第十章 接口配置锦囊妙计

幸得姜维提醒，才想起诸

信息至上，保障安全，唯话说张飞接到诸葛神人下达的保障中军大营信息安全的军令后，不禁大为挠头。葛神人留的第二个锦囊。两人打开锦囊，定睛观看，只见锦帛上书：两军对垒，有隔离。幸得姜维提醒，才想起诸

信息至上，保障安全，唯GEO/O/1GE0/0/3中军大营士兵大营辎重大营TOC\o"1-5"\h\z；10.10J0.1/240/241fl.10.10.2M/24\tototoI&/2499/241&/24\VLAN10飞飞你看，我军的中军大营、士兵大营和辎重大营同属于一个VLAN且位于相同网段。默认情况下，三个大营可以互相访问。现在，丞相要求咱们在不改变我军网段规划和VLAN规划的情况下，实现：1）中军大营和士兵大营不能互相访问；2）中军大营可以访问辎重大营，但辎重大营不能访问中军大营，且辎重大营和士兵大营始终可以互相访问。那么，该如何实现呢？这就需要咱们祭出端口隔离这个大招啦。此招一出，威力无穷，必然能够完成丞相军令，到时候丞相肯定夸你是个爱学习、肯动脑的好孩子，哈哈哈哈！”姜维调侃完张飞后，开心得哈哈大笑三一^。张飞假装愠怒：“维维老弟，别臭美了，你快告诉我怎么配置端口隔离吧！”“好，长话短说。说到端口隔离，就要引入端口隔离组的概念，交换机的端口可以加入到特定的端口隔离组中，同一端口隔离组的端口之间互相隔离，不同端口隔离组的端口之间不隔离。因此，要完成丞相的军令，配置思路其实非常简单。如下图所示，在交换机上将端口GE0/0/1和GE0/0/2加入同一个端口隔离组，GE0/0/3不加入端口隔离组或者加入另一个端口隔离组就OK了。GE0/0/3Switch||「军大营I/24:mm膈4士兵大营GE0/0/3Switch||「军大营I/24:mm膈4士兵大营0/24to99/24VLANW辎重大莒10.1t).1C.2TO24化!19/24II端口隔离级A/xGEO/O/1/■配置步骤如下：<Huawei>system-view[Huawei]sysnameSwitch[Switch]interfacegigabitEthernet0/0/1[Switch-GigabitEthernet0/0/1]portlink-typeaccess[Switch-GigabitEthernet0/0/1]portdefaultvlan10[Switch-GigabitEthernet0/0/1]port-isolateenablegroup5〃端口GE0/0/1加入到端口隔离组5[Switch-GigabitEthernet0/0/1]quit[Switch]interfacegigabitEthernet0/0/2[Switch-GigabitEthernet0/0/2]portlink-typeaccess[Switch-GigabitEthernet0/0/2]portdefaultvlan10[Switch-GigabitEthernet0/0/2]port-isolateenablegroup5〃端口GE0/0/2加入到端口隔离组5[Switch-GigabitEthernet0/0/2]quit[Switch]interfacegigabitEthernet0/0/3[Switch-GigabitEthernet0/0/3]portlink-typeaccess[Switch-GigabitEthernet0/0/3]portdefaultvlan10〃端口GE0/0/3不加入端口隔离组[Switch-GigabitEthernet0/0/3]quit

