问
S5130S-28P-PWR-EI阻止上联口接收到交换机内的组播和单播
1天前提问
- 0关注
- 0收藏，47浏览
最佳答案
要将 S5130S-28P-PWR-EI 交换机内的组播和单播流量限制在本地，不让它们传到上联口，没有单一命令，需要一套组合配置。主要是利用“二层隔离”加“流量抑制”的思路。
组播限制：IGMP Snooping + 丢弃未知组播
IGMP Snooping是二层交换机最有效、最根本的组播控制方法。
1. 启用IGMP Snooping（核心）
如果交换机还没开启，需要全局和按VLAN启用，并丢弃未知组播报文。
<H3C> system-view
igmp-snooping drop-unknown 是防止组播涌向上联口的关键。启用后，交换机会丢弃没有对应侦听条目的组播报文，不再泛洪。
2. 禁止端口成为动态路由器端口
在连接终端设备的接口上，禁止它们成为动态路由器端口。这可以防止某个终端发送IGMP查询报文后，所有组播流量都向它转发，造成拥塞。
[H3C] interface gigabitethernet 1/0/1
单播限制：风暴抑制与端口隔离
1. 风暴抑制（未知单播）
对于目的MAC不在交换机的MAC地址表中的“未知单播”帧，交换机默认会泛洪。通过设置抑制阈值，可以把泛洪限制在较低水平。
在上联口和关键接口配置未知单播风暴抑制：
[H3C] interface gigabitethernet 1/0/24
2. 端口隔离组
如果你希望隔离交换机内某些端口之间的二层互通（包括单播、广播等），同时允许它们通过上联口与外部通信，端口隔离组是很好的选择。但要注意，隔离效果只在本交换机内有效。
# 创建隔离组1，这是默认存在的，直接使用即可
这不是直接限制流量，而是控制接入。你也可以通过port-security限制接口的MAC学习数量，防止恶意泛洪攻击。
zhiliao_Gixe
五段
最优硬隔离配置（无漏流，适配S5130S-28P-PWR-EI）
该方案通过端口隔离实现下联端口内部二层全互通，所有内部单播/组播流量完全不会转发到上联口：
shell
进入系统视图
system-view
配置端口隔离模式为二层隔离模式
port-isolate mode l2
创建隔离组1
port-isolate group 1
将所有下联POE口加入隔离组1（示例前24口为下联口，按需调整端口范围）
interface range GigabitEthernet 1/0/1 to GigabitEthernet 1/0/24
port-isolate enable group 1
将上联口加入隔离组1
interface GigabitEthernet 1/0/25
port-isolate enable group 1
配置隔离组内下联口互访白名单，下联口之间可正常互通，下联与上联自动二层隔离
port-isolate group 1 permit interface GigabitEthernet 1/0/1 to GigabitEthernet 1/0/24
补充叠加ACL兜底配置（可选）
如果需要额外拦截特定内部网段流量，可在上联口出方向配置过滤规则：
shell
acl number 3000
rule 1 deny ip source 【你的内部业务网段】 反掩码
rule 2 deny igmp
rule 3 deny multicast
interface 上联口
packet-filter 3000 outbound
unicast-suppression unknown # 禁止上联口洪泛未知单播
multicast-suppression # 禁止上联口洪泛未知组播
该方案通过端口隔离实现下联端口内部二层全互通，所有内部单播/组播流量完全不会转发到上联口：
shell
进入系统视图
system-view
配置端口隔离模式为二层隔离模式
port-isolate mode l2
创建隔离组1
port-isolate group 1
将所有下联POE口加入隔离组1（示例前24口为下联口，按需调整端口范围）
interface range GigabitEthernet 1/0/1 to GigabitEthernet 1/0/24
port-isolate enable group 1
将上联口加入隔离组1
interface GigabitEthernet 1/0/25
port-isolate enable group 1
配置隔离组内下联口互访白名单，下联口之间可正常互通，下联与上联自动二层隔离
port-isolate group 1 permit interface GigabitEthernet 1/0/1 to GigabitEthernet 1/0/24
补充叠加ACL兜底配置（可选）
如果需要额外拦截特定内部网段流量，可在上联口出方向配置过滤规则：
shell
acl number 3000
rule 1 deny ip source 【你的内部业务网段】 反掩码
rule 2 deny igmp
rule 3 deny multicast
interface 上联口
packet-filter 3000 outbound
unicast-suppression unknown # 禁止上联口洪泛未知单播
multicast-suppression # 禁止上联口洪泛未知组播
暂无评论
S5130S-28P-PWR-EI 配置：把本交换机内部单播 / 组播隔离，不上行转发
需求核心：下联终端流量（单播、组播）只在本交换机本地转发，不从上联口往外发，保护上层网络不被本端泛洪、组播冲击。
一、核心方案选型
- 普通单播：上联口配置 隔离组 / 私有 VLAN / 端口隔离 + 抑制不上行
- 组播：用 组播 VLAN + 端口隔离 + 上联口 丢弃内部组播
- 最简工程做法：
- 所有下联接入口：二层端口隔离
- 上联口：配置 广播 / 组播 / 未知单播抑制 + 隔离端口不上行转发
二、完整配置（直接复制可用）
1. 所有下联接入口加入【端口隔离组】
端口隔离作用：隔离组内端口互相不能互通，且流量不会向隔离组外上联口泛洪
bash
运行
system-view
# 进入1-24口下联接入口
interface range GigabitEthernet1/0/1 to GigabitEthernet1/0/24
port-isolate enable
2. 上联口配置：限流 + 阻断内部组播 / 广播 / 未知单播
bash
运行
interface GigabitEthernet1/0/28 # 你的上联口
# 1. 组播风暴抑制（直接限制转发出去的组播流量）
multicast-suppression 5
# 2. 广播风暴抑制
broadcast-suppression 5
# 3. 未知单播抑制
unknown-unicast-suppression 5
# 4. 禁止VLAN内流量从上联口往外扩散（关键）
port trunk isolate
数值 5 代表占用接口带宽 5%，可按需调小为 1~3
3. 组播额外加固（彻底不让内部组播走上联）
bash
运行
# 全局禁止未知组播上行泛洪
multicast drop-unknown
三、原理说明（为什么这样配就生效）
- port-isolate 端口隔离下联口都在隔离组：
- 终端之间本地隔离不能互访
- 终端的单播、组播流量被限制在交换机本地，不会主动向上联口转发
- 各种 suppression 风暴抑制即使有异常突发组播 / 广播 / 未知单播，上联口直接限速丢弃，不传到上层汇聚。
- multicast drop-unknown丢弃所有未注册的未知组播，彻底杜绝内网组播往外扩散。
四、如果你需要：下联终端本地可以互通，但只是不上行发流量
不要用 port-isolate（隔离后本地也不通），改用下面方案：
bash
运行
# 上联口配置：过滤本交换机业务VLAN，禁止放行
interface GigabitEthernet1/0/28
port trunk allow-pass vlan 除业务VLAN外其他
# 或在上联口做ACL，拒绝源为本网段的单播、组播报文
我可以给你定制 ACL 精准过滤本交换机网段单播 + 组播、只放行上网路由流量 的配置。
五、验证命令
bash
运行
display port-isolate group
display interface GigabitEthernet1/0/28
display multicast suppression interface GigabitEthernet1/0/28暂无评论
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明
暂无评论