端口隔离是什么
端口隔离（port isolate / port-isolation）把同一台交换机上的一组端口划进同一个隔离组：组内端口二层互不相通，但都能与上行端口通信。它用一台设备就实现了原本要靠多台设备或逐口划 VLAN 才能做到的接入隔离，广泛用于酒店、公寓、宿舍与多租户办公楼。
基本信息
| 适用平台 | 华为 VRP / H3C Comware 接入交换机 |
|---|---|
| 作用层面 | 仅二层转发 |
| 组内行为 | 端口之间互不转发 |
| 上行端口 | 不加入隔离组 |
| 典型粒度 | 每房间 / 每租户一个端口，同一隔离组 |
典型使用场景
- 酒店、公寓每个房间一个端口，禁止房客之间互相扫描与广播
- 宿舍、教室同 VLAN 内互访控制，免去逐口划 VLAN 的规划负担
- 公共区域无线接入口防横向感染：一台机器中毒不扩散到邻口
- 营业厅、医院候诊区等开放接入区的安全检查项
- 与三层 ACL 叠加，实现二层隔离加三层受控的彻底隔离
配置与查看
配置与查看
# 华为：接口视图下加入隔离组
interface GigabitEthernet0/0/1
port-isolate enable group 1
display port-isolate group all # 查看组内成员
# H3C：接口视图下使能（组号支持情况按版本核对）
port-isolate enable group 1
display port-isolate group # 查看隔离组信息隔离行为对照
| 流量方向 | 是否互通 | 说明 |
|---|---|---|
| 组内端口之间 | 二层不通 | 隔离组的核心作用 |
| 组内端口到上行端口 | 通 | 上行口不要划进同一个隔离组 |
| 组内端口到网关 | 通（三层） | 三层转发不受端口隔离限制 |
| 不同隔离组之间 | 按平台实现核对 | 部分平台跨组默认互通，需实测确认 |
| 跨设备同 VLAN 端口 | 通 | 隔离只作用在本设备的端口上 |
隔离组编号按区域或楼层划分，扩容时沿用同一组号即可，不必新建；把组号规划写进台账，避免同一接入区出现多个随手编号的组导致隔离边界失控。