VLAN 间的访问控制
VLAN 间的三层路由默认全通，按业务需要挂 ACL 或流策略限制互访，是安全分区的最小实现。关键在于规则的挂载位置与方向：按『谁访问谁』确定挂在哪个 VLANIF 或 SVI 的哪个方向，挂错方向规则不生效，而且设备通常不会报错。
基本信息
| 适用平台 | 华为 VRP / Cisco IOS / H3C Comware |
|---|---|
| 挂载位置 | VLANIF 或 SVI 的入方向或出方向 |
| 华为命令 | traffic-filter inbound acl 3000 |
| Cisco 命令 | ip access-group 100 in |
| 验证手段 | 规则命中计数（display acl / show access-lists） |
典型使用场景
- 办公网与访客网之间限制互访，只允许访问指定服务器
- 生产网与办公网分区，禁止办公终端直连生产设备管理口
- 服务器区之间按端口粒度开放，例如只放通数据库或 HTTPS 端口
- 故障期间临时限制某网段流量，事后回收规则
- 合规要求下的访问控制留痕与定期审计
华为 ACL 示例
华为 ACL 示例
acl number 3000
rule 5 deny ip source 192.168.20.0 0.0.0.255 destination 192.168.10.0 0.0.0.255
rule 10 permit ip # 未匹配默认丢弃，需显式放行其余流量
interface Vlanif20
traffic-filter inbound acl 3000 # 挂在 20 网段的入口方向
display acl 3000 # 观察规则命中计数挂载点怎么选
| 需求 | 挂载位置 | 说明 |
|---|---|---|
| 禁止 A 网段访问 B | A 对应 VLANIF 的入方向 | 在流量进入路由处理前过滤 |
| 禁止某方向流量到 B | B 对应 VLANIF 的出方向 | 按目的维度控制，方向相反 |
| 双向禁止 | 两个 VLANIF 各挂一次 | 单侧规则只挡一个方向 |
| 只允许特定端口 | 高级 ACL 指定协议与端口 | 基础 ACL 不支持端口粒度 |
| 临时管控 | 临时规则放在顺序前面 | 注意规则顺序，后加的在末尾 |
规则设计先画路径
动手写规则前先把流量路径画清楚：源网段、目的网段、方向与端口，然后再决定挂载点。规则顺序按从具体到宽泛排列，具体的拒绝或放行放前面，宽泛的放行放后面；设备按顺序匹配且命中即停，顺序颠倒会让前面写好的具体规则永远不生效。
ACL 挂载点或方向不对是『配了没效果』最常见的原因。用命中计数验证：计数不增长说明流量根本没经过这条规则，此时继续调规则内容只是白费时间。