同 VLAN 也要隔开：交换机端口隔离省 VLAN

酒店客房、出租办公室、展厅访客位有个共同需求：大家同网段上网，但互相不能访问。常规解法是一个分区一个 VLAN，VLAN 数量与管理成本跟着涨；华为交换机的端口隔离提供了更轻的方案——同一 VLAN 内，端口两两隔开。

原理一句话

隔离端口之间二层互访被直接禁止，只允许与"隔离口"对应的上行口（isolated-group 口或配置为非隔离的口）通信。也就是：客户端之间互相 ping 不通，但网关、服务器、上联口照常可达——访客上网、内网资源访问两不误。

配置四行

接入交换机上：port-isolate enable group 1 加入需要互隔的端口；上联口配 port-isolate uplink-port group 1 指定为隔离组上行口（部分形态用 isolate 口模式实现，按机型手册对应）。所有隔离口归同一 VLAN，DHCP 与上网行为不变。跨交换机的隔离要注意：端口隔离默认是本机行为，两台交换机各接一台需要互隔的终端时，要么靠 VLAN 切分，要么启用二层隔离三层互通的整网方案。

与 ACL 怎么选

端口隔离零地址维护、开关一个命令，适合"彼此都不认识"的场景（访客、客房、临展）；ACL 适合"部分可互访"的精细关系。两者可叠加：隔离先挡二层，ACL 再管三层例外。

业务沟通在前

启用隔离前跟场地方确认一件事：访客之间是否确实零互访需求——个别展会场景要访客间互传文件，那就得留一个互通的专用区，而不是事后临时拆隔离。规则变化要有记录，哪天开的隔离、覆盖哪些端口，值守的人手里要有这份单子。

业务沟通在前

启用隔离前跟场地方确认一件事：访客之间是否确实零互访需求——个别展会场景要访客间互传文件，那就得留一个互通的专用区，而不是事后临时拆隔离。规则变化要有记录，哪天开的隔离、覆盖哪些端口，值守的人手里要有这份单子。

验收两招

display port-isolate group 看组内成员与上行口；实测同组两端口下的终端互 ping 应不通、ping 网关应通。贵州诚鑫致达科技给连锁门店做组网时，端口隔离是标准项——一张网服务陌生人，隔离命令就是那句"欢迎上网，但别串门"的技术表达。

企业存储选型参考｜贵州诚鑫致达

做核心业务 SAN 存储与高可靠应用，群晖机型参考：UC3400 · UC3200 · SA3600。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。