端口隔离之后两台主机又不通了？华为VLAN内代答按需放行

本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。

端口隔离是把安全做在二层的常见手段：同一VLAN里的主机彼此看不见对方的流量，广播、ARP全都隔断，一台中招不殃及邻居。可隔离常常隔出新的麻烦——偏偏有两台主机要互传数据，比如仓库的打印服务器和工位的开单机。解开隔离等于把安全推倒重来，华为在Super-VLAN网关上提供的VLAN内Proxy ARP给出了第三条路：二层照旧隔离，网关代为应答，互通只走三层受控通行。

场景里两台主机同属Sub-VLAN2，该Sub-VLAN归属Super-VLAN3，要求两台主机二层隔离、但通过VLAN内Proxy ARP实现三层互通。Super-VLAN在这里扮演公共网关的角色：两个口不必各配网段，地址收在聚合VLAN一处，主机数再增也只是往Sub-VLAN里加口。配置的骨架先搭起来：两接口开启隔离功能并划入Sub-VLAN，

[HUAWEI] port-isolate mode l2
[HUAWEI] interface gigabitethernet 0/0/1
[HUAWEI-GigabitEthernet0/0/1] port-isolate enable
[HUAWEI-GigabitEthernet0/0/1] quit

随后把Sub-VLAN收进Super-VLAN，在聚合VLAN上建网关接口，两台主机配同网段地址10.10.10.2和10.10.10.3，网关10.10.10.1。关键的临门一脚在网关接口上：

[HUAWEI-Vlanif3] arp-proxy inner-sub-vlan-proxy enable
[HUAWEI-Vlanif3] quit

原理不玄：两台主机二层互不可见，hostA找hostB的ARP请求石沉大海；网关听到后以自己的接口代为应答，hostA把数据交给网关，网关再转给hostB。隔离的口子收在网关一处，流量路径清晰可审计，后续要加访问控制也只需在网关上做文章，不必动各接入端。这套思路的适用面比想象中宽：仓库里扫描枪要连打印服务、病房里的护理终端要联护士站的系统，都属“平时隔离、按需互访”的同类需求，照这个骨架替换地址与VLAN编号即可套用；反过来，如果业务上根本不需要互访，那就连这个口也不必开，隔离到底更省心。

验收很简单：hostA与hostB互相Ping通即代答生效；隔离本身没破——两台主机之间的直接二层发现仍然不通，广播报文也不会窜到对方口上。网关的ARP表里会多出代答产生的条目，排障时认准它，别把代答条目当成私接设备。既要分又要通的网段就适合这么理顺，欢迎搜索关注贵州诚鑫致达科技，获取更多端口隔离与二层安全规划的实操经验。

企业存储选型参考｜贵州诚鑫致达

做机房存储、虚拟化或监控归档，群晖机型参考：FS6400（全闪存阵列） · SA3610 · SA3410。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。湖南长沙企业级存储与数据备份，IT 集成服务。