實(shí)際案例分析

某公司，由于業(yè)務(wù)要求，為了保障服務(wù)器高可用性，對服務(wù)器實(shí)現(xiàn)了NLB群集技術(shù)。萬事有利就有弊，由于NLB群集在實(shí)際環(huán)境中一般采用多播技術(shù)，交換機(jī)同一出口下的節(jié)點(diǎn)均為收到大量廣播，一些網(wǎng)絡(luò)延時(shí)要求較小(如做網(wǎng)絡(luò)電話、短信群發(fā)業(yè)務(wù))的用戶網(wǎng)絡(luò)性能將會受到很大影響。

面對這種情況我們首先想到的是子網(wǎng)劃分或者是劃為VLAN，劃分子網(wǎng)后問題依然存在，這個(gè)時(shí)候一般只能考慮劃分VLAN，但是由于IDC服務(wù)器節(jié)點(diǎn)上聯(lián)設(shè)備幾乎沒有劃分VLAN的，因?yàn)榉?wù)器的上聯(lián)交換機(jī)一般是用戶自己的，而IDC中的交換機(jī)也劃有VLAN，服務(wù)器的上聯(lián)交換機(jī)配置VLAN時(shí)需要配置Trunk，否則無法與上聯(lián)設(shè)備進(jìn)行通訊，由于機(jī)房網(wǎng)絡(luò)拓?fù)洵h(huán)境用戶自己不熟悉，所以沒辦法劃分VLAN。難道這種情況就沒辦法解決了嗎?

答案是有的，那就是端口隔離技術(shù).

端口隔離技術(shù)概述

端口隔離技術(shù)是一種實(shí)現(xiàn)在客戶端的端口間的足夠的隔離度以保證一個(gè)客戶端不會收到另外一個(gè)客戶端的流量的技術(shù)。通過端口隔離技術(shù)，用戶可以將需要進(jìn)行控制的端口加入到一個(gè)隔離組中，通過端口隔離特性，用戶可以將需要進(jìn)行控制的端口加入到一個(gè)隔離組中，實(shí)現(xiàn)隔離組中的端口之間二層數(shù)據(jù)的隔離，使用隔離技術(shù)后隔離端口之間就不會產(chǎn)生單播、廣播和組播，病毒就不會在隔離計(jì)算機(jī)之間傳播，增加了網(wǎng)絡(luò)安全性，提高了網(wǎng)絡(luò)性能

實(shí)際環(huán)境應(yīng)用

好，下面我們來看一個(gè)端口隔離實(shí)際應(yīng)用(以H3C S2126-ei交換機(jī)為例)

病因：某用戶經(jīng)常對外發(fā)送大量廣播，造成網(wǎng)絡(luò)性能嚴(yán)重下降

處方：端口隔離技術(shù)

三臺服務(wù)器分為3個(gè)實(shí)際用戶，分別連接交換機(jī)的

sys

System View: return to User View with Ctrl+Z.

[H3C]interface Ethernet 1/0/1

[H3C-Ethernet1/0/1]port isolate //設(shè)置本端口為隔離端口

[H3C-Ethernet1/0/1]quit

[H3C] interface Ethernet 1/0/2

[H3C-Ethernet1/0/2]port isolate //設(shè)置本端口為隔離端口

[H3C-Ethernet1/0/2]quit

[H3C] interface Ethernet 1/0/3

[H3C-Ethernet1/0/3]port isolate //設(shè)置本端口為隔離端口

[H3C-Ethernet1/0/3]quit

[H3C]save //保存配置

[H3C]display isolate port //查詢端口隔離組中的端口

[H3C-Ethernet1/0/X]undo port isolate //刪除某端口下的隔離端口

注：端口隔離不同于VLAN

其它廠商品牌交換機(jī)端口隔離技術(shù)應(yīng)用

華為

[Quidway]interface Ethernet1/0/1

[Quidway-Ethernet1/0/1] port-isolate enable //開啟本端口隔離功能

思科

Switch(config)# interface 端口號

Switch(config-if)# switchitchport protected //開啟端口保護(hù)功能

注：思科個(gè)別型號交換機(jī)采用PVLAN來實(shí)現(xiàn)端口保護(hù)功能

D-link

config traffic_segmentation [] forward_list [null |]

注：表示指定哪個(gè)端口作為隔離端口，參數(shù)null表示沒有上連端口，參數(shù)表示上連端口