S5130S-28P-PWR-EI单播、组播隔离

您希望的正是：5-20 口之间的单播和组播互通正常，且与上联的 24 口正常通信，但禁止 5-20 口的内部流量（特别是 228 开头的组播）转发到 24 口。

根据您提供的交换机型和软件版本，实现这个需求需要将 端口隔离、ACL 过滤 和 IGMP Snooping 三种技术组合使用。

 配置思路

1. 端口隔离（关键基础）：将 5-20 口加入同一隔离组。这能确保它们之间的二层单播和组播流量在本地直接转发，而不会向组外的上联 24 口泛洪。

2. ACL 过滤（精准拦截）：在 24 口的出方向（outbound） 应用 ACL，禁止源 IP 为 5-20 口网段的单播，以及目的地址为 228.0.0.0/8 的组播报文从 24 口发出。

3. IGMP Snooping（组播优化）：全局开启 IGMP Snooping，优化组播转发，防止未知组播流量在 VLAN 内广播。

 详细配置步骤

以下是完整的配置命令，您可以直接登录交换机命令行，按顺序粘贴执行。

1. 全局开启 IGMP Snooping（优化组播转发）

   <H3C> system-view

   [H3C] igmp-snooping enable [H3C] igmp-snooping version 2

2. 将 5-20 口加入二层端口隔离组（限制泛洪）
   先将接口加入隔离组，再通过 permit 命令确保组内端口间可以互通。

   [H3C] interface range GigabitEthernet 1/0/5 to GigabitEthernet 1/0/20 [H3C-if-range] port-isolate enable group 1 [H3C-if-range] quit # 确保隔离组内的 5-20 口之间可以正常二层互通 [H3C] port-isolate group 1 permit interface GigabitEthernet 1/0/5 to GigabitEthernet 1/0/20

3. 配置 ACL 精准过滤 24 口出方向流量
   此 ACL 的作用是只拦截出方向的内部流量，完全不影响外部访问进入交换机。

   # 创建高级 ACL 3000

   [H3C] acl advanced 3000 # 规则1：禁止 5-20 口所在网段的单播（请将 192.168.x.0 替换为您的实际业务网段） [H3C-acl-ipv4-adv-3000] rule deny ip source 192.168.x.0 0.0.0.255 # 规则2：禁止目的地址为 228.x.x.x 的组播报文（精确匹配以 228 开头的组播地址） [H3C-acl-ipv4-adv-3000] rule deny ip destination 228.0.0.0 0.255.255.255 # 规则3：允许其他所有 IP 报文通过 [H3C-acl-ipv4-adv-3000] rule permit ip [H3C-acl-ipv4-adv-3000] quit # 进入上联口 24，在出方向应用 ACL 3000 [H3C] interface GigabitEthernet 1/0/24 [H3C-GigabitEthernet1/0/24] packet-filter 3000 outbound

4. 在上联口配置风暴抑制（为组播加最后一道保险）

   [H3C-GigabitEthernet1/0/24] multicast-suppression 3 [H3C-GigabitEthernet1/0/24] broadcast-suppression 3 [H3C-GigabitEthernet1/0/24] unknown-unicast-suppression 3 [H3C-GigabitEthernet1/0/24] quit

5. 保存配置

   [H3C] save force

 效果验证

配置完成后，您可以这样验证：

1. 内部互通性测试：在 5-20 口中的两台终端上互 ping，应能正常通信。

2. 组播隔离测试：在 5-20 口中的终端上发送目的地址为 228.x.x.x 的组播流，在上联交换机 24 口抓包，应捕获不到该组播流。

3. 外部访问测试：从 24 口外部的设备 ping 5-20 口内的终端，应能正常访问，不受影响。