48口三层

48 口三层交换机 ACL 问题分析
现象：高级 ACL 里面协议号写255，终端可以 ping 通网关，但同 VLAN 终端之间无法隔离。
Comware V7 高级 ACL，protocol‑number 0‑255，匹配全部 IP 协议不要填 255，填关键字ip。
1、协议号 255 是什么？
IP 协议号范围 1‑255：
1=ICMP，6=TCP，17=UDP；
255 不是 “全部 IP 协议”，255 是Reserved 保留协议号，几乎没有报文用这个协议号，这条规则几乎匹配不到任何 IP 报文，等于规则失效，这就是你配置后隔离不生效，但终端能 ping 网关的根源。
✅匹配所有 IP 协议：不要写数字，直接写关键字 ip。
错误写法：
plaintext
rule deny 255 source x.x.x.x 0 destination x.x.x.x 0
正确写法：
plaintext
rule deny ip source x.x.x.x 0 destination x.x.x.x 0
2、需求：同一 VLAN 终端互相隔离，但是全部终端可以访问网关、访问外网
关键点：
同网段终端互访：二层单播，不走三层 Vlan‑if 网关接口，把 ACL 应用在 Vlan‑if 入方向，拦不住同 VLAN 二层互访流量！
两套方案：优先选port‑isolate端口隔离；如果必须 ACL 实现同 VLAN 隔离，需要开启arp‑proxy local‑proxy本地代理 ARP + ACL 配合，强制同网段流量上 CPU 三层转发，ACL 才可以过滤同网段主机互访。
方案 A：端口隔离（推荐，性能好，48 口三层交换机，有线接入首选）
所有接入用户端口配置隔离组，上行端口（上联核心 / 网关口）不配置隔离。
plaintext
interface range GigabitEthernet 1/0/1 to GigabitEthernet 1/0/48
port link‑mode bridge
port‑isolate enable group 1 #加入隔离组，组内端口二层互相隔离
quit
效果：隔离组端口之间二层报文直接丢弃；所有端口可以正常访问网关、跨网段访问互联网；ARP 广播可以到达网关。
❗上联口（接网关 / 核心的端口，不要配置 port‑isolate enable）。
方案 B：高级 ACL + 本地代理 ARP（必须用 ACL 管控场景）
适用：必须用 ACL 做隔离，需要匹配 IP 条件做精细控制。
原理：开启local‑proxy‑arp，同一 VLAN 主机互访流量强制上三层转发，ACL 在 Vlan‑if 入方向生效过滤。
假设业务 VLAN 10，网段192.168.10.0/24，网关192.168.10.1
plaintext
#1、VLANIF接口开启本地代理ARP
interface Vlan‑interface 10
ip address 192.168.10.1 255.255.255.0
arp‑proxy local‑proxy enable
quit

#2、高级ACL，拒绝同网段终端互访，放行访问网关及其他网段
acl advanced 3000
#放行访问网关
rule 5 permit ip source 192.168.10.0 0.0.0.255 destination 192.168.10.1 0
#拒绝同VLAN其他终端互访
rule 10 deny ip source 192.168.10.0 0.0.0.255 destination 192.168.10.0 0.0.0.255
#放行去往外网/其他网段流量
rule 15 permit ip source 192.168.10.0 0.0.0.255
quit

#3、ACL应用在Vlan‑if 10入方向
interface Vlan‑interface 10
packet‑filter inbound acl 3000
quit
⚠️注意：开启 local‑proxy‑arp，所有同网段互访流量交给 CPU 三层转发；大终端数量场景 CPU 压力上升，接入交换机尽量优先选端口隔离方案。
3、排错验证命令
plaintext
display acl 3000 #查看ACL命中计数，看规则是否匹配报文
display packet‑filter #确认接口下ACL是否成功应用
display port‑isolate group #查看端口隔离组成员
display arp‑proxy #查看本地代理ARP状态
常见踩坑
❌协议号填 255，以为匹配全部 IP 协议：规则几乎匹配不到报文，隔离完全无效。全部 IP 协议写关键字ip，不是数字。
❌ACL 直接应用 Vlan‑if，不开local‑proxy‑arp：同 VLAN 主机互访是二层转发，根本不会上 Vlan‑if，ACL 规则不会触发，终端依旧互相访问。
❌上联口也配置 port‑isolate enable，导致终端完全无法访问网关外网。