D. acl number 2000 rule 5 deny source 100.0.12.0 0.0.0.255 # interface GigabitEthernet0/0/2 traffic-filter inbound acl 2000
时间: 2025-07-14 15:02:17 浏览: 5
<think>嗯,用户的问题是关于在华为设备上配置ACL规则,拒绝特定源IP地址段,并在指定接口上应用这个规则。首先,我需要回忆一下ACL的基本概念和配置步骤。ACL分为基本ACL和高级ACL,这里用户提到的是ACL 2000,属于基本ACL,范围是2000到2999。基本ACL通常基于源IP地址进行过滤。
用户的需求是在GigabitEthernet0/0/2接口上应用ACL 2000,拒绝来自100.0.12.0/24的入站流量。首先需要创建ACL 2000,然后配置规则拒绝该网段,接着在接口的入方向应用这个ACL。
接下来,要确保步骤正确。创建ACL的命令是`acl 2000`,然后使用`rule deny source 100.0.12.0 0.0.0.255`,这里子网掩码的反码需要注意,24位掩码的反码是0.0.0.255。然后进入接口视图,应用ACL到入方向,命令是`traffic-filter inbound acl 2000`。
同时,需要检查是否有其他可能影响该ACL的配置,比如其他ACL规则或者接口已有的流量策略。基本ACL的规则默认是允许的,所以需要确认没有更宽松的规则允许该流量通过。此外,应用在入方向是正确的,因为要过滤进入接口的流量。
用户提供的引用中有关于接口配置和VLAN的信息,可能涉及到网络拓扑。例如,引用[3]中提到了VLAN 30的配置,但当前问题与VLAN无关,主要是接口上的ACL应用。需要确保接口GigabitEthernet0/0/2的配置正确,没有冲突的ACL或策略。
最后,验证配置是否正确,可以通过`display acl 2000`查看规则,以及`display traffic-filter applied-record`检查ACL的应用情况。如果有问题,可能需要调整规则顺序或检查应用方向是否正确。</think>### 配置ACL规则拒绝特定IP段的入站流量
#### 1. **创建基本ACL 2000**
```bash
system-view
acl 2000
rule 5 deny source 100.0.12.0 0.0.0.255 # 拒绝100.0.12.0/24网段
rule 10 permit # 允许其他流量(华为ACL默认隐含拒绝所有,此处需显式允许其他流量)
quit
```
**说明**:
- `acl 2000`:创建基本ACL 2000(基本ACL范围为2000-2999,基于源IP过滤)[^1]
- `0.0.0.255`:反掩码,对应24位子网掩码(255.255.255.0)
- `rule 10 permit`:显式允许其他流量通过(避免ACL默认拒绝所有导致接口完全阻断)
#### 2. **在接口应用ACL规则**
```bash
interface GigabitEthernet0/0/2
traffic-filter inbound acl 2000 # 在入方向应用ACL
quit
```
**说明**:
- `inbound`:表示对进入接口的流量进行过滤
- 应用后立即生效,无需保存配置(但建议执行`save`保存配置)
#### 3. **验证配置**
```bash
display acl 2000 # 查看ACL规则详情
display traffic-filter applied-record # 检查ACL应用记录
```
#### 4. **注意事项**
- **规则优先级**:规则ID越小优先级越高,确保拒绝规则(rule 5)在允许规则(rule 10)之前
- **流量方向**:若需控制出站流量,需使用`outbound`方向
- **高级ACL**:若需基于协议/端口过滤,需使用ACL 3000+(高级ACL)[^2]
---
阅读全文
相关推荐



















