华为端口隔离（port‑isolate）

作用：同一 VLAN 内部，同一台交换机上端口之间隔离，节省 VLAN 资源，常用于酒店、宿舍、机房接入，用户同网段但不能互相访问，都能访问网关上网。只在单台交换机生效；跨交换机不生效；上行口千万不要加入隔离组，否则用户无法上网。

两种隔离模式（系统视图配置）

复制代码

port-isolate mode { l2 | all }

l2（默认）：二层隔离，三层互通
- 阻断组内端口二层直连（ARP、广播、同 VLAN 二层单播）
- 可以经过三层网关互相访问，用户可以上网，推荐大多数接入场景。
all：二层 + 三层全部隔离
- 组内端口完全不能互访，即使走三层网关也不通，安全性更高。

查看：display port-isolate mode

隔离组规则

port-isolate enable [group X]，不写 group 默认加入group 1
同组端口：互相隔离
不同隔离组之间：可以互通
隔离组端口和没有开启隔离的端口（上行口）：正常互通

基础配置示例（S5700/S5735）

场景：G0/0/1‑G0/0/10 用户口属于 VLAN10，同 VLAN 互相隔离，G0/0/24 为上行口，不配置隔离。

复制代码

system‑view
vlan 10

# 【可选】修改隔离模式，默认l2
port-isolate mode l2

port-group group-member GigabitEthernet 0/0/1 to GigabitEthernet 0/0/10
 port link‑type access
 port default vlan 10
 port-isolate enable group 1    #加入隔离组1

#上行口G0/0/24不配置port-isolate enable
interface GigabitEthernet 0/0/24
 port link‑type trunk
 port trunk allow‑pass vlan 10

查看隔离信息：

复制代码

display port-isolate group 1

单向隔离 am isolate（高级）

普通端口隔离是双向隔离 ；am isolate是单向隔离。

接口 A 配置am isolate B：A 发的报文不能到 B；B 的报文可以正常到达 A。

示例：GE0/0/1 不能访问 GE0/0/2，但 GE0/0/2 可以访问 GE0/0/1

复制代码

interface GigabitEthernet 0/0/1
 am isolate GigabitEthernet 0/0/2

端口隔离 vs MUX‑VLAN 对比

技术	生效范围	隔离能力	适用场景
端口隔离 port‑isolate	单交换机、同 VLAN	组内隔离，都能访问上行口	简单接入，同网段用户隔离
MUX‑VLAN	可跨交换机	主 VLAN / 辅助 VLAN，分隔离、团体 VLAN	需要跨设备隔离，部分用户允许互访

❗两者不要同时混用，会出现异常转发行为。

重要注意事项

上行口不要加入隔离组！ 一旦加入隔离组，用户无法访问网关，全部断网。
端口隔离不能跨交换机，跨设备同 VLAN 端口不会隔离，跨设备隔离用 MUX‑VLAN 或 ACL。
只对物理接口生效，不能直接在 Eth‑Trunk 下配置 port‑isolate，要在 Trunk 成员口配置。
隔离的是同一 VLAN 内流量；不同 VLAN 本来就二层隔离，不需要端口隔离。
port‑isolate mode all部分低端老版本盒式交换机不支持，需要确认版本支持情况。

排错口诀

端口隔离同 VLAN，单台交换机才看；

上行切莫进隔离，否则全网都断链；

l2 模式能过网关，all 模式全不相干；

跨机隔离不要用，MUX VLAN 来分担。