问

如何实现一个ip地址禁止访问另一个ip地址

二层端口隔离

5天前提问

0关注
0收藏，196浏览

懵懂小白

懵懂小白一段

粉丝：0人关注：1人

问题描述：

交换机为S5130S-52LI

比如：

主机ip地址192.168.1.10 目的ip地址192.168.1.20

实现目的：主机192.168.1.10禁止访问192.168.1.20

恳请大佬帮忙提供一下具体配置，在此非常谢谢！

7 个回答

按时间按赞数

已采纳

啥也不会的攻城狮

啥也不会的攻城狮三段

粉丝：2人关注：3人

如他们都在vlan10

acl adv 3000

ru 1 deny ip sou 192.168.1.10 0 dest 192.168.1.20 0

ru 2 per ip

int vlan 10

packet-filter 3000 in

回复懵懂小白:

我做实验试了一下，下接一台傻瓜交换机，确实没办法做到阻断，流量不会到网关交换机，在傻瓜这就转发了，没法匹配到网关交换机配置的acl，在傻瓜交换机侧配置acl 便可以实现阻断，但是傻瓜交换机又不能做配置。所以你这个组网结构，实现不了你想做的，除非两台设备终端是不同网段地址。这样流量就可以经过网关交换机故而实现阻断。否则你的这个组网结构实现不了你想要的目的；

啥也不会的攻城狮发表时间：2天前 更多>>

ru 2 per ip 这句又是什么意思呢？

懵懂小白发表时间：5天前

回复懵懂小白:

ru1 拒绝访问 ru 2 放通所有ip

啥也不会的攻城狮发表时间：5天前

回复啥也不会的攻城狮:

# acl number 3010 rule 0 deny ip source 212.198.16.99 0 destination 212.198.16.66 0 # return [HEXIN S5130s-LI-acl-ipv4-adv-3010]qu [HEXIN S5130s-LI]int vlan 888 [HEXIN S5130s-LI-Vlan-interface888]dis th # interface Vlan-interface888 description wai wang ip address 212.198.16.1 255.255.255.128 arp max-learning-num 0 packet-filter 3030 inbound #

懵懂小白发表时间：2天前

回复啥也不会的攻城狮:

我按照这样也不行啊，请问是怎么回事呢？谢谢

懵懂小白发表时间：2天前

回复懵懂小白:

你ACL创建的3010 你调用用的3030 首先这个就错了，其次acl里你的rule 不该写0 ，而且没有创建permit的规则，会导致你别的地址也不通；

啥也不会的攻城狮发表时间：2天前

，而且没有创建permit的规则，会导致你别的地址也不通；关键现在全部都能通信，与你说的刚好相反。被限制访问的那个地址也能访问，其他全部都能访问。

懵懂小白发表时间：2天前

[HEXIN S5130s-LI-acl-ipv4-adv-3010]dis th # acl number 3010 rule 1 deny ip source 212.198.16.99 0 destination 212.198.16.66 0 [HEXIN S5130s-LI]int vlan 888 [HEXIN S5130s-LI-Vlan-interface888]dis th # interface Vlan-interface888 description wai wang ip address 212.198.16.1 255.255.255.128 arp max-learning-num 0 packet-filter 3010 inbound

懵懂小白发表时间：2天前

回复懵懂小白:

那就在vlan 888里加上 packet-filter 3000 outbound 试试

啥也不会的攻城狮发表时间：2天前

回复懵懂小白:

前提是 vlan 888 是这两个终端的网关

啥也不会的攻城狮发表时间：2天前

我把packet-filter 3000 outbound 加在接口下面和vlan下面都无法实现，还是能通信

懵懂小白发表时间：2天前

回复懵懂小白:

