實(shí)際案例分析

某公司，由于業(yè)務(wù)要求，為了保障服務(wù)器高可用性，對服務(wù)器實(shí)現(xiàn)了NLB群集技術(shù)。萬事有利就有弊，由于NLB群集在實(shí)際環(huán)境中一般采用多播技術(shù)，交換機(jī)同一出口下的節(jié)點(diǎn)均為收到大量廣播，一些網(wǎng)絡(luò)延時要求較小(如做網(wǎng)絡(luò)電話、短信群發(fā)業(yè)務(wù))的用戶網(wǎng)絡(luò)性能將會受到很大影響。

面對這種情況我們首先想到的是子網(wǎng)劃分或者是劃為VLAN，劃分子網(wǎng)后問題依然存在，這個時候一般只能考慮劃分VLAN，但是由于IDC服務(wù)器節(jié)點(diǎn)上聯(lián)設(shè)備幾乎沒有劃分VLAN的，因?yàn)榉?wù)器的上聯(lián)交換機(jī)一般是用戶自己的，而IDC中的交換機(jī)也劃有VLAN，服務(wù)器的上聯(lián)交換機(jī)配置VLAN時需要配置Trunk，否則無法與上聯(lián)設(shè)備進(jìn)行通訊，由于機(jī)房網(wǎng)絡(luò)拓?fù)洵h(huán)境用戶自己不熟悉，所以沒辦法劃分VLAN。難道這種情況就沒辦法解決了嗎?

答案是有的，那就是端口隔離技術(shù).

端口隔離技術(shù)概述

端口隔離技術(shù)是一種實(shí)現(xiàn)在客戶端的端口間的足夠的隔離度以保證一個客戶端不會收到另外一個客戶端的流量的技術(shù)。通過端口隔離技術(shù)，用戶可以將需要進(jìn)行控制的端口加入到一個隔離組中，通過端口隔離特性，用戶可以將需要進(jìn)行控制的端口加入到一個隔離組中，實(shí)現(xiàn)隔離組中的端口之間二層數(shù)據(jù)的隔離，使用隔離技術(shù)后隔離端口之間就不會產(chǎn)生單播、廣播和組播，病毒就不會在隔離計(jì)算機(jī)之間傳播，增加了網(wǎng)絡(luò)安全性，提高了網(wǎng)絡(luò)性能

實(shí)際環(huán)境應(yīng)用

好，下面我們來看一個端口隔離實(shí)際應(yīng)用(以H3C S2126-ei交換機(jī)為例)

病因：某用戶經(jīng)常對外發(fā)送大量廣播，造成網(wǎng)絡(luò)性能嚴(yán)重下降

處方：端口隔離技術(shù)

三臺服務(wù)器分為3個實(shí)際用戶，分別連接交換機(jī)的

sys

System View: return to User View with Ctrl+Z.

[H3C]interface Ethernet 1/0/1

[H3C-Ethernet1/0/1]port isolate //設(shè)置本端口為隔離端口

[H3C-Ethernet1/0/1]quit

[H3C] interface Ethernet 1/0/2

[H3C-Ethernet1/0/2]port isolate //設(shè)置本端口為隔離端口

[H3C-Ethernet1/0/2]quit

[H3C] interface Ethernet 1/0/3

[H3C-Ethernet1/0/3]port isolate //設(shè)置本端口為隔離端口

[H3C-Ethernet1/0/3]quit

[H3C]save //保存配置

[H3C]display isolate port //查詢端口隔離組中的端口

[H3C-Ethernet1/0/X]undo port isolate //刪除某端口下的隔離端口

注：端口隔離不同于VLAN

其它廠商品牌交換機(jī)端口隔離技術(shù)應(yīng)用

華為

[Quidway]interface Ethernet1/0/1

[Quidway-Ethernet1/0/1] port-isolate enable //開啟本端口隔離功能

思科

Switch(config)# interface 端口號

Switch(config-if)# switchitchport protected //開啟端口保護(hù)功能

注：思科個別型號交換機(jī)采用PVLAN來實(shí)現(xiàn)端口保護(hù)功能

D-link

config traffic_segmentation [] forward_list [null |]

注：表示指定哪個端口作為隔離端口，參數(shù)null表示沒有上連端口，參數(shù)表示上連端口