华三交换机ACL配置实战：基于IP网段实现内网访问控制与安全隔离

1. 项目概述与核心需求解析

最近在整理几个中小型办公网络的运维记录，发现一个挺有代表性的需求场景：财务部有几台存放敏感数据的服务器，位于一个独立的VLAN里，比如是192.168.10.0/24网段。领导要求，除了IT运维部门的终端（假设在192.168.20.0/24网段）可以正常访问这些服务器进行维护外，其他所有网段，比如市场部的192.168.30.0/24、行政部的192.168.40.0/24等，都必须禁止访问。这个需求本质上就是基于源IP网段进行访问控制，在网络层进行隔离，是保障内网安全非常基础且重要的一环。实现这个目标，最直接、最有效的设备就是接入层或核心层的交换机，通过在交换机上配置访问控制列表（ACL）来达成。这次我们就以市面上常见的华三（H3C）交换机为例，从头到尾拆解一下如何实现“限制其他网段的IP访问”这个具体任务。

为什么是交换机而不是防火墙或者服务器自身来做？对于这种纯内网、基于三层IP的访问控制，在交换机的三层接口或者VLAN接口上实施ACL，效率最高，对网络拓扑改动最小，能够从网络入口处就拦截掉非法的访问流量，减轻服务器自身的负担。华三交换机的Comware系统，其ACL配置逻辑清晰，功能强大，非常适合完成这类工作。接下来，我会结合一个具体的模拟场景，把配置思路、每一步的命令、背后的原理，以及实际部署中容易踩的坑，都详细地捋一遍。

2. 访问控制的核心：ACL技术原理与选型

在动手敲命令之前，我们必须先搞清楚手里的“工具”——ACL到底是什么，以及华三交换机上有哪些ACL类型适合我们这个场景。ACL，全称访问控制列表，它本质上是一组有序的规则（rule）。交换机或路由器在转发数据包时，会拿数据包的特定字段（比如源IP地址、目的IP地址、协议端口号等）去逐条匹配这些规则。一旦匹配成功，就执行这条规则定义的动作（permit允许或deny拒绝），并且停止继续匹配后续规则；如果所有规则都不匹配，则执行一个默认动作（在华为/华三设备上，默认是deny any，即拒绝所有）。

华三交换机支持的ACL主要分为两大类：基本ACL和高级ACL。

• 基本ACL（2000-2999）：规则只能依据数据包的源IP地址进行匹配。比如，“拒绝源地址是192.168.30.0这个网段的包”。它的优点是配置简单，处理速度快。
• 高级ACL（3000-3999）：规则可以依据源IP、目的IP、协议类型（IP/TCP/UDP/ICMP等）、源端口、目的端口等多个维度进行精细匹配。比如，“允许源是192.168.20.0网段，目的是192.168.10.5的TCP 3389端口（远程桌面）的包”。

那么，针对“限制其他网段访问某一网段”这个需求，我们该用哪种？这需要分析我们的需求粒度。如果只是简单地禁止某个源网段访问整个目的网段的所有服务（如Ping、文件共享、远程桌面等），那么使用基本ACL就足够了，直接在流量来源的方向上，根据源IP进行过滤。但如果需求更精细，例如“只允许IT网段访问财务服务器的特定端口（如RDP的3389），但禁止访问其他端口（如文件共享的445）”，那就必须使用高级ACL来同时限定源、目的IP和目的端口。

在我们的案例中，假设需求是“完全禁止非IT网段访问整个财务服务器网段”，那么使用基本ACL在财务服务器网段的入方向进行过滤，是最简洁高效的方案。它的逻辑是：在财务服务器所在VLAN的接口上，检查所有要进入这个VLAN的流量，如果流量来自非法的源网段（如市场部、行政部），就直接丢弃。

注意：关于ACL的应用方向。这是新手最容易混淆的地方。ACL规则需要被应用（apply）在接口的某个方向（inbound或outbound）才能生效。方向是以设备接口为视角的：

