在三层网关上挂 ACL
VLAN 的三层接口是整网段的网关，在这个接口上应用 ACL，等于一次性管控该网段所有主机的进出流量，不需要在接入端口逐一配置。三家的三层接口名不同：华为叫 Vlanif10，思科叫 interface Vlan10，H3C 叫 Vlan-interface10；应用命令也不同，但方向语义一致——入方向管的是从该网段发出去到设备内部的流量，出方向管的是设备发往该网段的流量。
基本信息
| 适用平台 | 三层交换机（华为 VRP、思科 IOS、H3C Comware） |
|---|---|
| 接口命名 | 华为 Vlanif10、思科 interface Vlan10、H3C Vlan-interface10 |
| 应用命令 | 华为 traffic-filter，思科 ip access-group，H3C packet-filter |
| 创建前提 | 华为/H3C 的三层接口随 VLAN 创建自动生成，思科必须先建 VLAN |
| 权限要求 | system-view / 接口视图 |
典型使用场景
- 网段级准入：某个业务网段只允许访问特定服务器端口
- 部门隔离：限制办公网段访问生产网段，只放通必要协议
- 服务器区收口：在服务器网关上加白名单，减少暴露面
- 临时封堵：故障期间在网关方向快速封掉某来源网段
- 审计整改：用网关 ACL 补齐历史上缺失的横向访问控制
华为 VRP
华为 VRP
[Huawei] acl number 3000
[Huawei-acl-adv-3000] rule 5 permit tcp source 192.168.10.0 0.0.0.255 destination-port eq 443
[Huawei-acl-adv-3000] rule 10 deny ip
[Huawei] interface Vlanif 10
[Huawei-Vlanif10] traffic-filter inbound acl 3000 # 入方向过滤终端发出的流量
<Huawei> display acl 3000 # 查看命中计数验证生效思科 IOS
思科 IOS
SW-CORE-01(config)# ip access-list extended WEB-ONLY
SW-CORE-01(config-ext-nacl)# permit tcp 192.168.10.0 0.0.0.255 any eq 443
SW-CORE-01(config-ext-nacl)# deny ip any any
SW-CORE-01(config)# interface Vlan10
SW-CORE-01(config-if)# ip access-group WEB-ONLY in
SW-CORE-01# show ip interface Vlan10 | include access listH3C Comware
H3C Comware
[H3C] acl advanced 3000
[H3C-acl-ipv4-adv-3000] rule 5 permit tcp source 192.168.10.0 0.0.0.255 destination-port eq 443
[H3C-acl-ipv4-adv-3000] rule 10 deny ip
[H3C] interface Vlan-interface 10
[H3C-Vlan-interface10] packet-filter 3000 inbound接口名与命令对照
| 对比项 | 华为 VRP | 思科 IOS | H3C Comware |
|---|---|---|---|
| 三层接口名 | Vlanif10 | interface Vlan10 | Vlan-interface10 |
| 应用命令 | traffic-filter inbound acl 3000 | ip access-group 100 in | packet-filter 3000 inbound |
| 方向关键字 | inbound / outbound | in / out | inbound / outbound |
| 创建前提 | VLAN 存在即自动生成 | 必须先建 VLAN | VLAN 存在即自动生成 |
| 查看验证 | display acl 3000 | show ip interface Vlan10 | display packet-filter interface |
入方向封得太狠时容易把网关自身的必要流量一起挡掉：DHCP 中继、ARP、网关地址的 ICMP、以及管理协议的报文都需要放行，否则表现为整网段拿不到地址或网关不可管理。策略上线前先在测试网段验证一轮。
入方向与出方向要成对设计：入方向管的是该网段终端发起的流量，出方向管的是设备发往该网段的流量。只配一个方向时，常见结果是「能连出去但回不来」或「内网互访正常、外网单向不通」，排障时两个方向各查一遍。