H3CER3208防火墙规则

• 4 台业务内网主机（A 组）；管理员电脑（B 主机），同一网段
  需求：

1. A 组内网主机 不能主动发起访问管理员电脑
2. 管理员电脑 可以主动发起访问 A 组内网主机

两种落地方案（按场景选择）

方案 1【推荐】交换机端口隔离（最优！）

重大知识点：同网段终端互访，二层交换机直接转发，报文根本不经过 ER3208 路由模块，ER3208 的防火墙规则拦截不到同网段二层流量！

1. 把 4 台内网业务主机端口加入【隔离组】；
2. 管理员电脑端口不加入隔离组；
3. 隔离组内终端之间互通；隔离组终端无法访问非隔离端口（管理员电脑）；
4. 管理员电脑不受限制，可以主动访问所有内网主机。

原理：二层直接阻断内网主机去往管理员 PC 的报文，不依赖网关防火墙。同网段单向访问首选方案。

方案 2：ER3208 防火墙策略（仅适合跨 VLAN / 三层访问场景）

补充：TCP 连接存在回程报文，三层环境依靠防火墙状态检测机制，管理员主动发起连接后，回程应答报文防火墙自动放行，满足单向访问效果。

高频踩坑重点（绝大多数人失败根源）

1. 同一网段终端互访属于二层交换流量，不经过 ER3208 路由转发，ER3208 防火墙规则不起任何作用！
   在 ER 网关配置策略测试发现完全无效，就是这个原因。
2. 不要试图只依靠网关实现同网段单向控制，必须在接入交换机操作端口隔离。
3. 端口隔离区分：双向隔离、单向隔离；标准端口隔离默认双向隔离，需要确认交换机是否支持【单向端口隔离】。

新华三交换机标准端口隔离是双向隔离：隔离组终端互相不能访问；

适配你需求配置方式：内网 4 口加入隔离组，管理员端口不加隔离组；实现内网主机无法访问管理员 PC，管理员 PC 可访问内网。