QOS做流策略，动作为拒绝，如何实现我拒绝某一个段中的一部地址，放通其他地址

可以的，你的思路是对的。实现“拒绝网段中特定 IP，放通其他 IP”的需求，关键就在于利用 ACL 的“逐条匹配”和“默认动作为拒绝”这两大核心规则。

简单来说，就是先写一条更精细的 permit（允许）规则，去匹配你希望放行的那一个特定 IP，再写一条范围更大的 deny（拒绝）规则，去匹配你想阻止的整个网段。这样一来，特定 IP 的流量会先被允许通过，而网段内的其他流量则会匹配到后面的拒绝规则。

要达到你想要的效果，ACL 的配置顺序至关重要：

1. 先写 permit 规则，放行特定 IP：例如，允许 192.168.0.1 访问 172.20.0.100。

2. 再写 deny 规则，拒绝网段其他 IP：例如，拒绝 192.168.0.1 访问 172.20.0.0/24 网段。

3. ACL 的默认动作是 deny：如果没有额外配置，最后会默认丢弃所有未匹配的流量。因此，你需要在 ACL 的最后加上一条 permit any 或 permit ip 规则，来放通其他所有需要的流量。

以下是针对你需求的完整 H3C 设备 ACL 配置步骤，可直接参考使用：

1. 配置高级 ACL 规则

• source 192.168.0.1 0：表示一个特定的源 IP 地址。

• destination 172.20.0.100 0：表示一个特定的目的 IP 地址。

• destination 172.20.0.0 0.0.0.255：表示整个 172.20.0.0/24 网段。关于 ACL 的反向掩码，需要特别注意：0 代表精确匹配，而 0.0.0.255 这样的掩码则用于匹配一个网段。

关于反向掩码：在使用 H3C ACL 时，0 表示“需要精确匹配的位”。例如，0.0.0.255 这个掩码的意思是前 24 位必须严格匹配，而最后 8 位可以是任意值，这正好对应一个 24 位掩码的网络。

2. 应用 ACL 到接口

最后一步，需要将这个 ACL 应用到你网络的相应接口上。根据你的组网，命令可能如下：

• 如果是应用到物理接口：

  [H3C] interface gigabitethernet 1/0/1

  [H3C-GigabitEthernet1/0/1] packet-filter 3000 inbound

• 如果是应用到 VLAN 接口：

  [H3C] interface vlan-interface 10

  [H3C-Vlan-interface10] packet-filter 3000 inbound

可以实现，而且思路完全正确，就是用 ACL 先 deny 精准目标，再 permit 整个网段，最后把 ACL 绑到流策略动作 deny 上就行。
我直接给你标准可复制配置，一看就懂。
一、你的需求翻译
拒绝：192.168.0.1 → 172.20.0.100
允许：192.168.0.1 → 172.20.0.0/24 其他所有地址
二、正确 ACL 写法（华三高级 ACL）
华三 ACL 从上到下匹配，命中即停止。
acl
acl advanced 3000
rule 5 deny ip source 192.168.0.1 0 destination 172.20.0.100 0
rule 10 permit ip source 192.168.0.1 0 destination 172.20.0.0 0.0.0.255
rule5：先拦住 .100 这一个 IP
rule10：放行 整个 /24 网段剩下的
三、流策略配置（关键）
流分类 → 流行为 → 流策略
plaintext
# 1. 流分类匹配 ACL
traffic classifier deny-host operator or
if-match acl 3000

# 2. 流行为：拒绝（只有命中 rule5 才会被拒绝）
traffic behavior deny-act
filter deny

# 3. 流策略绑定
qos policy deny-single-host
classifier deny-host behavior deny-act

# 4. 接口调用（入方向，用户侧）
interface GigabitEthernet1/0/1
qos apply policy deny-single-host inbound
四、为什么这样能实现你要的效果？
流量到 172.20.0.100 → 匹配 rule5 → 进入流策略 → 被拒绝
流量到 172.20.0.2、.20、.50 等 → 匹配 rule10 → 不触发 deny 动作 → 放通
完美实现：只拒绝单个 IP，放行同网段其他 IP
五、一句话总结
ACL 先 deny 单个 IP，再 permit 整个网段，
流策略动作 deny，
最终效果就是只拒绝那一个 IP，其他同网段全部放行。