S10508X-G 的包过滤如何配置

一、核心原理说明（V7 平台 S10500X-G）
三层 VLAN 接口支持 packet-filter 直接绑定 ACL（高级 ACL 3000~3999、基本 ACL2000~2999），区别于 V5 仅物理口支持 packet-filterH3C
Vlan-interface 视图下 packet-filter filter [route|all] 控制过滤范围：
route（默认）：仅过滤跨 VLAN 三层转发流量，同 VLAN 二层互通不受影响
all：同时过滤三层转发 + 本 VLAN 内二层流量
方向区分：
inbound：进入三层接口的流量（从 VLAN 内访问其他网段）
outbound：从三层接口发出的流量（其他网段访问本 VLAN）
全局默认匹配动作：未命中 ACL 规则默认permit；如需全部拦截，系统视图配置packet-filter default denyH3C
二、完整配置示例（IPv4 高级 ACL 过滤跨 VLAN 访问）
需求：Vlan-interface 10（10.0.10.0/24）禁止 10.0.20.0/24 访问本 VLAN 所有地址，仅放行 10.0.20.10 服务器
1. 创建高级 ACL 规则
plaintext
system-view
# 创建IPv4高级ACL 3000
acl advanced 3000
# 放行指定服务器访问
rule 0 permit ip source 10.0.20.10 0 destination 10.0.10.0 0.0.0.255
# 拒绝20段其余地址访问10段
rule 5 deny ip source 10.0.20.0 0.0.0.255 destination 10.0.10.0 0.0.0.255
# 允许其他所有网段正常访问
rule 10 permit ip any destination 10.0.10.0 0.0.0.255
quit

2. 进入三层 VLAN 接口，绑定包过滤
plaintext
# 进入三层VLANIF接口
interface Vlan-interface 10
# 绑定ACL，入方向过滤（外部网段进入本VLAN流量）
packet-filter 3000 inbound
# 可选：配置过滤范围，默认route（仅三层转发），如需管控本VLAN二层流量改为all
packet-filter filter route
# 如需统计匹配计数，增加hardware-count
# packet-filter 3000 inbound hardware-count
quit

3. 可选全局配置（全局默认拒绝所有未匹配流量）
plaintext
# 系统视图下，所有接口包过滤未命中规则全部丢弃
packet-filter default deny
# 关闭默认deny恢复放行：undo packet-filter default deny

4. 出方向过滤示例（控制本 VLAN 访问外部网段）
plaintext
interface Vlan-interface 10
# 出方向ACL，限制本VLAN主机访问外网80端口
packet-filter 3001 outbound
packet-filter filter route
quit

三、IPv6 过滤补充（如需管控 IPv6 流量）
plaintext
# 创建IPv6高级ACL
acl ipv6 advanced 3100
rule permit ipv6 source 2001:db8::10/64 destination any
rule deny ipv6 any destination 2001:db8::20/64
quit

interface Vlan-interface 10
# ipv6关键字标识IPv6 ACL
packet-filter ipv6 3100 inbound
packet-filter filter route

四、常用查看 / 排错命令
plaintext
# 查看VLAN接口包过滤绑定信息
display packet-filter interface Vlan-interface 10

# 查看包过滤匹配统计计数
display packet-filter statistics interface Vlan-interface 10 inbound

# 查看ACL规则匹配计数
display acl 3000

# 查看TCAM资源是否充足（ACL资源耗尽会导致过滤失效）
display acl resource

# 清空包过滤统计
reset packet-filter statistics interface Vlan-interface 10 inbound

# 查看VLAN接口过滤范围配置
display this interface Vlan-interface 10 | include packet-filter filter

五、常见故障与注意事项
规则不生效
确认 ACL 编号为 3000~3999（高级）/2000~2999（基本），二层 ACL 4000 不能用于三层 VLANIF 过滤 IPv4 流量
确认方向匹配流量走向：外部访问本 VLAN 用inbound，本 VLAN 访问外部用outbound
开启packet-filter continuous enable会导致 VLAN 接口 packet-filter 失效，冲突时关闭
IRF 堆叠场景需在主备主控同步配置，保存配置save
同 VLAN 内访问不受限制
默认packet-filter filter route只管控三层转发；需要拦截同 VLAN 互访，执行packet-filter filter all
资源限制
单个接口单方向最多绑定 1 个 IPv4+1 个 IPv6+1 个二层 ACL；超出会报错无法下发
版本适配（Release7764）
S10508X-G R7764 完整支持 Vlan-interface packet-filter，无需升级；早期低版本存在 VLANIF outbound 过滤 bug，7764 已修复
六、删除配置命令
plaintext
# 移除接口入方向ACL
interface Vlan-interface 10
undo packet-filter 3000 inbound
# 恢复默认三层仅过滤
undo packet-filter filter
quit

# 删除全局默认deny
undo packet-filter default deny