管理vlan可访问所有vlan，除管理vlan外其余vlan之间不能互访

核心写acl

拒绝指定的主机访问网络典型配置举例

1.3.1  适用产品和版本

表1-2 配置适用的产品与软件版本关系

1.3.2  组网需求

图1-2 拒绝指定的主机访问网络

Host A和其它主机通过端口GigabitEthernet 1/0/1接入交换机，Host A的IP地址为10.1.1.1。要求通过配置ACL，实现在每天8:30～18:00的时间段内，GigabitEthernet1/0/1端口上拒绝Host A发送的报文通过，允许来自其它主机的报文通过。

1.3.3  配置思路

通过配置时间段并在ACL规则中进行引用，可以使规则在指定的时间范围生效。

1.3.4  配置注意事项

对于未匹配ACL规则的报文，包过滤功能采取允许通过的动作。

1.3.5  配置步骤

# 创建周期时间段working_time，时间范围为每天的8:30～18:00。

<Switch> system-view

[Switch] time-range working_time 8:30 to 18:00 daily

# 创建IPv4基本ACL 2000，配置拒绝源IP地址为10.1.1.1的报文通过的规则。

[Switch] acl number 2000

[Switch-acl-basic-2000] rule deny source 10.1.1.1 0 time-range working_time

[Switch-acl-basic-2000] quit

# 配置包过滤功能，应用IPv4基本ACL 2000对端口GigabitEthernet1/0/1收到的IPv4报文进行过滤。

[Switch] interface gigabitethernet 1/0/1

[Switch-GigabitEthernet1/0/1] packet-filter 2000 inbound

1.3.6  验证配置

# 执行display packet-filter命令查看包过滤功能的应用状态。

[Switch] display packet-filter interface GigabitEthernet 1/0/1

Interface: GigabitEthernet1/0/1                                            

  In-bound Policy:                                                             

    acl 2000, Successful                                                       

  Out-bound Policy:

上述信息显示GigabitEthernet1/0/1端口上已经正确应用了包过滤功能。

# 在每天8:30～18:00的时间段内，在除HostA的其它主机上以图1-1中右侧任意一台服务器为目的进行ping操作，返回正常应答信息；在HostA上执行此操作返回请求超时信息。

# 在其它时间段内，在所有主机上执行此操作均能返回正常应答信息。

1.3.7  配置文件

#

 time-range working_time 08:00 to 18:00 daily

#

acl number 2000

 rule 0 deny source 10.1.1.1 0 time-range working_time

#

interface GigabitEthernet1/0/1

 packet-filter 2000 inbound

#