交換機端口隔離技術應用

實際案例分析
        某公司，由於業務要求，爲了保障服務器高可用性，對服務器實現了NLB羣集技術。萬事有利就有弊，由於NLB羣集在實際環境中一般採用多播技術，交換機同一出口下的節點均爲收到大量廣播，一些網絡延時要求較小（如做網絡電話、短信羣發業務）的用戶網絡性能將會受到很大影響。面對這種情況我們首先想到的是子網劃分或者是劃爲VLAN，劃分子網後問題依然存在，這個時候一般只能考慮劃分VLAN，但是由於IDC服務器節點上聯設備幾乎沒有劃分VLAN的，因爲服務器的上聯交換機一般是用戶自己的，而 IDC中的交換機也劃有VLAN，服務器的上聯交換機配置VLAN時需要配置Trunk，否則無法與上聯設備進行通訊，由於機房網絡拓撲環境用戶自己不熟悉，所以沒辦法劃分VLAN。難道這種情況就沒辦法解決了嗎？答案是有的，那就是端口隔離技術.
端口隔離技術概述
      端口隔離技術是一種實現在客戶端的端口間的足夠的隔離度以保證一個客戶端不會收到另外一個客戶端的流量的技術。通過端口隔離技術，用戶可以將需要進行控制的端口加入到一個隔離組中，通過端口隔離特性，用戶可以將需要進行控制的端口加入到一個隔離組中，實現隔離組中的端口之間二層數據的隔離，使用隔離技術後隔離端口之間就不會產生單播、廣播和組播，病毒就不會在隔離計算機之間傳播，增加了網絡安全性，提高了網絡性能
實際環境應用
     好，下面我們來看一個端口隔離實際應用（以H3C S2126-ei交換機爲例）
病因：某用戶經常對外發送大量廣播，造成網絡性能嚴重下降
處方：端口隔離技術
三臺服務器分爲3個實際用戶，分別連接交換機的
<H3C>sys
System View: return to User View with Ctrl+Z.
[H3C]interface Ethernet 1/0/1
[H3C-Ethernet1/0/1]port isolate //設置本端口爲隔離端口
[H3C-Ethernet1/0/1]quit
[H3C] interface Ethernet 1/0/2
[H3C-Ethernet1/0/2]port isolate //設置本端口爲隔離端口
[H3C-Ethernet1/0/2]quit
[H3C] interface Ethernet 1/0/3
[H3C-Ethernet1/0/3]port isolate //設置本端口爲隔離端口
[H3C-Ethernet1/0/3]quit
[H3C]save    //保存配置
[H3C]display isolate port //查詢端口隔離組中的端口
[H3C-Ethernet1/0/X]undo port isolate //刪除某端口下的隔離端口
注：端口隔離不同於VLAN
其它廠商品牌交換機端口隔離技術應用
華爲
[Quidway]interface Ethernet1/0/1
[Quidway-Ethernet1/0/1] port-isolate enable //開啓本端口隔離功能
思科
Switch(config)# interface 端口號
Switch(config-if)# switchitchport protected //開啓端口保護功能
注：思科個別型號交換機採用PVLAN來實現端口保護功能
D-link
config traffic_segmentation [<portlist>] forward_list [null |<portlist>]
注：<portlist>表示指定哪個端口作爲隔離端口，參數null表示沒有上連端口，參數<portlist>表示上連端口