端口隔离解决什么
端口隔离让同一个 VLAN 内的主机彼此二层不可见，只能与各自的网关通信：机制是把接入端口划入隔离组，组内成员之间的二层帧被直接丢弃。它是酒店客房、宿舍、公共区域接入的标配做法，用来抑制同网段的横向扫描与广播扩散，同时不改变现有的 VLAN 与地址规划。
基本信息
| 适用平台 | 思科 IOS / 华为 VRP / H3C Comware 交换机 |
|---|---|
| 华为 | port-isolate enable [group N]，默认加入隔离组 1 |
| 思科 | switchport protected，保护端口；更精细的隔离用 PVLAN |
| H3C | port-isolate enable group N，不同组之间不受影响 |
典型使用场景
- 酒店客房、宿舍、公共区域接入，抑制同网段的横向扫描
- 办公区工位隔离，减少终端之间的相互干扰与广播影响
- 摄像头、打印机等终端同网段部署时按需收窄互访范围
- 抑制广播风暴在接入侧的扩散
- 排查「同一 VLAN 内互 ping 不通」的原因
华为 VRP
华为 VRP
[Huawei-GigabitEthernet0/0/5] port-isolate enable # 默认加入隔离组 1
[Huawei-GigabitEthernet0/0/5] port-isolate enable group 2 # 指定隔离组
<Huawei> display port-isolate group all
! 上行口不加入隔离组，隔离组内主机仅能与上行侧互通思科 IOS
思科 IOS
SW-CORE-01(config-if)# switchport protected # 保护端口，同保护组内二层隔离
SW-CORE-01# show interfaces GigabitEthernet1/0/5 switchport | include Protected
! 需要多组互不相同的隔离关系时改用 PVLAN（private-vlan）H3C Comware
H3C Comware
[H3C-GigabitEthernet1/0/5] port-isolate enable group 1
<H3C> display port-isolate group all
! 不同隔离组之间不受影响，需按业务规划组号三厂对照
| 厂商 | 命令 | 细节 |
|---|---|---|
| 华为 VRP | port-isolate enable [group N] | 不指定时默认加入隔离组 1 |
| 思科 IOS | switchport protected | 保护端口，同保护组内隔离 |
| H3C Comware | port-isolate enable group N | 不同组之间互不影响 |
| 精细隔离需求 | PVLAN 或隔离组编号规划 | 需要多组彼此隔离时使用 |
隔离只作用于二层：跨 VLAN 访问网关与内网服务器仍按三层转发。所谓「隔离之后连服务器也访问不到」，通常是三层策略或网关不在同一台设备上造成的，不是端口隔离本身的问题。
上行口误加入隔离组会导致整个接入区域失联。配置前先明确哪些端口是上行、哪些是接入，再批量下发隔离命令。