S5560三层交换机ACL配置

进入命令行，创建VLAN 5、VLAN6、VLAN7

<H3C>system-view

System View: return to User View with Ctrl+Z.

[H3C]vlan 5

[H3C-vlan5]quit

[H3C]vlan 6

[H3C-vlan6]quit

[H3C]vlan 7

[H3C-vlan7]quit

3.2 将接口分别加入VLAN 中，有以下2种方法

方法一：在VLAN 5视图里面将GigabitEthernet1/0/5口加入VLAN 5中：

[H3C-vlan5]port GigabitEthernet1/0/5

[H3C-vlan5]quit

方法二：在GigabitEthernet1/0/5的接口视图下，将PVID属性改为VLAN 5：

[H3C]interface GigabitEthernet1/0/5

[H3C-GigabitEthernet1/0/5]port access vlan 5

[H3C-GigabitEthernet1/0/5]quit

GigabitEthernet1/0/6 、GigabitEthernet1/0/7口以及加入VLAN6、VLAN7的方式也如是，此处不在赘述

3.3 保存配置

[H3C]save force

至此，VLAN划分已经完成。若还需要给几个VLAN内的主机下发地址，那么就需要创建VLAN虚接口，设置VLAN虚接口地址，配置DHCP服务器，划分网段做三层转发，详情可以看“2.4.1 交换机配置DHCP服务器（命令行）”

配置acl，接口下下发过滤策略，调用acl

# 创建IPv4高级ACL 3000，配置两条规则，分别为允许源地址为10.1.2.0/24网段，目的地址为100.1.1.0/24网段的IP报文通过，以及拒绝其它IP报文通过。

<H3C> system-view

[H3C] acl number 3000

[H3C-acl-ipv4-adv-3000] rule permit ip source 10.1.2.0 0.0.0.255 destination 100.1.1.0 0.0.0.255

[H3C-acl-ipv4-adv-3000] rule deny ip  

[H3C-acl-ipv4-adv-3000] quit

说明：如果acl number 3000无法写上去的话可能是由于交换机的软件版本不同导致，此时修改为acl advanced 3000的写法就可以了。

# 配置包过滤功能，应用IPv4高级ACL 3000对端口GigabitEthernet1/0/1收到的IP报文进行过滤。

[H3C] interface gigabitethernet 1/0/1

[H3C-GigabitEthernet1/0/1] packet-filter 3000 inbound

3.2检查配置效果

# 执行display packet-filter命令查看包过滤功能的应用状态。

[H3C] display packet-filter interface GigabitEthernet 1/0/1

  Interface: GigabitEthernet1/0/1

  In-bound Policy:

    acl 3000, Successful

上述信息显示GigabitEthernet1/0/1端口上已经正确应用了包过滤功能。

在10.1.2.0/24网段的主机上以100.1.1.0/24网段内的服务器为目的进行ping操作，返回正常应答信息；在其它网段的主机上执行此操作返回请求超时信息。

4保存配置信息

[H3C]save force