Port Isolation — IT Blog

Изоляция портов на HP 5800

Для примера настрою изоляцию портов на коммутатор HPE A5800-24G-SFP.

Настройка Switchport Protected на Allied Telesis

В этой статье я приведу пример настройки Switchport Protected на коммутаторах Allied Telesis, для теста возьму коммутатор AT-8000S/24.

Настройка Traffic Segmentation на D-Link коммутаторах

Приведу пример настройки Traffic Segmentation на D-Link коммутаторах.
Traffic Segmentation запрещает портам общаться между собой на прямую, на коммутаторах других производителей подобная функция называется как Protected Ports, Port Isolation и т.д.

Перед настройкой Traffic Segmentation нужно точно знать какой из портов Uplink, допустим на коммутаторе DES-3200-18 С1, 17 порт является входящим (uplink), то выполним следующие две команды:

Читать далее «Настройка Traffic Segmentation на D-Link коммутаторах»

Изоляция портов на коммутаторах Foxgate

Для теста выполню настройку на коммутаторах Foxgate S6224-S4, S6224-S2, S6208 и т.д..

Подключимся к коммутатору через консоль или telnet и перейдем в режим конфигурации:

enable
config

Создадим группу изолированных портов и добавим в нее порты которые не должны видеть друг друга (в моем случае клиентские с 1 по 24):

isolate-port group users
isolate-port group users switchport interface ethernet 1/1-24

Команда аналогична на всех коммутаторах Foxgate, но могут отличатся номера портов, например на S6224-S2 я настраивал так:

isolate-port group users
isolate-port group users switchport interface ethernet 0/0/1-24

После добавления портов в группу они не будут видеть друг друга, но будут видеть порты которые не в группе, у меня 25 порт является аплинком по которому приходит интернет, так как он не в группе, то видит все порты, а порты которые в группах видят его.

Посмотрим список портов находящихся в группе users:

show isolate-port group users

Выйдем из режима конфигурации и сохраним настройки:

exit
write

Изоляция портов на коммутаторах Huawei

На тесте возьму коммутаторы Huawei Quidway S2326TP-EI и Huawei Quidway S3928P-EI, в которых uplink порт GigabitEthernet 0/0/1 (на него приходит интернет), все остальные порты находятся в одном VLAN и нужно запретить им видеть друг друга. Для этого выполним команду port-isolate enable для каждого интерфейса (порта), кроме uplink GigabitEthernet 0/0/1.

Подключимся к коммутатору через консоль или telnet и перейдем в режим повышенных привилегий:

system-view

Выполним команду для интерфейсов:

interface Ethernet 0/0/1
port-isolate enable
interface Ethernet 0/0/2
port-isolate enable
interface Ethernet 0/0/3
port-isolate enable
и т.д.
interface Ethernet 0/0/24
port-isolate enable
quit
interface GigabitEthernet 0/0/2
port-isolate enable

Для Huawei Quidway S3928P-EI будут другие команды:

interface Ethernet1/0/1
port isolate
interface Ethernet1/0/2
port isolate
...
interface GigabitEthernet 1/1/2
port isolate
interface GigabitEthernet 1/1/3
port isolate
interface GigabitEthernet 1/1/4
port isolate

Выйдем из режима настройки интерфейса:

quit

Выйдем из режима повышенных привилегий:

quit

Сохраним конфигурацию:

save

Теперь порты на которых прописана команда port-isolate enable не видят другие порты на которых тоже прописана эта команда, они видят только порты где она не прописана, то есть в нашем случае uplink порт GigabitEthernet 0/0/1, а он, так как на нем не прописана эта команда, видит все порты с командой и без.

Настройка коммутатора Huawei Quidway S2326TP-EI
Настройка Protected Ports на Cisco
Изоляция портов на коммутаторе ZyXEL

Изоляция портов на коммутаторе ZyXEL MES-3528

На тесте изолирую порты друг от друга, разрешив хождение трафика только на uplink (порт с которого приходит интернет), у меня он 25.

Подключимся к коммутатору и посмотрим текущую конфигурацию:

show running-config

Перейдем в режим конфигурирования:

configure

Изолируем необходимые порты, кроме uplink порта:

interface port-channel 1-24,26-28
vlan1q port-isolation
exit
exit

Сохраним конфигурацию:

write memory

Порты на которых прописана команда vlan1q port-isolation не видят другие порты с этой же командой, но видят порты без неё и CPU коммутатора. Порты без команды vlan1q port-isolation видят порты с ней и без неё.

Настройка Protected Ports на Cisco

На тесте выполню настройки на Cisco Catalyst WS-C3750-48TS-S.

И так, все порты настроены как access, кроме первого гигабитного uplink порта, он настроен как trunk и на него приходит интернет по клиентскому vlan с тегом.
Нам необходимо чтобы все порты на этом коммутаторе не видели друг друга и видели только первый гигабитный ulink порт.

Для этого подключимся к коммутатору и перейдем в режим конфигурации:

enable
configure terminal

Затем пропишем команду switchport protected для всех access портов:

interface range fastEthernet 1/0/1-48
switchport protected
interface range gigabitEthernet 1/0/2-4
switchport protected
exit
exit

Сохраним конфигурацию:

write

Как видно interface gigabitEthernet 1/0/1 мы не трогали.
Теперь порты на которых прописана команда switchport protected не видят другие порты на которых тоже прописана эта команда, они видят только порты где она не прописана, то есть в нашем случае первый гигабитный ulink порт, а он видит все порты с командой и без.

Информацию о портах можно посмотреть командой:

show interfaces ИНТЕРФЕЙС switchport

Посмотреть всю конфигурацию:

show running-config