6600交换机

ACL规则匹配顺序问题：
acl advanced 3102
rule deny icmp source *.*.33.241 0
rule permit icmp
rule permit udp
rule permit tcp
当数据包从*.*.33.241访问*.*.32.129时，匹配过程是这样的：
ICMP包首先匹配到第一条规则：deny icmp source *.*.33.241 0→ 应该被拒绝
但随后又匹配到第二条规则：permit icmp→ 又被允许
看起来矛盾，实际原因是H3C ACL的工作机制：
可能的根本原因
1. ACL规则的掩码配置问题
您的配置中*.*.33.241 0使用的是全0掩码，这表示精确匹配单个IP地址*.*.33.241。但可能存在问题：
2. ACL应用方向问题
您配置了双向过滤：
packet-filter 3102 inbound
packet-filter 3102 outbound
对于从*.*.33.241到*.*.32.129的ping：
入方向：从外部进入VLAN 102接口
出方向：从VLAN 102返回给*.*.33.241
解决方案
方案一：优化ACL规则顺序和配置
# 先创建更精确的拒绝规则
acl advanced 3102
# 明确拒绝特定源访问特定目的
rule deny icmp source *.*.33.241 0 destination *.*.32.128 0.0.0.63
# 或者拒绝整个VLAN 102的访问
rule deny icmp source *.*.33.241 0 destination *.*.32.128 0.0.0.63

# 允许其他ICMP
rule permit icmp
rule permit udp
rule permit tcp

# 注意：ACL隐含拒绝所有，最后需要明确允许其他流量
方案二：分拆ACL，简化配置
# 创建一个专门用于过滤的ACL
acl advanced 3102
rule deny icmp source *.*.33.241 0
# 如果不加这条，ACL最后会有隐含的deny any，会拒绝所有其他流量

# 创建另一个ACL允许其他流量
acl advanced 3103
rule permit icmp
rule permit udp
rule permit tcp

# 应用到接口
interface vlan-interface 102
packet-filter 3102 inbound
packet-filter 3103 inbound
方案三：使用zone-pair和security-policy（推荐）
如果您的设备支持安全策略：
# 定义源区域和目的区域
zone-pair security source trust destination untrust
packet-filter 3102

# 或者直接在安全策略中应用
security-policy ip
rule 0 deny icmp source-zone trust source-ip *.*.33.241 0 destination-zone untrust
rule 1000 permit
诊断步骤
检查ACL匹配计数
display acl 3102
查看拒绝规则的匹配计数是否增加。
查看当前生效的策略
display packet-filter interface vlan-interface 102
检查会话表
display session table source-ip *.*.33.241 verbose
调试ICMP流量
debugging ip packet acl 3102
terminal monitor
terminal debugging
# 然后从*.*.33.241 ping
推荐配置
# 明确配置拒绝规则，并允许其他流量
acl advanced 3102
rule 0 deny icmp source *.*.33.241 0
rule 5 permit ip
# 或者明确允许其他协议
# rule 5 permit icmp
# rule 10 permit tcp
# rule 15 permit udp

interface vlan-interface 102
packet-filter 3102 inbound
# 出方向根据需求决定是否配置
# packet-filter 3102 outbound
重要提示
规则编号：建议使用rule 0、rule 5等方式明确指定规则顺序
测试步骤：
清除现有ACL计数：reset acl counter all
重新应用ACL
测试ping，然后查看ACL计数
考虑NAT：如果存在NAT转换，源IP可能会变化，需要考虑转换前后的IP
请先执行display acl 3102查看当前规则是否被匹配，然后根据结果调整配置。