隔离广播域，防止arp攻击我们通常的方法有两种，一种是vlan，另外一种是端口隔离技术，这两种方法各有自己的特点与优势。
端口隔离技术在实际组网中应用十分广泛，再接入层使用端口隔离技术能有效的阻断各个端口之间的二，三层流量。能够有效的防治arp攻击。但是端口隔离具有本地性不同交换机相同vlan端口隔离就起不到限制的作用，广播报文还是能够发送给其他交换机的所有端口。
Vlan技术本身就能限制广播域，在接入层使用hybrid技术可以使一个端口属于一个vlan从而使这种方式能具有全局性，能更加有效的防治广播以及arp攻击，但是hybrid口复杂的标签转换过程会消耗交换机的资源从而使转发效率降低。
如何找到折中的方法？
经过对端口隔离以及arp报文转发的研究提出使用分层端口隔离技术，这种方法是一种折中的方案。在试验环境下已经得到验证。
首先我们应该了解端口隔离的具体作用---隔离组内的端口不能通信，隔离组外的同Vlan（包括thunk）的端口能和组内任意端口通信。
所谓分层端口隔离技术就是在接入交换机对用户隔离，在汇聚层对接入交换机隔离，同一个vlan之间通过本地代理arp互访，也可以不使用本地代理arp使同一个vlan达到完全隔离，不同网段之间通过vlan隔离，他们之间的arp请求通过网关三层接口完成。
实验拓扑图
1 同vlan之间的arp请求过程以及广播限制区域
本vlan内的arp请求过程
此种方法说白了就是所有用户到网关的链路单独属于一个广播域，同一Vlan内的主机只能直接与网关通信，除非使用本地代理arp
2 不同vlan之间的arp请求过程
不同vlan之间的代理属于普通代理，通讯方式与一般情况并没有什么区别。
普通代理arp与本地代理arp
这种方法与端口隔离技术相比隔离的更加彻底，同时也不会像hybrid端口那样频繁的对标签进行操作。如果同网段内有通讯需求可以开启本地代理arp，如果没有需求可以关闭。这样也会减少网关设备对arp的相应所造成的资源消耗。
本文出自 “网络蟑螂” 博客，请务必保留此出处http://fenggao.blog.51cto.com/8119616/1411923
端口隔离技术的灵活运用--分层端口隔离,布布扣,bubuko.com
原文地址：http://fenggao.blog.51cto.com/8119616/1411923
