交换机端口隔离的基本概念
在公司或学校的局域网中，经常会遇到需要控制设备之间互相访问的情况。比如财务部门的电脑不希望被其他部门随意访问，这时候就可以用到交换机的端口隔离功能。端口隔离的作用是让同一个交换机上的不同端口之间无法直接通信，相当于在物理上把它们隔开，但又不需要划分多个VLAN，管理起来更灵活。
什么时候需要设置端口隔离
举个例子，你家楼下开了个网吧，所有电脑都接在同一个交换机上。如果不做任何限制，一台电脑中了病毒，可能很快就会传遍整个网络。通过启用端口隔离，可以让每台主机只能和网关通信，彼此之间互不可见，大大提升了安全性。类似场景还包括学生宿舍网络、酒店客房Wi-Fi、企业办公区接入等。
常见品牌交换机的配置方法
大多数支持三层功能的交换机都具备端口隔离能力，下面以华为和H3C两款常见的国产设备为例说明具体操作步骤。
华为交换机配置示例
登录交换机命令行界面后，进入系统视图，先创建一个隔离组，然后将指定端口加入该组：
system-view
interface port-isolate group 1
port-isolate enable group 1
interface GigabitEthernet 0/0/1
port-isolate group 1
interface GigabitEthernet 0/0/2
port-isolate group 1这样，GE0/0/1 和 GE0/0/2 这两个端口就实现了相互隔离，即使它们在同一VLAN下也无法互通。
H3C交换机设置方式
H3C设备的命令稍有不同，但逻辑一致。先进入系统模式，开启端口隔离功能，并将需要隔离的端口加入同一隔离组：
system-view
port-isolate enable
interface GigabitEthernet 1/0/1
port-isolate uplink-port
interface GigabitEthernet 1/0/2
port-isolate enable
interface GigabitEthernet 1/0/3
port-isolate enable这里注意，H3C默认允许所有隔离端口与上行口通信，所以通常要把连接路由器或核心层的端口设为uplink-port，其他用户端口开启隔离即可。
注意事项和常见问题
并不是所有交换机都支持端口隔离功能，百元级别的傻瓜式二层交换机基本不具备这项能力。购买前要确认型号是否支持基于端口的隔离策略。另外，配置完成后建议用两台PC分别插在对应端口上做ping测试，验证是否真的无法互通。如果还能通，可能是忘记保存配置，或者隔离组未正确应用。
还有一点容易忽略：DHCP服务如果部署在本地广播域内，开启端口隔离后可能导致客户端获取不到IP地址。因为隔离会阻断广播包，解决办法是把DHCP服务器放在上行链路侧，或者使用中继功能。