完成配置后，端口GE0/0/1和GE0/0/2就加入同一个端口隔离组，端口GE0/0/3不加入任何端口隔离组。这样，中军大营和士兵大营就不能互相访问了，但中军大营和辎重大营、士兵大营和辎重大营仍然可以互相访问。”江湖小贴士：如何查看端口隔离组的配置信息呢？单向隔离执行命令displayport-isolategroup(group-id|all｝命令就可以查看端口隔离组的配置信息啦。单向隔离张飞闻言大喜，不过他心中还压着一个小包袱：“维维老弟，丞相还要咱们实现中军大营可以访问辎重大营，但辎重大营不能访问中军大营。这个问题也能用端口隔离解决吗？”姜维微微一笑，淡定地说：“端口隔离既然是大招，当然不仅仅只有端口隔离组这件杀器喽，它的武器库里还要另外一件杀器一一单向隔离，正好解决你提的这个问题。”张飞有点不相信，怀疑地说：“神马是单向隔离？有这么神奇吗？”在接姜维笑着说：“单向隔离，顾名思义，只在单个方向上进行信息隔离。举个栗子口A上配置它与接口B之间单向隔离，则从接口A发送的报文不能到达接口B，但从接口B发送的报文可以到达接口A。就拿你提的这个问题来说吧，要实现中军大营可以访问辎重大营，但辎重大营不能访问中军大营，就可以使用单向隔离功能。如下图所示，在端口GE0/0/3上配置单向隔离功能，并指定隔离的端口是GE0/0/1，这样，GE0/0/3上发出的报文不能到达GE0/0/1，而GE0/0/1发出的报文可以到达GE0/0/3,从而实现中军大营可以访问辎重大营，但辎重大营不能访问中军大营。在接SwitchGE070f1GE0/0/3中军大营；/24

to

'10.10.1049/24士员大营0/24GE070f1GE0/0/3中军大营；/24

to

'10.10.1049/24士员大营0/24辘重大营00/24Ito

99/24VLAN10配置步骤如下：[Switch]interfaceGigabitEthernet0/0/3[Switch-GigabitEthernet0/0/3]amisolategigabitethernet0/0/1//在GE0/0/3上配置端口隔离功能，并指定隔离的端口是GE0/0/1[Switch-GigabitEthernet0/0/3]quit配置单向隔离大功告成，看，就是这么简单！”张飞按照诸葛神人的锦囊，轻轻松松地在交换机上配置了端口隔离功能，经过验证，中军大营果然不能与士兵大营互相访问，且辎重大营不能访问中军大营。端口隔离模式第二天，张飞美滋滋地等着诸葛神人的表扬*'，不料，诸葛神人却告诉张飞：“飞飞，端口GE0/0/1与端口GE0/0/2现在是二层隔离，虽然ARP啥的无法透传过来，但是通过VLAN内ProxyARP功能，中军大营与士兵大营仍然能够借助自己的网关实现三层互访，这就是所谓的二层隔离但是三层不隔离。”张飞有点小郁闷：“丞相，管它二层隔离三层隔离，只要能实现信息隔离不就行了？反正我现在看不出来二层隔离和三层隔离有啥区别。”诸葛神人不慌不忙地摇着鹅毛扇：“事实胜于雄辩。我们做个小实验，你就完全明白了。实验过程如下：步骤1如下图所示，取中军大营的主机PC1和士兵大营中的主机PC2，在PC1和PC2加入同一个端口隔离组条件下，用PC1和PC2互相Ping对方，结果两者无法互相Ping通，说明端口隔离功能起了作用。