• inbound (入方向)：指从该接口进入设备的流量。应用在这里的ACL，用于过滤“别人发给我”的流量。
• outbound (出方向)：指从该接口离开设备的流量。应用在这里的ACL，用于过滤“我发出去”的流量。 对于我们的场景，目的是保护财务服务器网段，所以我们应该在连接财务服务器网段的那个VLAN接口的入方向（inbound）应用ACL，过滤所有想进入这个安全区域的“外来”流量。

3. 实战配置：从规划到命令行实现

光说不练假把式，我们构建一个具体的实验拓扑来模拟真实环境。

3.1 网络拓扑与地址规划

假设我们有一台华三层交换机（如H3C S6850系列），它作为整个网络的核心，连接各个部门的VLAN。

• VLAN 10：财务服务器网段
  • VLAN接口IP: 192.168.10.1/24
  • 服务器IP范围: 192.168.10.10 - 192.168.10.50
• VLAN 20：IT运维网段(允许访问VLAN 10)
  • VLAN接口IP: 192.168.20.1/24
  • 终端IP范围: 192.168.20.0/24
• VLAN 30：市场部网段(禁止访问VLAN 10)
  • VLAN接口IP: 192.168.30.1/24
• VLAN 40：行政部网段(禁止访问VLAN 10)
  • VLAN接口IP: 192.168.40.1/24

交换机上已经完成了基础的VLAN划分和三层接口配置，各网段之间可以通过交换机路由互通。

3.2 ACL策略规划与配置步骤

我们的目标是：允许VLAN 20访问VLAN 10，拒绝VLAN 30和VLAN 40访问VLAN 10。

步骤一：创建基本ACL我们选择基本ACL，编号范围为2000-2999，这里使用2000。

# 进入系统视图 system-view # 创建基本ACL 2000，并进入其视图 acl basic 2000 # 规则1：允许源IP为IT网段（192.168.20.0/24）的流量。规则编号设为5，留出前面空间。 rule 5 permit source 192.168.20.0 0.0.0.255 # 规则2：拒绝源IP为市场部网段（192.168.30.0/24）的流量。规则编号设为10。 rule 10 deny source 192.168.30.0 0.0.0.255 # 规则3：拒绝源IP为行政部网段（192.168.40.0/24）的流量。规则编号设为15。 rule 15 deny source 192.168.40.0 0.0.0.255 # 退出ACL视图 quit

关键点解释：

1. 规则编号（rule id）：如5，10，15。规则按编号从小到大顺序匹配。我们可以手动指定，方便后期在中间插入新规则。这里从5开始，预留了1-4的空间。
2. 通配符掩码（wildcard mask）：0.0.0.255。这是ACL中用于匹配IP范围的关键，它与子网掩码恰好相反。子网掩码中“1”表示网络位，“0”表示主机位；而通配符掩码中“0”表示需要精确匹配的位，“1”表示忽略（不关心）的位。192.168.20.0 0.0.0.255意味着匹配前24位（192.168.20）必须精确，后8位（主机位）任意，即匹配整个192.168.20.0/24网段。
3. 隐含的拒绝所有：在所有用户自定义的规则之后，系统会自动添加一条rule deny any的规则。这意味着，除了我们明确允许的192.168.20.0/24网段，以及我们明确拒绝的30和40网段，其他任何来源的流量（包括未来新增的VLAN 50、60等）在匹配完前面规则后，落到这条隐含规则上，都会被拒绝。这符合安全原则“默认拒绝”，是我们策略生效的重要保障。

步骤二：将ACL应用到正确的接口和方向ACL创建后只是一组规则，必须“挂载”到接口上才能起作用。根据之前的分析，我们应该在财务服务器所属VLAN（VLAN 10）的接口的入方向应用这个ACL。

# 进入VLAN接口10的视图 interface Vlan-interface 10 # 在入方向（inbound）应用ACL 2000 packet-filter 2000 inbound # 退出接口视图 quit

命令解析：packet-filter是华三交换机上应用IPv4 ACL的命令。2000 inbound表示将ACL 2000应用在当前接口的入方向。这意味着，所有从外部网络发往Vlan-interface 10（即目的地是192.168.10.0/24网段）的IP报文，在进入这个三层接口时，都需要经过ACL 2000的检查。

