Question

求助 华为 交换机 ACL配置

各位高手，我有一台华为S3700，划分了5个VLAN，要求每个VLAN之间不能互访。
1、请问下华为交换机默认VLAN之间是通还是不通啊？
2、我写了条命令要求VLAN2 不能 访问 VLAN10，但是无效，请帮忙看下有什么问题。
rule 1 deny ip soure 10.1.2.0 0.0.0.255 destination 10.1.10.0 0.0.0.255
3、vlan 1 是全部都能访问，请问要怎么配？是不是要配置一条路由？

Answer 1

你这个acl应用在了什么位置。你应用在int vlan2 上，acl为outbound，acl 的source为vlan 2的地址段，des为vlan 10 的地址段

Answer 2

1、默认不通，除非这台交换机开启了路由功能

2、rule 1 deny ip soure 10.1.2.0 0.0.0.255 destination 10.1.10.0 0.0.0.255
（规则1，禁止10.1.2.0/24以任何IP协议的方式访问10.1.10.0/24）
你只是配置了规则，并未执行规则，明白吗
在交换机的端口视图下
interface Ethernet0/24
port access vlan 1002
packet-filter inbound ip-group 3000 rule 1
这才算是24号端口执行了ACL 3000里的规则1

3、开启了路由功能的话，要想所有的VLAN都能访问VLAN 1也不难
如果想限制到底的话，还是配置ACL规则啊
rule 2 permit ip source IP地址 destination vlan1的地址
然后给端口配置上去

Answer 3

1、VLAN之间默认是不能够通讯的，除非你的交换机支持路由功能并启了路由功能（是否支持路由功能联系厂家工程师咨询下），或者有路由器设备。可以通过每个VLAN 电脑验证下看否通?如果vLAN之间有路由的话，这时才有必要写ACL；
2、rule 1 ip permit ip soure any destination 10.1.1.0 0.0.0.255
把这一条ACL应用到除默认VLAN 1之外的其他VLAN接口，或者物理接口,方向：Outbond
3、只要交换机开启了路由功能后，就会在交换机上产生所有VLAN的直连路由。因此所有VLAN都可以通讯。要用ACL来限制VLAN间互访。