交换机单向ACL问题

#配置接口地址（此处省略）

#创建ACL，其中第1条匹配TCP连接请求报文，第2条匹配TCP连接建立报文

[H3C] acl advanced 3100

[H3C-acl-ipv4-adv-3100]rule 0 permit tcp established source 192.168.20.0 0.0.0.255 destination 192.168.10.0 0.0.0.255

[H3C-acl-ipv4-adv-3100]quit

[H3C]acl  advanced 3200

[H3C-acl-ipv4-adv-3200]rule 0 permit tcp source 192.168.20.0 0.0.0.255 destination 192.168.10.0 0.0.0.255

[H3C-acl-ipv4-adv-3200]quit

#创建流分类，匹配相应的ACL

[H3C]traffic classifier 1

[H3C-classifier-1]if-match acl 3100

[H3C-classifier-1]quit

[H3C]traffic classifier 2

[H3C-classifier-2]if-match acl 3200

#创建流行为，permit TCP连接建立报文，deny从 Vlan 20发送到vlan10的TCP连接建立请求报文

[H3C]traffic behavior 11

[H3C-behavior-11]filter permit

[H3C-behavior-3]quit

[H3C]traffic behavior 22

[H3C-behavior-22]filter deny

#创建Qos策略，关联流分类和流行为

[H3C]qos policy 3

[H3C-qospolicy-3]classifier 1 behavior 11

[H3C-qospolicy-3]classifier 2 behavior 22

#在Vlan 20端口入方向下发Qos策略

[H3C]interface GigabitEthernet 1/0/20

[H3C-GigabitEthernet1/0/20]qos apply policy 3 inbound

#保存配置

[H3C]save force

ACL除了tcp和icmp,其他是不能实现单通的，如果你要让A能访问B的5000端口、21端口，那也得允许B到A的5000端口、21端口，所以配置完不通应该是你把B到A的业务都拒绝了A没有收到回包导致的