便用户对接口进行管理。
H3C华三 POE交换机产品概述
（2）：SFP Combo接口状态指示灯
（3）：Console口
（7）：10G接口插槽1指示灯
（4）：7段数码显示灯
（8）：10G接口插槽2指示灯
（5）：电源指示灯
（9）： 模式指示灯
（6）：RPS电源指示灯
（10）：模式切换按钮
（1）：RPS电源接口 （2）：交流电源接口 （3）：接地螺钉
（4）：10G接口插槽1 （5）：10G接口插槽2
H3C POE交换机产品概述
日期：2012-8 杭州华三通信技术有限公司 版权所有，未经授权不得使用与传播
目录
第一章 产品概述 第二章 软件特性 第三章 典型应用 第四章 基本维护
产品简介
H3C 无线PoE注入器是H3C公司专门设计开发的支持PoE （Power over Ethernet）技术的产品，支持通过以太网对 所连接的设备（如IP Phone, Wireless AP等）进行远程供 电，从而使得不必在使用现场为设备部署单独的电源系统， 极大地减少部署终端设备的布线和管理成本。
QinQ可分为两种：
基本QinQ 灵活QinQ
灵活QinQ是基于端口与VLAN相结合的方式实现的。除了 能实现所有基本QinQ的功能外，对于同一个端口接收的报 文还可以根据报文的不同内层VLAN ID添加不同的外层 VLAN Tag。
15
灵活QinQ
组播路由器
DHCP Server
如果没有使能PoE接口的PoE功能，系统不会给PoE接口下挂的PD供 电，也不会给PD预留功率。
使能PoE接口的PoE功能时，如果该PoE接口的加入不会导致PSE功 率过载，则允许使能。否则，由该PoE接口是否使能PoE功率管理功 能决定。
(H3CNE)H3C认证网络工程师V7 题库(93)(1)
H3C认证网络工程师V7（H3CNE-GB0-191）答案为红色1.要在路由器上配置一条静态路由。
已知目的地址为192.168.1.0，掩码是20位，出接口为GigabitEthernet0/0,出接口IP地址为10.10.2.202.1，那么配置命令为_____。
（单选）A.ip route-static 192.168.1.0 255.255.248.0 10.10.202.1B.ip route-static 192.168.1.0 255.255.240.0 GigabitEthernet0/0C.ip route-static 192.168.1.0 255.255.240.0 10.10.202.1D.ip route-static 192.168.1.0 255.255.248.0 GigabitEthernet0/02.PCA、PCB分别与交换机SWA的端口Ethernet1/0/2、Ethernet1/0/3相连，服务器与端口Ethernet1/0/1相连。
如果使用端口隔离技术使PC间互相隔离，但PC都能够访问服务器，则需要在交换机上配置哪些命令？（多选）A.[SWA-Ethernet1/0/2]port-isolate enable group 1B.[SWA]port-isolate group 1C.[SWA-Ethernet1/0/3]port-isolate enable group 1D.[SWA-Ethernet1/0/1]port-isolate uplink-port3.如果数据包在MSR路由器的路由表中匹配多条路由项，那么关于路由优选的顺序描述正确的是_____。
（单选）A.Cost值越小的路由越优先B.preference值越小的路由越优先C.掩码越短的路由越优先D.掩码越长的路由越优先4.在打开debugging调试以后，可以使用____命令关掉debugging。
交换机 端口隔离 流控关闭 标准模式
交换机：探索端口隔离、流控关闭及标准模式作为网络技术中的重要组成部分，交换机在局域网中起着至关重要的作用。
它不仅可以实现计算机之间的数据交换，还可以提供各种功能来保障网络的稳定和安全。
其中，端口隔离、流控关闭和标准模式是交换机中的重要功能，它们对网络性能和数据安全起着至关重要的作用。
在本篇文章中，我将深入探讨这些功能，并共享我的个人观点和理解。
一、端口隔离1. 为什么需要端口隔离？当局域网内部存在多个子网或者用户时，为了防止数据的泄露或者网络的混乱，需要对交换机进行端口隔离。
通过端口隔离，可以将不同的用户或者设备进行隔离，让它们之间无法直接通信，从而提高网络的安全性和稳定性。
2. 端口隔离的实现方法在交换机中，可以通过VLAN（虚拟局域网）来实现端口隔离。
通过将不同端口划分到不同的VLAN中，可以实现不同用户或设备之间的隔离，从而确保网络的安全和数据的稳定传输。
3. 端口隔离的应用场景端口隔离广泛应用于企业内部网络中，尤其是对于一些需要保密性的部门或者项目组，可以通过端口隔离来实现数据的隔离和安全传输。
二、流控关闭1. 流控的作用和原理流控是指在网络拥塞或者数据冲突时，通过控制数据的传输速率来保证网络的稳定和数据的可靠传输。
而关闭流控则是指关闭这一功能，让数据在网络拥塞时仍然能够传输，但可能会导致数据丢失或者网络延迟增加。
2. 开启和关闭流控的影响在一般情况下，开启流控可以保证网络的稳定和数据的可靠传输，但可能会导致数据传输速率的下降。
而关闭流控则可以提高数据传输速率，但可能会导致数据丢失或者网络拥塞。
3. 流控关闭的应用场景流控关闭一般适用于一些对数据传输速率要求较高的场景，如视频直播、大文件传输等，可以通过关闭流控来提高数据传输速率。
三、标准模式1. 标准模式的定义和特点标准模式是交换机中的一个工作模式，它通常是指交换机按照IEEE标准进行配置和工作的模式。
