问题的根源很可能在于上网行为管理功能处理跨VLAN流量时存在缺陷，导致它对 192.168.14.0/23 这个范围的流量识别有误，从而错误地拦截了。
原因分析：这很可能是软件缺陷
功能逻辑有误：为了管控用户的上网行为，开启该功能后，路由器会深度检查所有经过它的流量。在处理
14.x访问15.x的报文时，它的识别逻辑可能出了偏差，错误地将这部分内网互访流量也进行了“阻断”处理。行为不对称，指向性明确：
15.x网段能正常访问14.x，而反过来却不行。这种“单向”不通的现象，进一步指向了路由器内部对特定源地址（14.x）的处理存在逻辑错误，而不像是物理链路或VLAN划分这类通用问题。已有相似案例：在配置策略路由后，内网不同VLAN之间出现访问异常，其中一个子网的用户无法访问另一子网内的NAS设备。这表明MER5200在处理特定网络策略时，确实可能触发内网互访的故障。
解决方案与排查建议
既然基本锁定是软件问题，可以从以下几个层面入手解决：
方案一：重启路由器（首选尝试）
这是最简单直接的验证方法。找个业务空闲时间，把路由器彻底断电重启一下。这能清除临时的系统缓存，看看故障现象是否消失。方案二：关闭上网行为管理功能（快速验证）
登录MER5200的Web管理界面。
导航到 “上网行为管理” 页面。
临时关闭“全局上网行为管理”功能。
立即测试
14.x网段访问15.x网段是否恢复。如果恢复，则可以百分百确认是此功能导致的。
方案三：寻求官方技术支持（根本解决）
如果以上两种方法能确认是软件问题，建议：通过H3C官方服务热线、在线客服或“知了社区”提交工单。
详细描述你的网络拓扑、问题现象以及“关闭上网行为管理后问题消失”的关键验证步骤。
询问该问题是否为已知缺陷，并索取包含修复补丁的固件版本。
可选的临时绕过措施
如果无法立即通过升级固件解决，可以考虑以下临时方案来恢复业务：
配置高级 ACL（访问控制列表）：直接在路由器上配置一条高级ACL规则，明确允许源地址为
192.168.14.0/23、目的地址为192.168.15.0/23的IP流量通过。将此ACL的优先级调至最高，以覆盖上网行为管理可能产生的错误阻断。调整网络结构：如果条件允许，可以将这两个子网的互联互通，交由路由器下联的、具备路由功能的三层交换机来处理，以此绕过MER5200自身的缺陷。
🔍 先给你拆解问题根源
- 接口 IP：
192.168.15.1/23（即192.168.14.0-192.168.15.255整个大网段） - DHCP 池：
192.168.14.1~192.168.15.254 - 网关 / 排除地址：
192.168.15.1
开启全局上网行为管理 → 14 段（192.168.14.x）无法访问 15 段（192.168.15.x），反向正常，无任何自定义策略 / ACL。
为什么会这样？
- 系统会把
/23这种跨两个 C 段的大网段，在内部拆分成192.168.14.0/24和192.168.15.0/24两个子网处理。 - 固件里的安全域默认策略，对跨这两个 “逻辑子网” 的流量，存在单向阻断的 bug。
192.168.15.x → 192.168.14.x：被正常放行192.168.14.x → 192.168.15.x：被隐含策略丢弃
- 这个 bug 在最新版本依然存在，属于安全域 / ACG 模块的设计缺陷，不是你配置的问题。
✅ 三种可直接落地的解决方法（按优先级）
方法 1：命令行放行内网互访（推荐，最彻底）
trust 域内所有流量：system-view
# 进入安全域视图，放行trust域内所有互访流量
security-zone trust
packet-filter ip permit source any destination any
quit
save
14段↔15段会立刻双向互通，同时上网行为管理功能不受影响。方法 2：关闭全局 ACG，改用策略级管控（规避缺陷）
- 在 Web 界面关闭全局 ACG 开关
- 新建上网行为管理策略，仅针对需要管控的 IP 段生效
- 这样不会触发全局安全域阻断逻辑，内网互访完全正常
方法 3：拆分网段，避免使用 / 23 这种跨 C 段掩码
192.168.14.0/23 拆成两个独立的 VLAN：- VLAN1：
192.168.14.0/24 - VLAN2：
192.168.15.0/24 - 然后在路由器上配置 VLAN 间路由放行这种方式可以避开固件对跨 C 段网段的特殊处理逻辑，避免触发 bug。
💡 补充说明
- 你当前的配置本身没有问题，DHCP、掩码、网关设置都是正确的。
- 这个缺陷的核心触发条件就是：单 VLAN 内使用 / 23 这类跨两个 C 段的掩码，同时开启全局 ACG。
- 升级到最新版本无法解决这个问题，只能通过上面三种方式规避。
H3C的产品真难用，一个上网行为管理功能搞的这么复杂，人工客服也爱答不理。以后不会在考虑H3C的产品了
要是觉得我评论有毛病，不会调试的。麻烦搞个一样型号的按着图片上的配置模拟一下，用你的技术来我脸。我重新开个贴承认我的言论错误，技术菜。
要是觉得我评论有毛病，不会调试的。麻烦搞个一样型号的按着图片上的配置模拟一下，用你的技术来我脸。我重新开个贴承认我的言论错误，技术菜。
打开你的电脑，在浏览器输入知了社区，找到这个帖子，要么在别人下面评论，要么点我的头像。
一分价格一分货，功能全部集成了还怪不好用，自己也不会调试，设备还过保了，还这种态度，谁愿意理你。
我只是单纯的评论这个产品不好。我是客户是不商家，态度好不好不是我要考虑的事情，你能说我我肯定也能反驳你，不要把我跟商家搞混了。
搞笑，明明是设备软件的缺陷，还反过来怪客户不会调试态度不好
自己去打400啊，谁把货卖你的 你去找啊
我只是单纯的评论这个产品不好。我是客户是不商家，态度好不好不是我要考虑的事情，你能说我我肯定也能反驳你，不要把我跟商家搞混了。
就是，你在保直接打400啊。自己技术菜还比比莱莱的。你自己配置有问题还是电脑有问题啊。自己不会调试还怪设备。笑死了
啊对对对，软件设计没问题。麻烦你去搞一样的型号模拟一下，就知道我为什么会发出这种锐评，或用你高超的技术来打我脸
啊对对对，软件设计没问题。麻烦你去搞一样的型号模拟一下，就知道我为什么会发出这种锐评，或用你高超的技术来打我脸
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明