SwitchPC1PC210dOja.1/2410+10.1050/24VLAN10在PC1PingPC2的过程中，在交换机上抓取经过GE0/0/1和GE0/0/2的报文SwitchPC1PC210dOja.1/2410+10.1050/24VLAN10在PC1PingPC2的过程中，在交换机上抓取经过GE0/0/1和GE0/0/2的报文•-GE0/0/1的抓包信息如图所示：Kt..TSniCSourceDesfcnatian334G£3.40600i0Huawe-iTe_GbE26j3eSparwiirig-tr-ee-qrarInfowhohasLtJ-lO.ill.S0?Tell10.LD.lC*1.!33S663h&440!>0huarB'eiTe_15;O5;QO336664.8240010HuawE；-iTe_15;CI9:OO337665,6090OTJfluaweiTe_6*3=Zfi«3c665.859090556^859000Hu.aweHfi^5：O9：OO667.82SD&t»HuaweiT^BfezEB:3cM1CTOrQDDOODHU^welTe_6ti：?5：3CH2672-liSO&t>HuawedTe_6b-^6：BcM3W订0l>0149耳*导1丁!&8勤：出5匚Broa-dcastsparm1!rtg-Lr-ee-[「orBf如己*1BFOa<IC45l：SpaTwi^ng-Tree-fforSparrning-rr月卜Cfor-stpSparmTrtg-Tree-fFoir—5TPSoanntrso-tre旭-CFor-STPPST.~Rwr=127£fi,-'0.-'4r;lfrcr:rGb:2G!]rh>hchds1Q.LQ.14)-50?Pel】10.10.1^1nHchas10.10.lfl.50?Tell10..1O.1&.1MSTjn-DOL■»3Z7fia/Q/^C：ir：CCj6b；2&；3twh4怡玷LG.10.10.50?T舟whohas10.10.ic.so-7r^iiio.iG.io.1心-Hwr-127BB；&74C:If:ccEb^26:3cW：ST.ROOT-3Z7CB'0/4c：If：CC：6t)'2&'3C陆£T-ROQt-it牝WT,RDDC-:cc：!6b：,26；itjsFraw33^:EObyresonhire(484)Mrs),^0byrescaptured(4110h-iis).匚nJ】况fl电匚口.src：Hum心1吼15：。WOO(5d:E3：9£：l-i!09!00),DST!BfOidCJST(ff!ff?ffiff!ffifD■Ud「电ssReacjiu^anF「。[。匚ol{^e-qtJE5C抓包信息显示，PC1发送了ARP请求报文(绿线框围住的Protocol为ARP的报文)后，并没有收到来自PC2的ARP应答报文。■•-GE0/0/2的抓包信息如图所示：KllZ*.&eslir^UdaT113.56000Huaw乜ire_6b:MHspannfng-tr-ee-(for-stp117.95JOOCHuawre4re_6b：2S:icwpann"!rtg-trw乜一《十*-stp67120.25000CKllZ*.&eslir^UdaT113.56000Huaw乜ire_6b:MHspannfng-tr-ee-(for-stp117.95JOOCHuawre4re_6b：2S:icwpann"!rtg-trw乜一《十*-stp67120.25000CHuJwelTe_6l3：2S：JCSgml询-ir用乜-&OT-5TP12Z.625(MM)1t«_fib：Z<6：tc^p-amlnQ-tr-efl-(for-&tf69124.B2B00CHUJlh-elTS_6br2«5p-inn1ng-LC-efl-tfor*5TP7Qizr.031QWhu函欢1t«;E韦；字匚sp-annir>gee-ffor-stpti129,343OOCHuaw^l74_«t3r?«:JcSp-ann1r>g-nree-[for-sTP7?13]_.包勺。。成11晌叶1"_晒；£与；十七Spannlng-nree-tfor-STP73133.B12CKICIHlJ3W^i1JCSp-annlng-rrCi-[for-5TP£ril&M5T-RMtM5T.ROOTM5TaRMtMST™RWXMST-RMTM5T.RMXMST.ROOTMST.ROOTMBT.