在这种模式下，交换机会按照一定的规范来进行数据交换和转发，从而确保网络的稳定和数据的可靠传输。
H3C 端口隔离命令
Group ID: 5
Uplink port: Ethernet1/3
Group members:
Ethernet1/2
Ethernet1/4
# 在多隔离组设备上，显示隔离组 2 的信息。
<Sysname> display port-isolate group 2 Port-isolate group information: Uplink port support: YES Group ID: 2 Uplink port: Ethernet1/7 Group members: Ethernet1/1
# 在单隔离组设备上，将二层聚合接口 1 以及其对应的成员端口加入隔离组。
<Sysname> system-view [Sysname] interface bridge-aggregation 1 [Sysname-Bridge-Aggregation1] quit [Sysname] interface Ethernet 1/1 [Sysname-Ethernet1/1] port link-aggregation group 1
说明： z 本命令只对多隔离组设备有效。 z 单隔离组设备只支持一个隔离组，由系统自动创建隔离组 1，用户不可删除该隔
离组或创建其它的隔离组。
【举例】 # 创建隔离组 2。
<Sysname> system-view
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
[Device] interface GigabitEthernet 3/1/1 [Device-GigabitEthernet3/1/1] port-isolate enable group 2 [Device-GigabitEthernet3/1/1] quit [Device] interface GigabitEthernet 3/1/2 [Device-GigabitEthernet3/1/2] port-isolate enable group 2 [Device-GigabitEthernet3/1/2] quit [Device] interface GigabitEthernet 3/1/3 [Device-GigabitEthernet3/1/3] port-isolate enable group 2 [Device-GigabitEthernet3/1/3] quit
• 聚合组的成员端口不允许配置成为上行端口。反之，已经配置为上行端口的接口不能加入聚合 组。特殊情况下（为了兼容旧的配置文件），如果用户同时配置端口为聚合组的成员端口和隔离 组的上行端口，则只有聚合组配置生效，隔离组将被删除。（聚合相关内容请参见“二层技术以太网交换配置指导”中的“以太网链路聚合”）。
interface bridge-aggregation interface-number
说明
-
二者必选其一
• 进入以太网接口视图后，下面进行
的配置只在当前端口下生效
• 在二层聚合接口视图下执行该命
令，只把该二层聚合接口设置为隔 离组的上行端口，二层聚合接口对 应的成员端口可以设置为隔离组的 普通端口，但成员端口会处于 Unselected 状态，不能收发报文
# 配置端口 GigabitEthernet3/1/4 为隔离组 2 的上行端口。
[Device] interface GigabitEthernet 3/1/4 [Device-GigabitEthernet3/1/4] port-isolate uplink-port group 2 [Device-GigabitEthernet3/1/4] return
• 设备通过 GigabitEthernet3/1/4 端口与外部网络相连； • 端 口 GigabitEthernet3/1/1 、 GigabitEthernet3/1/2 、 GigabitEthernet3/1/3 和
GigabitEthernet3/1/4 属于同一 VLAN；请实现小区用户 Host A、Host B 和 Host C 彼此之间 二层报文不能互通，但可以和外部网络通信。
1-2
操作
命令
将当前端口加入到隔离组 中，并作为隔离组中的上行 端口
port-isolate uplink-port group group-number
说明
必选 缺省情况下，隔离组中无上行端口
• 一个隔离组中只能有一个上行端口，在用户多次配置不同的端口为上行端口时，以最后一个配 置为准。
• 如果端口已经被配置为某个隔离组的普通端口，则不能再配置为任何隔离组的上行端口，但是 可以配置该端口为其它隔离组的普通端口，同时该端口会从之前的隔离组中删除。
• 目前隔离组中的普通端口，除了支持 MAC 地址学习、部分应用在此端口上入方向的策略所对应 的流行为（accounting、filter deny、car cir committed-information-rate red discard、流镜 像）、聚合功能外，其它功能均不支持。
• 建议您不要在隔离组的普通端口上配置二三层协议（例如 GVRP 等二层协议；组播、路由等三 层协议）。否则可能造成数据转发的异常或者协议振荡。
• 如果端口已经被配置为某个隔离组的上行端口，则不能再配置为任何隔离组的普通端口和其它 隔离组的上行端口。
• 聚合组的成员端口不允许配置成为上行端口。反之，已经配置为上行端口的接口不能加入聚合 组。
1.3 隔离组显示和维护
