华三交换机V5应用ACL3000到接口

packet-filter

华三 Comware V5 交换机 ACL3000（高级三层 ACL）接口完整配置
一、完整标准配置流程
1. 创建高级 ACL 3000（三层 IP / 端口过滤）
plaintext
<H3C>system-view
# 创建高级ACL 3000，3000~3999为IPv4高级ACL
[H3C]acl number 3000
# 示例规则：禁止192.168.1.0/24访问10.0.0.0/8，放行其余流量
[H3C-acl-adv-3000]rule deny ip source 192.168.1.0 0.0.0.255 destination 10.0.0.0 0.0.255.255
[H3C-acl-adv-3000]rule permit ip
[H3C-acl-adv-3000]quit
2. 将 ACL3000 绑定到接口（核心命令 packet-filter）
① 三层接口（Vlan-interface / 三层物理口 undo portswitch）
三层接口可正常匹配高级 ACL3000 所有三层字段（源目 IP、端口、协议）
plaintext
# 入方向过滤：进入接口的流量先匹配ACL
[H3C]interface Vlan-interface 10
[H3C-Vlan-interface10]packet-filter 3000 inbound

# 出方向过滤：接口转发出去的流量匹配ACL
[H3C-Vlan-interface10]packet-filter 3000 outbound
② 二层物理端口（access/trunk）关键限制
V5 二层物理口默认不支持高级 ACL3000，仅支持二层 ACL 4000~4999；
若必须在二层端口过滤三层 IP 流量，两种方案：
把端口改成三层接口 undo portswitch，再配置 packet-filter；
在 VLANIF 三层虚接口绑定 ACL3000，控制跨 VLAN 三层转发流量。
③ 二层端口临时方案（不改三层口）
plaintext
# 仅三层转发流量生效，纯二层同VLAN互访不匹配ACL3000
interface Vlan-interface 10
packet-filter 3000 all
# packet-filter route：仅三层转发流量（默认）
# packet-filter all：三层转发+该VLAN下二层流量都过滤
二、方向说明
inbound：设备收到报文时先过滤，推荐优先使用，节省硬件转发资源；
outbound：报文转发完成、即将出接口时过滤；
同一接口同方向仅能绑定 1 个 ACL，重复绑定会覆盖旧配置。
三、验证排查命令
plaintext
# 查看ACL3000规则与匹配计数
display acl 3000
# 查看接口是否绑定ACL
display current-configuration interface GigabitEthernet 1/0/1
# 查看全局所有接口ACL绑定
display packet-filter
四、常见不生效坑点
二层物理口直接绑定 3000：无报错但规则不匹配，二层口只能用 4000 段二层 ACL；
规则顺序错误：deny 放在permit后面，流量全部放行；
未加all参数：VLANIF 接口仅拦截跨 VLAN 三层流量，同 VLAN 二层互通不受控；
方向写反：inbound/outbound 搞反，流量未被拦截。
极简总结
V5 三层接口（VlanIF / 三层物理口）使用 packet-filter 3000 inbound/outbound 绑定高级 ACL；
纯二层端口无法直接使用 ACL3000，需在 VLAN 虚接口配置过滤；
三层 ACL 仅管控 IP 三层转发流量，同 VLAN 二层互访需加 packet-filter all。