啥也不会的攻城狮发表时间：2天前

IT钟点工

IT钟点工九段

粉丝：105人关注：1人

acl

请给出具体配置，谢谢了，我是小白

懵懂小白发表时间：5天前 更多>>

请给出具体配置，谢谢了，我是小白

懵懂小白发表时间：5天前

Herb54

Herb54 四段

粉丝：0人关注：18人

二层的话配置端口隔离就好了

请给出具体配置，谢谢了，我是小白

懵懂小白发表时间：5天前 更多>>

请给出具体配置，谢谢了，我是小白

懵懂小白发表时间：5天前

懵懂小白

懵懂小白一段

粉丝：0人关注：1人

在下是菜鸟级别的，麻烦请大佬详细一点的配置，感谢了

zhl188

zhl188 六段

粉丝：2人关注：3人

acl adv 3000

rule 1 permit ip source 192.168.1.10 0 dest 192.168.1.20 0

int g1/0/1

packet-fillter 3000

慢节奏

慢节奏五段

粉丝：1人关注：3人

# 进入系统视图
system-view

# 创建高级 ACL（编号范围 3000~3999）
acl advanced 3000

# 添加规则：拒绝 192.168.1.10 访问 192.168.1.20（所有协议、所有端口）
rule deny ip source 192.168.1.10 0 destination 192.168.1.20 0

# （可选）允许其他流量通过（ACL 默认末尾隐含 deny any，所以必须显式放行）
rule permit ip

# 假设 192.168.1.10 接在 GigabitEthernet1/0/10 端口
interface GigabitEthernet1/0/10

# 在该接口入方向应用 ACL 3000
packet-filter 3000 inbound

# 退出
quit

回复懵懂小白:

不行。要么配置在傻瓜交换机上

慢节奏发表时间：2天前 更多>>

比如2个主机都在g1/0/3口同一个接口下面也是这样的命令吗？因为G1/0/3下面接的有傻瓜交换机。我按照你上面的命令还是能通信，根本没法限制。

懵懂小白发表时间：2天前

回复懵懂小白:

不行。要么配置在傻瓜交换机上

慢节奏发表时间：2天前

什么都不会的网络工程师

什么都不会的网络工程师六段

粉丝：10人关注：0人

如图

没有用了，他们直接在傻瓜交换机上就完成互通了，根本不会到5130S上来

什么都不会的网络工程师发表时间：1天前 更多>>

比如2个主机都在g1/0/3口同一个接口下面也是这样的命令吗？因为G1/0/3下面接的有傻瓜交换机。我按照你上面的命令还是能通信，根本没法限制。

懵懂小白发表时间：2天前

在s5130s交换机下面接的有傻瓜交换机，所以他们走5130都是同一个接口，如果这样的情况在接口下的命令还管用吗（packet-filter 3000 inbound）？

懵懂小白发表时间：2天前

没有用了，他们直接在傻瓜交换机上就完成互通了，根本不会到5130S上来

什么都不会的网络工程师发表时间：1天前

编辑答案

分享扩散:

➤

网站相关: 关于我们; 服务条款; 隐私政策; 帮助中心; 经验与权限; 积分规则

联系我们: 联系我们; 建议反馈

常用链接: 标杆的神器下载

关注我们: H3C官网; 新华三服务公众号; 安仔远程运维服务; 新华三商城

内容许可: 除特别说明外，用户内容均可采用知识共享署名-相同方式共享3.0中国大陆许可协议进行许可

本图标版权归新华三集团所有，仅限本社区使用，切勿用做商业目的，违者必究

浙ICP备09064986号-1 浙公网安备 33010802004416号

✖

亲~登录后才可以操作哦!

确定

✖

亲~检测到您登陆的账号未在http://hclhub.h3c.com进行注册

注册后可访问此模块

跳转hclhub

✖

你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作

✖

侵犯我的权益 >

对根叔社区有害的内容 >

辱骂、歧视、挑衅等（不友善）

侵犯我的权益

泄露了我的隐私 >

侵犯了我企业的权益 >

抄袭了我的内容 >

诽谤我 >

辱骂、歧视、挑衅等（不友善）

骚扰我

泄露了我的隐私

您好，当您发现根叔知了上有泄漏您隐私的内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。

1. 您认为哪些内容泄露了您的隐私？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）

侵犯了我企业的权益

您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。

1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
3. 是哪家企业？（营业执照，单位登记证明等证件）
4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）

我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

抄袭了我的内容

原文链接或出处

诽谤我

您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。

1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）

我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

对根叔社区有害的内容

垃圾广告信息

色情、暴力、血腥等违反法律法规的内容

政治敏感

不规范转载 >

辱骂、歧视、挑衅等（不友善）

骚扰我

诱导投票

不规范转载

举报说明

产品线		搜索取消
案例类型
发布者
是否解决
是否官方
时间
搜索引擎
匹配模式	默认策略匹配全词匹配整句

如何实现一个ip地址禁止访问另一个ip地址

问题描述：

编辑答案

提出建议