步骤三：保存配置这是至关重要的一步，否则设备重启后配置会丢失。

save force

系统会提示输入配置文件的名称，直接回车使用默认名称即可。

4. 配置验证与效果测试

配置完成后，绝不能假设它已经正常工作，必须进行测试。

4.1 使用display命令查看配置

# 查看ACL 2000的配置详情，确认规则是否正确 display acl 2000

输出应类似：

Basic ACL 2000, 3 rules Acl's step is 5 rule 5 permit source 192.168.20.0 0.0.0.255 rule 10 deny source 192.168.30.0 0.0.0.255 rule 15 deny source 192.168.40.0 0.0.0.255

# 查看Vlan-interface 10的接口配置，确认ACL已应用 display current-configuration interface Vlan-interface 10

输出中应包含packet-filter 2000 inbound这一行。

4.2 模拟网络访问测试我们可以在不同网段的测试机上使用ping和telnet（或测试特定端口）来验证。

1. 在IT网段（192.168.20.x）的电脑上：
   • ping 192.168.10.10——应该能通。因为规则5允许。
   • telnet 192.168.10.10 3389(如果服务器开了远程桌面) ——应该能通。
2. 在市场部网段（192.168.30.x）的电脑上：
   • ping 192.168.10.10——应该不通，显示“Request timed out”或“Destination host unreachable”。因为规则10拒绝。
   • telnet 192.168.10.10 任何端口——应该不通。
3. 在行政部网段（192.168.40.x）的电脑上：测试结果应同市场部网段。

4.3 查看ACL计数（高级调试）为了更直观地看到ACL规则是否被命中，可以查看计数。

# 在任意视图下，查看ACL 2000的统计信息（需要先在ACL视图下开启统计功能） acl basic 2000 rule 5 permit source 192.168.20.0 0.0.0.255 counting rule 10 deny source 192.168.30.0 0.0.0.255 counting rule 15 deny source 192.168.40.0 0.0.0.255 counting quit # 等待一些测试流量后，查看统计 display acl 2000

此时，每条规则后面会显示匹配的报文数量（如(100 packets matched)）。这是一个非常实用的调试手段，可以确认流量是否按预期匹配了规则。注意：开启计数（counting）功能会对设备性能有轻微影响，生产环境在调试完毕后可考虑关闭。

5. 高级场景与精细化控制

上面的案例满足了基本需求。但实际工作中，需求往往更复杂。下面探讨几个进阶场景。

5.1 场景一：只允许访问特定服务器或端口如果需求不是一刀切，而是“只允许IT部门访问财务服务器的远程桌面端口（3389）和Web管理端口（443），但禁止访问文件共享（445）等其他所有端口”，那么基本ACL就力不从心了。这时必须使用高级ACL（3000-3999）。

# 创建高级ACL 3000 acl advanced 3000 # 规则5：允许IT网段访问财务服务器A（192.168.10.10）的RDP端口 rule 5 permit tcp source 192.168.20.0 0.0.0.255 destination 192.168.10.10 0 destination-port eq 3389 # 规则10：允许IT网段访问财务服务器A的HTTPS端口 rule 10 permit tcp source 192.168.20.0 0.0.0.255 destination 192.168.10.10 0 destination-port eq 443 # 规则15：拒绝IT网段访问财务服务器A的任何其他流量（可选，为了明确日志记录） rule 15 deny ip source 192.168.20.0 0.0.0.255 destination 192.168.10.10 0 # 规则20：拒绝其他所有网段访问整个财务服务器网段 rule 20 deny ip source any destination 192.168.10.0 0.0.0.255 # 注意：高级ACL末尾同样有隐含的`deny ip any any` quit # 应用ACL。此时，应用在Vlan-interface 10 inbound依然有效。 interface Vlan-interface 10 packet-filter 3000 inbound quit

这个配置实现了端口级的精细控制。规则20是一个兜底，明确拒绝了非IT网段访问整个财务网段。

5.2 场景二：限制访问的例外处理领导说：“市场部总监的电脑（IP是192.168.30.88）需要临时访问财务服务器查看报表，怎么办？” 我们不能修改整个规则禁止市场部网段，但可以在ACL中为特例添加一条允许规则。关键是规则的位置！