用WT-3276£Xa/^c：lfice?6b;26;3CF3276£/a/<£：lf:CC：6b：26：-3276^/a/Jt：lf:CC:6b：26：3：C-327G3^I/4C：l-f：CC:GIF：2G：?C-更日-3276-0/O/4C：1f；CC；21：it-3276£/a/4£Jlf!CCJCb!26：JC-3276^/a/4C；1f:C£；fib；；JC-3276-8/a/4C!■!f!CC!i?6：JC步骤2PC1和PC2上配置的网关是VLANIF10的IP地址：50/24，我们在VLANIF10上使能VLAN内ProxyARP功能。步骤如下：[Switch]interfacevlanif10[Switch-Vlanif10]ipaddress5024[Switch-Vlanif10]arp-proxyinner-sub-vlan-proxyenable〃在VLANIF10上使能VLAN内ProxyARP功能[Switch-Vlanif10]quit然后用PC1和PC2互相Ping对方，结果两者可以互相Ping通，这说明端口隔离功能失效了。这是怎么回事呢？让我们来抓包分析一下。TimeSource©«+irutioriAXLjc?s3-U^uriijtfrw^iife?_gt?zro3t-^P«IFINIrICJ-urui-fr121^ZfeJL.g醐(MihuT^„fib-i26s3cspanning-tr^e-Cfiir-STPProtiocDlInfonsr_costMWT.P-Wit327-68O./4c!lf*见回TimeSource©«+irutioriAXLjc?s3-U^uriijtfrw^iife?_gt?zro3t-^P«IFINIrICJ-urui-fr121^ZfeJL.g醐(MihuT^„fib-i26s3cspanning-tr^e-Cfiir-STPProtiocDlInfonsr_costMWT.P-Wit327-68O./4c!lf*见回ti口6Q匚CostISie2ti42.675aoarc^dc^s-t122D264J.45300Huaw&iTe_6b:2623EBroadcastARP122126^3b625OQliuawelTe_15:&9:0QBFaadCcistARP1222264Ju625&0HuaweiTe_6bi26:2eHuiahe-iTe__lS:05:CDAftPICTElOulOulQ,5012230%M0QQ10.ZLEICXI__12S42C43.73d00HuaweiTe_€bu26:3cBroadcastwp1223ZGdJ.734100HUasweiTe^l5z09:OUHuawie1Te_i6b;2i5:3C.ARPWhohas1G.10.Id-SO?Tell10,10,10.250WhohasIfr-10-1-0-50?Ts11Id.lO.lQ.l10.ID-10.SG-isat4czlfzee:6b;26:3c^tK^^^ng^req5estlli^T^=l83c35B5^^eq(be/1£)elwh-oha.sifr.±0.Ifl-l?Tell5010^10.10alISit54:B9;9fizl5:09:001226264J.73»t0010.LCs.IQ.2JO10.to—1R.edireex10.10-10.50ICMPEE勇'fiSWlCrlS.JQ,25(?Xt/lPecho(ping：)req-ues-tCld-oxd300.seqCbe/lc)-"3.-巴书dlr站啜匚forhost）12292644.B5900humqI26:3c5parm1F^g-iret-(for-sH>123QZWi.ZCJOO10.1_0.L4阳ICMPMl：.3376SZ0/4C：IfCC：6b：26!■3CtOSLIQ.lO-LOr5Q12117C50010.1»,ID,2WEchotpln?