如何使同vlan中ip地址禁止訪問？端口隔離與vlan有何不同？

在同一個vlan中如何實現端口相互隔離呢？這個在交換機組網項目中也是經常會用到。

對于有些項目，項目本身不需要不同vlan之間進行互訪，比如有些監控項目就只需要內網訪問，那么就沒有必要創建vlan了，節約網絡設備資源，但是要防止網絡風暴，怎么辦呢？

采用端口隔離功能，可以實現同一VLAN內端口之間的隔離。用戶只需要將端口加入到隔離組中，就可以實現隔離組內端口之間二層數據的隔離。

端口隔離一般用于內網中，端口隔離的端口之間無法相互通信，所以端口隔離功能為用戶提供了更安全的方案。

案例：端口隔離實例配置
某企業研發辦公室員工分為三類：
1、本公司員工   
2、A合作方公司員工  
3、B合作方公司員工

如下圖所示，PC1和PC2分別代表A、B合作方員工，PC3代表本公司研發員工，公司希望 在節省VLAN資源的前提下，實現本公司員工和A、B兩個合作方公司之間可以相互通 信，但是A、B兩個合作方公司員工之間無法通信。

也就是，在同一個vlan中，PC3可以訪問PC1與PC2，而PC1與PC2不能相互訪問，我們以華為的交換機配置作為實例。

一、 配置端口隔離示例組網圖與ip地址

二、配置思路
采用如下的思路配置端口隔離：
a、配置接口加入VLAN。 
b、 配置接口加入到隔離組中，實現隔離組內接口之間二層數據的隔離。

三、配置步驟：
step1、配置端口隔離功能 
配置GE1/0/1的端口隔離功能。
<HUAWEI> system-view    //進入配置視圖
[HUAWEI] sysname Switch   //交換機命令為switch
[Switch] vlan 10           //創建vlan10
[Switch-vlan10] quit       //返回
[Switch] interface gigabitethernet 1/0/1    //進入端口1/0/1
[Switch-GigabitEthernet1/0/1] port link-type access   //配置GE1/0/1的接口類型為access。
[Switch-GigabitEthernet1/0/1] port default vlan 10   //配置GE1/0/1加入VLAN 10。
[Switch-GigabitEthernet1/0/1] port-isolate enable   //缺省加入端口隔離組1，且隔離模式為二層隔離三層互通。
[Switch-GigabitEthernet1/0/1] quit

配置GE01/0/2的端口隔離功能。
[Switch] interface gigabitethernet 1/0/2
[Switch-GigabitEthernet1/0/2] port link-type access   //配置GE1/0/2的接口類型為access。
[Switch-GigabitEthernet1/0/2] port default vlan 10   //配置GE1/0/2加入VLAN 10。
[Switch-GigabitEthernet1/0/2] port-isolate enable   //缺省加入端口隔離組1，且隔離模式為二層隔離三層互通。
[Switch-GigabitEthernet1/0/2] quit

配置GE1/0/3加入VLAN10
[Switch] interface gigabitethernet 1/0/3
[Switch-GigabitEthernet1/0/3] port link-type access   //配置GE1/0/3的接口類型為access。
[Switch-GigabitEthernet1/0/3] port default vlan 10   //配置GE1/0/3加入VLAN 10。
[Switch-GigabitEthernet1/0/3] quit

四、實現結果
PC1和PC2數據不能互通。 
PC1和PC3數據可以互通。 
PC2和PC3數據可以互通。

端口隔離與v劃分vlan的區別
1、端口隔離的端口之間無法相互通信，但可以與上聯口通信；VLAN是同VLAN ID的端口可以任意通信，不同VLAN之間不能直接通信。

2、端口隔離的各個端口仍然處于同一IP段；VLAN則必須每個VLAN對應一個獨立的IP段。

3、端口隔離僅限于單臺交換機，即無法控制通過上聯口互聯的兩臺交換機之間的隔離端口的通信；VLAN可以跨越多臺交換機，只要VLAN ID不同，就無法直接通信。