华三交换机acl配置

### H3C 交换机 ACL 配置方法与示例 #### 基本概念 H3C 交换机的访问控制列表（Access Control List, ACL）用于基于特定条件过滤数据流。基本 ACL 主要依据 **源 IP 地址** 制定规则，其编号范围为 2000 至 2999[^1]。 --- #### 配置步骤 以下是配置基本 ACL 的通用流程： 1. 创建 ACL 并设置规则： ```shell system-view acl 2000 rule permit source 192.168.1.0 0.0.0.255 ``` 上述命令创建了一个编号为 2000 的基本 ACL，并允许来自 `192.168.1.0/24` 网络的数据流量[^1]。 2. 将 ACL 应用到指定接口： ```shell interface GigabitEthernet 1/0/1 traffic-filter inbound acl 2000 ``` 此操作将在入方向应用该 ACL，仅放行符合条件的数据包[^3]。 --- #### 示例：限制某网段访问 假设需要阻止 `172.16.10.0/24` 网络访问设备，可以按照以下方式配置： ```shell acl 2000 rule deny source 172.16.10.0 0.0.0.255 interface GigabitEthernet 1/0/2 traffic-filter inbound acl 2000 ``` 此配置会拒绝所有来自 `172.16.10.0/24` 网络的入站请求[^1]。 --- #### 时间段支持 如果希望某些规则在特定时间生效，需先定义时间段并将其关联至 ACL 规则： ```shell time-range work_hours period daily 08:00 to 18:00 acl 2000 rule permit source 192.168.1.0 0.0.0.255 time-range work_hours ``` 以上配置表示仅在工作时间内 (`08:00-18:00`) 允许 `192.168.1.0/24` 访问。 --- #### 单向访问实现 对于单向通信场景，可通过 TCP 标志位或 ICMP 类型进一步细化规则。例如： ```shell acl advanced 3001 rule permit icmp destination 172.16.100.0 0.0.0.255 icmp-type echo-reply rule permit tcp destination 172.16.100.0 0.0.0.255 ack 1 rule deny ip destination 172.16.100.0 0.0.0.255 ``` 上述配置实现了目标网络 `172.16.100.0/24` 对外发送响应而无法主动发起连接的功能[^4]。 --- #### VLAN 接口下的 ACL 调用 当涉及 VLAN 接口时，可直接在其下绑定 ACL： ```shell interface Vlan-interface40 packet-filter 3000 outbound ``` 此处将编号为 3000 的 ACL 施加于 VLAN 40 的出口方向。 --- ### 注意事项 - 基本 ACL 编号固定在 2000~2999 范围内。 - 若需更复杂的匹配逻辑，请考虑高级 ACL (编号范围 3000~3999)[^5]。 - 在实际部署前务必测试规则准确性，以免影响正常业务运行。 ---