}reqsucitCid-axd4oaP5eq(be/lcJ-J,RrcnrecT<RtflTr77tfcrho5tj1Z12?646.lO.LO.lD.1It),io.ID.uZSTuTaTOPEchoCping-)req<i-e^rCid-Oxd50QP5eq1426dJP172&D26:3csparining-ir^e-Cfor-^tpT.R-OOta.0/4c:lT:cc：6b：j6^1ccast皿XOMP12362M7.?g?&010.10.10,泓EeHd(pHnq)■requ^^td=dxd£flCiFseq(be/1eJ—5,.rc^p昭DirBLl12372649.46400HuaweiTe.febz263cSpanning-tree-ffor-5TP122&2651-75000Huaw&iTG_6b:2S-3eEpanning-1ree-Cf0r-STPL239ZQSL乩耳删mi.丁号.M堕ME.凹MST-MST.MER.o<Jt=日士7-6S/'fl/4c:If:cc:6b:2613cCostR.MC=327I&S.'0/4t:If«rcsGb:26!：3cCostRg朽=3Z7-&BsH0/4c;lf:ccCostIII'POarp-aInternetAddressID.10.L0-25D10.10.10-50InternetAddressID.10.L0-25D10.10.10-50•江江湖小贴士：如何查看VLANIF10的MAC地址呢？PhysicalAddressType4C-lF-CC-6E-2：£-3Cdynamic4Ci—lF—UU—&E—2:6—aC：!dynajniu最最后，PC1发送到PC2的PingRequest报文（如绿线标注）。下图是PingRequest报文信息，PingRequest报文的目的MAC地址是VLANIF10的MAC地址（如黄线标注），可见，PingRequest报文会首先发送到VLANIF10上。i?iFram#d0:74bytesonwire(59=bitsjp7<tbyrescap-tured(592bits^)■-EthernetII,5rc:MuawEiTe_l5:09:00(54:89tSB:15:OS-rO-O^,Dst:HuaweiTe_6b:26:3cC4c:lf:ihimemeuProtocol.Srcrm.lo.iixi(iq.io,10,1J.Dst:10,10.10,5QU0-10.10.50Jit；internetcontrolMessageProtocol在交换机上执行displayarp21命令就可以查看VLANIF10的ARP表项，ARP表项中包含VLANIF10的MAC地址。如下图所示。<Huawei>diparpallIPADDRESSMAGAQDRE55EXPIRECM}TYPEINTERFACEVPN-INSTANGEVIANS04alf-aa6b-263cia.ia.ia.soS4sg-geed-6fe23D-"GE0/0/2105455-5515-09003D-aGE0/0/1IDTotal:3Dynamic:2Scacic:0Interface:1■•-GE0/0/2的抓包信息如图所示:首先，其次，最后，VLANIF10发送ARP请求报文，寻找PC2的首先，其次，最后，VLANIF10收到来自PC2的ARP应答报文，获取了PC2的MAC地址（如蓝线标注）。VLANIF10将收到的来自PC1的ARPRequest报文转发到PC2（如绿线所示）。结论综合GE0/0/1和GE0/0/2的抓包信息可以看出，PC1发送的PingRequest报文会发送到VLANIF10进行三层转发，而不是进行二层转发。PC2回应PC1的PingReply报文也同样进行三层转发，本帖不再赘述。张飞嚷道：“哇，PC1和PC2之间果然能够通过三层进行通信。那么，丞相，如何实现PC1和PC2二三层都隔离呢？”诸葛神人微微一笑：“很简单，只需要在系统视图下执行port-isolatemodeall命令即可实现二三层都隔离。让我们再次实验一下。实验步骤如下：步骤1在接口VLANIF10下保留VLAN内ProxyARP功能的配置的同时，在系统视图下执行port-isolatemodeall命令。[Switch]port-isolatemodeall〃指定端口隔离模式为二层三层都隔离步骤2用PC1和PC2互相Ping对方，结果两者不能互相Ping通。抓包分析一下PC1和PC2无法互相Ping通的原因。GE0/0/1的抓包信息如图所示:

