192.168.1.0/24位拆成192.168.1.0/25和192.168.128/25，如何使用ACL做限制隔离

你写错了，是拆分成：

192.168.1.0/25

192.168.1.128/25

再vlanif接口处通过packet-filter套用acl隔离就行了

交换机限制网段之间互访配置案例：

1、 需求：限制内网员工电脑PC1：192.168.1.2网段不能去访问财务的电脑PC2：192.168.10.2网段。

2、 配置思路：通过在网关设备上运用包过滤防火墙，定义一个ACL来拒绝员工网段访问财务的网段数据流量，实现两个网段不能互相通信。（测试设备为V7交换机）

1) 基本联通性调试

<H3C>sys //进入系统配置视图

System View: return to User View with Ctrl+Z.

[H3C]interface Vlan-interface 1 //创建VLAN1网段的网关

[H3C-Vlan-interface1]ip address 192.168.1.1 24 //配置网关地址

[H3C-Vlan-interface1]quit

[H3C]interface Vlan-interface 10 //创建VLAN10网段的网关

[H3C-Vlan-interface10]ip address 192.168.10.1 24 //配置网关地址

[H3C-Vlan-interface10]quit

2) 配置包过滤防火墙来让PC1无法ping通主机PC2

[H3C]acl advanced 3000 //创建高级ACL3000（V7交换机这样创建）

[H3C]acl number 3000 //创建高级ACL3000（V5交换机这样创建）

[H3C-acl-ipv4-adv-3000] rule 0 deny ip source 192.168.1.0 0.0.0.255 destination 192.168.10.0 0.0.0.255 //定义规则deny目的网段是192.168.10.0网段流量

[H3C-acl-ipv4-adv-3000]quit

[H3C]interface Vlan-interface 1 //进入VLAN1网关接口下

[H3C-Vlan-interface1]packet-filter 3000 inbound //在接口入方向过滤

[H3C-Vlan-interface1]quit

此时PC1去ping主机PC2测试联通性，不能正常通信，过滤动作生效了。

<pc1>ping 192.168.10.2

Ping 192.168.10.2 (192.168.10.2): 56 data bytes, press CTRL_C to break

Request time out

Request time out

Request time out

Request time out

Request time out