华三交换机要封掉192.168.1.100这个IP怎么做

📌 配置步骤：

1. 创建ACL规则（禁止IP 192.168.10.5 上网）：

   复制

   system-view acl advanced 3000 # 创建高级ACL rule 0 deny ip source 192.168.10.5 0 # 精确匹配该IP（0表示全匹配） rule 10 permit ip # 放行其他流量（避免阻断所有通信） quit

2. 应用ACL到用户接入接口（假设接用户的端口为 GigabitEthernet1/0/10）：

   复制

   interface GigabitEthernet1/0/10 packet-filter 3000 inbound # 在入方向应用ACL quit

3. 保存配置：

   复制

   save force

⚠️ 关键说明：

• 通配符掩码：0 表示精确匹配（如 192.168.10.5 0 = 仅此IP），若需禁止网段（如 192.168.10.0/24）则用 source 192.168.10.0 0.0.0.255。
• 应用位置：必须将ACL应用在用户流量进入的端口（inbound方向）。
• 放通规则：务必添加 rule permit ip（如示例的 rule 10），否则会阻断该端口所有IP的通信。

📖 技术依据：

• 源于 H3C S5500V2/S55X0/S58X0V2系列交换机 的配置案例（见信息文档），方法同样适用于S6800等主流系列。
• 核心原理：通过包过滤（packet-filter）在数据链路层丢弃指定源IP的报文。

💡 扩展建议：若需增强控制，可结合 IP Source Guard 或 端口安全（绑定IP-MAC）进一步限制非法接入。