在完成上述配置后，在任意视图下执行 display 命令可以显示配置后隔离组的相关信息，通过查看 显示信息验证配置的效果。
# 显示隔离组 2 中的信息。
<Device> display port-isolate group 2 Port-isolate group information: Uplink port support: YES Group ID: 2 Uplink port: GigabitEthernet3/1/4 Group members:
进入端口组 视图
进入二层聚 合接口视图
port-group manual port-group-name
interface bridge-aggregation interface-number
将指定端口加入到隔离组 中，并作为隔离组中的普 通端口
port-isolate enable group group-number
表1-3 隔离组显示和维护
操作
命令
显示隔离组的信息
display port-isolate group [ group-number ] [ | { begin | exclude | include } regular-expression ]
1.4 端口隔离典型配置举例
1. 组网需求
• 小 区 用 户 Host A 、 Host B 、 Host C 分 别 与 Device 的 端 口 GigabitEthernet3/1/1 、 GigabitEthernet3/1/2、GigabitEthernet3/1/3 相连；
GigabitEthernet3/1/1 GigabitEthernet3/1/2
GigabitEthernet3/1/3
1-4
必选 缺省情况下，隔离组中没有加入任何端 口
1.2.2 配置隔离组的上行端口
表1-2 配置隔离组的上行端口
操作
进入系统视图
进入以太网 接口视图
命令
system-view
interface interface-type interface-number
进入以太网 接口视图/二 层聚合接口 视图
进入二层聚 合接口视图
i
1 端口隔离配置
1.1 端口隔离简介
为了实现报文之间的二层隔离，可以将不同的端口加入不同的 VLAN，但会浪费有限的 VLAN 资源。 采用端口隔离特性，可以实现同一 VLAN 内端口之间的隔离。用户只需要将端口加入到隔离组中， 就可以实现隔离组内端口之间二层数据的隔离。端口隔离功能为用户提供了更安全、更灵活的组网 方案。 为了使隔离组内端口与隔离组外二层互通，用户必须为隔离组配置上行口。 目前，隔离组内可以加入的端口数量没有限制。
1.2 配置设备的隔离组
1.2.1 将端口加入隔离组
表1-1 将端口加入隔离组
操作
命令
进入系统视图
system-view
创建隔离组
port-isolate groue interface-type 接口视图 interface-number
进入以太网 接口视图/ 端口组视图 /二层聚合 接口视图
1-3
2. 组网图 图1-2 配置端口隔离组网图
3. 配置步骤
# 创建隔离组 2。
<Device> system-view [Device] port-isolate group 2
# 将端口 GigabitEthernet3/1/1、GigabitEthernet3/1/2、GigabitEthernet3/1/3 加入隔离组 2。
目录
1 端口隔离配置 ····································································································································· 1-1 1.1 端口隔离简介·····································································································································1-1 1.2 配置设备的隔离组 ·····························································································································1-2 1.2.1 将端口加入隔离组···················································································································1-2 1.2.2 配置隔离组的上行端口 ···········································································································1-2 1.3 隔离组显示和维护 ·····························································································································1-3 1.4 端口隔离典型配置举例 ······················································································································1-3