S5560S-28P-SI v7版本交换机ACL配置问题
- 0关注
- 0收藏，233浏览
问题描述：
S5560S-28P-SI v7版本交换机上写一条ACL，实现192.168.9.0/24网段电脑无法访问主机192.168.9.100/24端口3001的电脑，配置如下: Advanced IPv4 ACL 3002, 2 rules, ACL's step is 5, start ID is 0 rule 5 deny tcp source 192.168.9.0 0.0.0.255 destination 192.168.9.100 0 destination-port eq 3001 在Vlan接口下应用: # interface Vlan-interface9 ip address 192.168.9.1 255.255.255.0 packet-filter 3002 inbound packet-filter 3002 outbound dhcp server apply ip-pool vlan9 # 实际测试中客户端192.168.9.99可以访问192.168.9.100端口3001
- 2026-01-15提问
- 举报
-
(0)
最佳答案
这样做没用
核心-接入(傻瓜或者非傻瓜)-PC的环境下 如果你在核心上做是没用的，同vlan他们在下方傻瓜交换机就通信了
你需要用下面这种才有用
- 2026-01-15回答
- 评论(14)
- 举报
-
(0)
奥！我的路由器是华三mer8300 ，可以在路由器上做吗，能实现吗？谢谢
你如果实在交换机上接着呢，只能在交换机上做，就像上面的图一样
你电脑接在哪个交换机了，你就在那个交换机上做，因为他们互访都不会往上走，在这个交换机上就完成互访了，所以你在上面任意一台交换机上做是没有用的
不需要
在S5016上面配置 Advanced IPv4 ACL 3002, 2 rules, ACL's step is 5, start ID is 0 rule 5 deny tcp source 192.168.9.0 0.0.0.255 destination 192.168.9.100 0 destination-port eq 3001 rule 10 deny tcp source 192.168.7.0 0.0.0.255 destination 192.168.9.100 0 destination-port eq 3001
[接入层S5016-Vlan-interface9]dis th # interface Vlan-interface9 packet-filter 3002 inbound packet-filter 3002 outbound #
跨网段访问要在vlan下调用，不跨网段访问要在接口调用
要在接口调用
上面的图你看一下
好的，谢谢！我试试
您好，你的这个问题是 最典型的 ACL 配置误区，你的 ACL 规则写法、应用位置 / 方向全错了，所以测试 9.99 能通 9.100:3001 是必然的，先给你结论：
- 目标地址掩码写错：
192.168.9.100是主机地址，掩码必须写0.0.0.0不是0； - 应用位置致命错误：同 VLAN 内的三层流量，在 VLANIF 接口上应用 ACL 完全无效；
- 应用方向无意义：同网段流量不走 VLAN 三层网关，不存在 in/out 方向的三层转发；
- 规则编号不影响生效，但 V7 版本有隐性匹配优先级，你的规则本身语法有瑕疵。
- 2026-01-15回答
- 评论(1)
- 举报
-
(0)
好的，谢谢，学习了！！
好的，谢谢，学习了！！
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
好的，谢谢！我试试