ACL是按顺序匹配的。我们之前的规则是：

1. rule 5 permit 192.168.20.0/24
2. rule 10 deny 192.168.30.0/24
3. rule 15 deny 192.168.40.0/24

如果我们直接在后面加一条rule 20 permit source 192.168.30.88是没用的，因为来自192.168.30.88的流量在第二条规则（rule 10）就已经被拒绝并停止匹配了。因此，允许规则必须放在拒绝规则之前。

acl basic 2000 # 首先，为特例添加允许规则，编号设为3（放在rule 5之前） rule 3 permit source 192.168.30.88 0 # 原有的规则5、10、15保持不变 rule 5 permit source 192.168.20.0 0.0.0.255 rule 10 deny source 192.168.30.0 0.0.0.255 rule 15 deny source 192.168.40.0 0.0.0.255 quit

这样，192.168.30.88的流量会先匹配rule 3被允许，而市场部网段其他IP的流量则继续匹配到rule 10被拒绝。

5.3 场景三：基于时间的访问控制有些场景下，访问控制需要基于时间，比如“只允许在工作时间（9:00-18:00）访问”。华三ACL支持与时间段（time-range）结合。

# 首先定义一个时间段，命名为Work-Time time-range Work-Time 09:00 to 18:00 working-day # 工作日 9点到18点 # 在ACL规则中引用这个时间段 acl basic 2000 # 这条允许规则仅在Work-Time时间段内生效 rule 5 permit source 192.168.20.0 0.0.0.255 time-range Work-Time # 非工作时间，由于没有规则匹配，流量会落到隐含的`deny any`上，从而被拒绝。 quit

这个功能对于实现更灵活的安控策略非常有用。

6. 常见问题排查与实操心得

在实际部署中，你可能会遇到配置不生效的情况。别慌，按照以下思路排查，十有八九能找到问题。

6.1 问题排查清单

6.2 实操心得与避坑指南

1. 先允许，后拒绝，特例优先：这是配置ACL的黄金法则。在规划规则时，先把需要放通的、范围最小的特例规则写在前面（编号小），然后是范围较大的允许规则，最后是范围最大的拒绝规则。这样逻辑最清晰，也最容易避免规则冲突。
2. 通配符掩码是“反掩码”：这是新手最大的坑。一定要反复告诉自己：ACL里的0对应子网掩码的1（网络位，需匹配），255对应子网掩码的0（主机位，忽略）。一个快速验证方法：将IP地址与通配符掩码相加，如果等于另一个IP，则这两个IP会被同一条规则匹配。例如，规则source 192.168.1.0 0.0.0.255会匹配192.168.1.1到192.168.1.254的所有IP。
3. 接口方向是灵魂：花一分钟想清楚你的流量路径。你要过滤的流量，是从哪个接口进入设备的？把这个接口找到，在它的inbound方向应用ACL。绝大多数“限制他人访问我”的场景，都是在“我”所在的接口入方向做文章。
4. 测试，测试，再测试：配置完成后，不要只从一个点测试。要用被允许的IP、被拒绝的IP、甚至不相干的IP，从多个角度进行测试（ping, telnet, 实际应用）。并利用display acl [编号]的计数功能，确认流量命中了你期望的规则。
5. 文档化与注释：在配置中可以使用description命令为ACL添加描述。虽然命令行不保存，但在你的运维文档里，一定要记录每条ACL的目的、应用的接口和方向、以及变更历史。这对于后续维护和故障排查至关重要。
6. 考虑管理流量：如果你通过Telnet或SSH从被限制的网段管理交换机，ACL可能会把你的管理会话也阻断。确保ACL规则中包含了允许管理协议（如SSH的TCP 22端口）访问交换机管理IP的规则，并且这条规则位置要靠前。

通过以上从原理到实践，从基础到进阶的完整梳理，相信你已经能够独立在华三交换机上设计和部署基于网段的IP访问控制策略了。网络安全的策略部署，核心在于对流量路径和访问需求的精确理解，ACL只是一个高效的工具。每次配置前，多花点时间画一画流量图，理一理规则顺序，就能避免很多后期的麻烦。