ac是3508，ap是2610，做的本地转发，管理vlan 10,业务vlan 30！请问一下，如何做无线用户内部隔离？具体命令是什么？

本地转发的二层隔离是做在AP上的，可以通过map文件下发配置，同时AC上也要配置

您好，二层隔离是无线网优化的重要手段，可以参加如下配置案例或完整网优链接：

https://www.h3c.com/cn/Service/Document_Software/Document_Center/Home/Wlan/00-Public/Trending/Wlan_OneNote/H3C_V7_OneNote/15/ 

1.5 （必选）无线用户VLAN内二层隔离
1.5.1 应用说明
同一 VLAN 内，来自无线客户端的广播、组播报文会向所有放通该VLAN 的AP 上广播，而在空间
介质中广播报文通常使用最低速率进行发送，因此当广播报文比较多时，会占用较多的空口资源，
在一定程度上影响到整个网络性能。
无线用户 VLAN 内二层隔离可以在AC 上控制无线用户只能访问网关设备，而不能互相之间访问。
同时， 通过配置undo user-isolation permit broadcast 命令禁止有线用户
（user-isolation vlan permit-mac 允许的MAC 地址除外）发送广播、组播报文给无线用
户，无线用户到有线用户的广播、组播报文不受限制。这样可以大量减少整个WLAN 网络的广播流
量，提高WLAN 网络的整体性能。
1.5.2 配置说明
【命令一】
user-isolation vlan vlan-list enable [ permit-unicast ]
【参数】
vlan-list：VLAN 列表，表示开启用户隔离功能的VLAN 的范围。表示方式为vlan-list =
{ vlan-id1 [ to vlan-id2 ] }&<1-10>，vlan-id 的取值范围为1～4094，vlan-id2 的值
要大于或等于vlan-id1 的值，&<1-10>表示前面的参数最多可以输入10 次。
permit-unicast：表示不隔离单播，仅隔离广播和组播。如果未指定该参数，表示同时隔离单播、
广播和组播。
【使用指导】
为了避免在指定 VLAN 上开启用户隔离功能后，出现断网情况，用户必须根据user-isolation
vlan permit-mac 命令先将用户网关的MAC 地址加入到用户隔离允许列表中，再开启该VLAN
的用户隔离功能。
如果多次执行 user-isolation vlan enable 命令，则开启用户隔离功能的VLAN 是多次配置
中指定的VLAN 的合集；若同一VLAN 多次配置，则最后一条配置生效。
【举例】
# 在VLAN 1 上开启用户隔离功能。
<Sysname> system-view
[Sysname] user-isolation vlan 1 enable
【命令二】
user-isolation vlan vlan-list permit-mac mac-list
【参数】
vlan-list：VLAN列表。表示方式为vlan-list ＝ { vlan-id1 [ to vlan-id2 ] }&<1-10>，
vlan-id 的取值范围为1～4094，vlan-id2 的值要大于或等于vlan-id1 的值，&<1-10>表示
前面的参数最多可以输入10 次。
7
mac-list：MAC 地址允许转发列表，MAC 地址格式为H-H-H。在一个VLAN 内最多可以配置64
个允许的MAC 地址，该MAC 地址不允许为广播或组播地址。
【使用指导】
配置指定 VLAN 的MAC 地址允许转发列表，当在该VLAN 内开启用户隔离功能后，所配置的MAC
地址不会被隔离。
如果多次执行 user-isolation vlan permit-mac 命令，则指定VLAN 允许的MAC 地址为多
次配置的MAC 地址的集合。每一个VLAN 内最多允许配置64 个允许的MAC 地址，一次最多允许
配置16 个允许的MAC 地址。
【举例】
# 配置VLAN 1 所允许MAC 地址为00bb-ccdd-eeff 和0022-3344-5566。
<Sysname> system-view
[Sysname] user-isolation vlan 1 permit-mac 00bb-ccdd-eeff 0022-3344-5566
【命令三】
user-isolation permit-broadcast
undo user-isolation permit-broadcast
【使用指导】
当有线用户和无线用户属于同一 VLAN 或用户接入的AC 设备工作于IRF 环境时必须隔离有线用户
发往无线用户的广播和组播报文，其他情况下允许接收有线用户发送给无线用户的广播和组播报文。
在本地转发组网下实施二层隔离需要通过 MAP 文件把相关配置下发到AP 上。
【举例】
# 在VLAN 10 上开启用户隔离功能，允许访问MAC 地址为00bb-ccdd-eeff 和0022-3344-5566 的
设备（允许的MAC 地址通常为网关MAC 地址），同时禁止有线用户（permit-mac 允许的mac 地
址除外）发送广播、组播报文给无线用户。
<AC> system-view
[AC] user-isolation vlan 10 enable
[AC] user-isolation vlan 10 permit-mac 00bb-ccdd-eeff 0022-3344-5566

[AC] undo user-isolation permit-broadcast