No.Time£qufc«Desti*»ationPr-ottMoldXQJ-二・.JVWmiJ』*七■ItS_ULP*EtJ.\LI«PIIILJ—LGSffc!-\IUl-3IP"96^52iai3,9530nujw^ire_i5：09:00grciadcasi:arpS6-B621Bl3-953©tiuiwHe<re„6br26:3cHu-a^iTe_l5^09:00arp10.Id.10.5096B721913.95300ICHFEnk)•K.UUt■TJC.-U■-■10.Id.10.50Enk)•K.UUt■TJC.-U■-■U»XI.uh_iUU.VU：wfwhasio.io.ic.sotrellio.10.1a.110,10.±0.SCHs.At4<zlfrcci6br26:JcEchoCpir.g,)*q讽srCld-OxfBll,seqCbe1im-?:ifli.:i-；i!?J?i*ujsu；eiTe_eb：zc：wfiranui^tmio.lo.iObiHrlO-io.ia.iIM|0!Ech4Cpi^}rgq^st《IdTKfdl」&tqCbfe/TReiHrert自*w臼・1(0己此噂亍7~庶.与加;芝。彳meSp^nninq-free-(fgr-FTP时fT_,胃时w-3J；1ftq-7；J；Ji；Co;J1S110.1C.1().110-10.10.50icmpEthoCpin^)rsques-t£id=Oxferll,L9E明21hlB.OLuOLU.10.10.J50LO.1U.1U.1JCMPRedlrecx[R传dlr&ctfearhest)：ldlQ.r19J-H-ja^?Te_6b:2S:]eSp-anning-tree-(for-STP''.--.-.3■■.：■：...：...坤621B2-0.0<HM)10.10.10l1IO-IOlIOl50ICKFEcho〔pin#)requestCid=Oxfelliseq(be/h96^72182-Q,OMa10-10,10.2S-0ICMPRedihec:t(Redirectfbfhc^t:)96-9521821.904010.10,0.50ICMP£cheCpir)g)requestCid-OxOOLS,3&qCb£.1i21821^8^01010-1OB10.1lowRedinger(R-edfirectforhost)9700ZiaZ2.0150HUawe^la_6b：26T3L5p-annir^-cr«e-tfur-stfF5T,HGOl*317-fiB/O4c；IfTCC：6b：26：3CCc：970121324-2500HuAw-eiT:5pjnn1ng-rree-(for-stf附5TT・Root■327-6e/0/4C：lfrcc:6b：26lJCCO!q?n??tnJ.1nwujiMrtiiiiflfihi?f»rir^naminn-rrp^-ffnr■atp时vr_RrniT-^77-fifi.rr(iB4r:ifrrr!：l=ih!?fi'nr-J-Fr^me968新Mbytes-■onwire(560fairsi,70byies.tap-CLred(560blxs)ETherrern.src:出jmwItq项b；W6：3cC-4crificc：cb:Z6：3O.dsc:tiG^-alTe015：03：ooCH:昭：驱：I539：oo9inrerrerFraroMl,arc:ifl.io.iQ.Z5O(ia.10.1.0,Z'5-o),D5T：io,ifl.10.1(10.10-10.1)aj|LrT：ern«Conrrolnroi;otol抓包信息显示，PC1发送ARP请求报文，收到来自接口VLANIF10的ARP应答报文。PC1发送PingRequest报文到VLANIF10进行三层转发。GE0/0/2的抓包信息如图所示:Nd,TlrrwSourceDcsdnarH口nPrortgdJnfo100Ofc2260«.703flHuab-e-iTe_£b:2€3?cAparininq-tr«e-(far一5TPMET\RDDt=327&S/4/4E：;1-f3ce:6b:26:3cCa1000722611□■9530Hijah-eire„6bi：2Ci3iCsp^rining-tr«e-(far-5TPM5TlROOT=3276a/O/4E;1-f；£€;fih;2fiz3cCO1000822614.2SOOHijah^iTe_6b;:2€:3：cSparning-tree-(far-5TPHSTuROOT=3276S/i/4t；i-f；cc；Sb；2Sz3cCa1000922616.SCiOOHuahTeiTe_6b:Z6:3c5parning-tr€€!-(for-5TPM5T.ROOT-32768/O/4C:If：CC:6b：26:JcCO1001023fiiS.7010耿sparning-tr«e-(for-stpMST..ROOT=3276*/&/4£；11:«;51!：26:50co1001122621.0000HuawielTe_6b：26：3tjrnlnc-Lrse-(for-stfM£T..ROOT-3276S/O/4C：If：CC:Gb：26：3CCO10012Z2623.2LBOHuJwBlTfifc6b：26：SCsparning-trMee-(for-stfMST.ROOT-33768/O/4C：lY：CC:fib：26：3ICco1001322625.46S0'Hua^lTe.Cb：26：3：Csparnlng-tr^e-(for■-sipMST.ROOT-32768/Qi/<C：IT：CC：6b：26：3Cco1QQL4ZZ$Z7.697QH讷欧打£■此*中；KSpafini^ig-tr-ee-(far-STPMSTrROOT-3EFg*K；rfKt；Cb洒MCQ-1IIH□|rraiftt9/7北119uiMr*(Q52biti),119byrescapturtd(^52blrsliieee：&oz.3£ilierrMi:luLQgical-bdrikControlHspanningTree-Prorrcol抓包信息显示，VLANIF10没有发送ARP请求报文寻找PC2的MAC地址，也没有把PC1发送的ARPRequest报文转发到PC2。结论VLANIF10并没有转发来自PC1的ARPRequest报文，这样，PC1和PC2之间也就无法实现三层互访了。飞飞你看，只是增加了一个小小的配置，端口隔离功能就又王者归来了！”

张飞信服地点了点头，赞叹道“不愧是丞相呀，果然神机妙算！不过丞相，你看现在我们在交换机上配置了这么多端口隔离的命令，万一日后我