机房交换机端口隔离，防止业务互相访问

同一台交换机上不同业务端口默认可以二层互通，这在多租户或安全要求高的机房里是隐患。
端口隔离（Port Isolation）能限制同一VLAN内端口之间的二层流量，只允许它们与上行口通信。
本文面向零基础运维，讲清配置步骤、命令示例和验证方法，帮你实现“防止业务互相访问”的目标。

什么场景需要做端口隔离

机房常见需求：多台服务器虽然划分在同一VLAN，但业务上不允许互相访问，只允许访问网关或上行链路。
典型情况包括：

• 托管服务器分属不同客户，共享同一接入交换机
• 测试环境需要隔离，避免广播或扫描影响其他业务
• 安全合规要求，禁止同网段横向访问

端口隔离只影响二层转发，不会改变IP路由。
如果业务需要跨网段访问，仍然要经过网关，隔离不会阻断正常路由。

配置前的准备与检查

动手前先确认以下信息，避免配置后断网：

1. 确认交换机型号和当前VLAN配置，使用 display vlan 或 show vlan 查看。
2. 确定上行端口（连接网关或核心交换机的端口），隔离组内端口不能包含上行口，否则所有业务都会断。
3. 记录需要隔离的端口编号，例如 GigabitEthernet0/0/1 到 0/0/10。
4. 建议在业务低峰期操作，并提前准备好 console 线或带外管理，防止远程失联。

重要判断：端口隔离只对同一VLAN内的端口生效。如果端口在不同VLAN，本身就不通，不需要额外隔离。

华为交换机端口隔离配置

华为交换机使用 port-isolate 命令。
进入需要隔离的物理端口，加入同一个隔离组即可。

system-view
interface GigabitEthernet0/0/1
 port-isolate enable group 1
 quit
interface GigabitEthernet0/0/2
 port-isolate enable group 1
 quit

如果希望上行口不被隔离，不要对上行口执行该命令。
默认情况下，未加入隔离组的端口不受影响。

批量配置可以用端口组简化：

port-group group-member GigabitEthernet0/0/1 to GigabitEthernet0/0/10
 port-isolate enable group 1
 quit

配置完成后保存：save。

H3C与思科交换机的等效写法

H3C交换机同样支持端口隔离，命令与华为类似：

interface GigabitEthernet1/0/1
 port-isolate enable group 1
 quit

思科交换机默认没有直接等同的端口隔离命令，通常用私有VLAN（PVLAN）或保护端口实现。
保护端口配置更简单：

interface range GigabitEthernet0/1 - 10
 switchport protected

配置保护端口后，这些端口之间不能二层互通，但都能与未配置保护的上行口通信。
不同厂商命令有差异，建议以设备官方文档为准。

避坑指南：这些错误会让隔离失效

• 把上行口也加入隔离组：会导致所有业务无法访问网关，直接断网。
• 隔离组编号不一致：华为设备同一隔离组内才隔离，不同组之间默认可以互通，务必统一组号。
• 误以为隔离能阻止跨VLAN访问：端口隔离只作用于二层同VLAN，跨VLAN流量走路由，不受影响。
• 忘记保存配置：重启后配置丢失，隔离失效。
• 在堆叠或级联环境中只配一台：如果两台交换机通过Trunk互联，隔离需要在上联设备确认策略，端口隔离通常只在本地生效。

如果业务要求“完全不能互访”，除了端口隔离，还建议配合ACL或防火墙策略做三层限制。

验证隔离是否生效

配置后必须验证，不能只看命令回显。

1. 将两台测试机分别接入隔离组内的两个端口，配置同网段IP。
2. 从一台机器 ping 另一台，预期结果是不通（超时或不可达）。
3. 从测试机 ping 网关，预期结果是通的。
4. 如果条件允许，在交换机上查看隔离状态：

display port-isolate group 1

输出会列出隔离组内的端口。
若端口未出现在列表中，说明配置未生效。

常见疑问

端口隔离和VLAN隔离有什么区别？
VLAN隔离是把端口划分到不同广播域，配置量较大；端口隔离是在同一VLAN内做二层限制，更灵活，适合端口多但VLAN规划简单的场景。

配置端口隔离后，DHCP还能正常获取地址吗？
可以。端口隔离只限制隔离组内端口之间的流量，DHCP请求发往网关或DHCP服务器，不受影响。

一台交换机上可以配置多个隔离组吗？
可以。不同隔离组之间默认可以互通，同一组内端口互相隔离。根据业务分组设置不同组号即可。

端口隔离对已经建立的连接有影响吗？
配置生效后，新的二层转发会被限制，已建立的会话可能中断。建议在业务空闲时操作，并提前通知相关方。

端口隔离是机房交换机防止业务互相访问的实用手段，配置不复杂，但一定要确认上行口、隔离组编号和保存操作。
按本文步骤执行并用ping验证，就能确认隔离是否达到预期。
不同品牌设备命令略有差异，实际配置请以官方文档和控制台显示为准。