ruijie翻译至华三配置

1. 核心思路转换

• 锐捷：在 address-manage 模式下，直接绑定 match ip [网段] [掩码] [接口] [VLAN]。
• 华三：先创建 ACL 定义允许的 IP 和 VLAN，然后在具体的物理接口下开启 IPSG 并调用该 ACL。

2. 华三配置命令示例

3. ⚠️ 关键注意事项

1. 通配符掩码转换：锐捷使用标准子网掩码（如 255.255.252.0），华三ACL中使用通配符掩码（Wildcard Mask），即子网掩码的反码。255.255.252.0 对应的通配符掩码是 0.0.3.255。
2. VLAN范围语法：锐捷使用 vlan 1-300，华三在ACL规则中使用 vlan 1 to 300。
3. 接口绑定：锐捷的 address-manage 是在全局模式下统一绑定接口和规则的；而华三必须在每个具体的物理接口下单独调用 ACL 并指定 VLAN 范围。你需要将同一个 ACL 应用到多个接口，或者为不同接口创建不同的 ACL。
4. DHCP Snooping 依赖：如果这些IP是通过DHCP分配的，华三的IPSG通常需要配合 dhcp snooping 功能使用，确保绑定表项能动态学习。如果是静态绑定的固定IP，则直接使用上述ACL方式即可。
5. 型号差异：不同型号的华三交换机（如S5130、S6800、S12500等）对 acl user-defined 的支持和编号范围可能略有不同，建议在执行前通过 ? 确认当前设备支持的ACL类型和编号范围。

1、锐捷 address-manage match ip 功能说明
锐捷这条命令作用：
匹配【源 IP 网段 + 入接口】，强制将报文划入指定 VLAN（基于 IP 的动态 VLAN，Policy-VLAN）
plaintext
address-manage
match ip 网段 掩码 接口 vlan X-XX
逻辑：从 Gi1/1/3 进来、源 IP 属于 10.16.60.0/22 → 打上 VLAN1~300（匹配就置换 / 指定 VLAN）
⚠️ 华三【没有完全等价的一条命令】
华三 V7 交换机不存在「全局 address-manage + match ip 网段 + 端口 映射 VLAN」语法。
2、华三两套替代方案（按场景选择）
方案 A：Policy VLAN（策略 VLAN，最贴近原需求，推荐）
Policy VLAN 原理：匹配源 IP，强制指定报文 VLAN
限制：
Policy-VLAN 只能绑定 VLAN，不能直接绑定物理接口；
无法原生实现「同时匹配【入接口 + 源 IP 网段】双重条件」（锐捷 address-manage 天然支持 接口 + IP 两个条件）；
Policy VLAN 匹配粒度：只能单 IP，不能直接配置网段，不支持网段范围批量匹配。
👉 如果你的场景不需要区分入接口，只按 IP 网段分配 VLAN，可以使用 Policy-VLAN；
👉 如果必须同时满足：入端口 + 源 IP 网段两个条件才能分配 VLAN → Policy-VLAN 无法实现，改用【方案 B：ACL + 流策略】。
方案 B：ACL + QoS 流策略（最高兼容，完美复刻锐捷逻辑【首选迁移方案】）
✅ 支持双重条件：入接口 + 源 IP 网段，匹配成功后修改报文 VLAN 标签
完全复现锐捷 address-manage 效果，适合你现有配置（每条规则都携带接口 + 网段）。
适用：S5135/S5560/S6520/S6800/S7500X 全系列 V7 交换机
方案 B 完整配置模板（ACL + 流重标记 VLAN，直接迁移你的规则）
设备：H3C Comware V7（主流数据中心 / 园区交换机）
基础开启
plaintext
system-view
# 开启流策略功能
acl number 4000
quit
示例转换第一条锐捷规则
锐捷原文：
match ip 10.16.60.0 255.255.252.0 Gi1/1/3 vlan 1-300
含义：从 G1/1/3 进入，源 IP10.16.60.0/22 → 分配 VLAN1~300
注意：一条流策略无法匹配目标 VLAN 范围 1~300，流策略只能重标记为单个 VLAN。
重要差异提醒【重大坑】
锐捷 address-manage 支持匹配后映射VLAN 区间；
华三流策略 / Policy-VLAN 只能重标记为【单一 VLAN ID】，不能一段 VLAN 范围。
两种可能性确认你的原始需求：
原配置 vlan 1-300 本意：允许该网段流量在这些 VLAN 转发（放行）
→ 不需要改 VLAN 标签，这是访问控制，直接用 ACL 放行；
原配置 vlan 1-300 本意：源 IP 匹配成功，强制把报文打上对应 VLAN 标签（动态划分 VLAN）
→ 华三无法一条命令匹配后选择区间 VLAN，需要调整架构；
情况 1：假设你每条规则最后的 vlan 是【目标单一 VLAN】（最常见工程写法，锐捷配置书写简写）
举个例子示范转换（你可以照模板批量套用）
举例：match ip 10.21.0.0 255.255.0.0 vlan 4071
锐捷：源网段 10.21.0.0/16，任意接口，强制 VLAN4071
华三实现：
plaintext
# 1.定义ACL匹配源网段
acl number 3001
rule permit ip source 10.21.0.0 0.0.255.255
# 2.定义流行为：重标记VLAN为4071
traffic behavior IP2VLAN4071
remark vlan 4071
# 3.流分类绑定ACL
traffic classifier IP_10.21.0.0 operator and
if-match acl 3001
# 4.流策略绑定分类+行为
traffic policy IP_VLAN_MAP
classifier IP_10.21.0.0 behavior IP2VLAN4071
# 5.应用到全局/对应接口
interface GigabitEthernet 1/1/3
traffic-policy IP_VLAN_MAP inbound
情况 2：如果你原始需求确实是【匹配 IP + 端口，动态选择一段 VLAN（1~300 区间）】
✅ 华三交换机原生不支持该能力，没有任何等价功能！
解决方案二选一：
业务重构：拆分端口，静态配置端口 Access VLAN；
部署 Portal/802.1X 认证，由认证服务器下发动态 VLAN（iMC EIA）；
补充：关于你标题提到 Super VLAN
Super VLAN（SuperVlan/SubVlan）和这条 address-manage 无关
SuperVlan 作用：多个二层 subvlan 共享三层 SVI 网关；不能实现基于 IP 动态分配 VLAN，不要混淆。
汇总对比
表格
方案 是否支持【入接口 + 源网段】双条件 能否匹配 VLAN 区间 推荐场景
锐捷 address-manage match ip ✅支持 ✅支持 VLAN 范围 原有配置
H3C Policy-VLAN ❌不能绑定入接口；仅匹配 IP ❌仅单 VLAN 简单场景，无需区分端口
H3C ACL + 流策略（traffic-policy） ✅完美支持接口 + 网段 ❌仅单 VLAN 迁移首选，最大限度复刻逻辑
802.1X 动态 VLAN ✅ ✅由认证平台分配 终端准入场景，大规模用户