s5500交换机访问控制列表配置和访问控制列表应用

什么版本 

在S5500交换机上找不到 packet-filter 命令，通常是因为设备运行的软件版本较旧。对于Comware V5系统，尤其是在R2208版本之前，ACL需要通过QoS策略来间接调用。

下面是两种具体的解决方法，你可以根据需求选择。

⚙️ 方法一：通过QoS策略应用ACL（通用性最强）

这是最可靠的方法，适用于不支持 packet-filter 命令的版本。核心思路是将ACL包装成QoS策略，再应用到接口上。

配置步骤（以在接口GigabitEthernet1/0/1的入方向拒绝源IP为192.168.1.0/24的流量为例）：

1. 创建ACL：定义需要匹配的流量。

   bash

   [H3C] acl number 2000 [H3C-acl-basic-2000] rule deny source 192.168.1.0 0.0.0.255 [H3C-acl-basic-2000] quit

2. 创建流分类：将ACL关联到一个流分类中。

   bash

   [H3C] traffic classifier c1 operator and [H3C-classifier-c1] if-match acl 2000 [H3C-classifier-c1] quit

3. 创建流行为：定义对匹配到的流量执行的动作（这里是丢弃）。

   bash

   [H3C] traffic behavior b1 [H3C-behavior-b1] filter deny [H3C-behavior-b1] quit

   注意：在更早的版本中，可能使用 deny 或 permit 命令，请以设备实际支持的命令为准。

4. 创建QoS策略：将流分类和流行为绑定。

   bash

   [H3C] qos policy p1 [H3C-qospolicy-p1] classifier c1 behavior b1 [H3C-qospolicy-p1] quit

5. 应用QoS策略：在目标接口的入方向或出方向应用该策略。

   bash

   [H3C] interface GigabitEthernet1/0/1 [H3C-GigabitEthernet1/0/1] qos apply policy p1 inbound [H3C-GigabitEthernet1/0/1] quit

📌 方法二：升级软件版本（根治）

部分S5500交换机在升级到R2208及之后版本后，会原生支持 packet-filter 命令。

• 操作：访问H3C官网，查找并下载适用于你设备型号的最新软件版本进行升级。

• 优点：升级后可以直接在接口视图下使用 packet-filter 命令，配置更直观。

• 风险：升级操作有风险，请在业务低峰期进行，并确保有回退方案。

一、先说明你找不到 packet-filter 的原因
版本差异：早期 S5500-SI/EI 老固件确实支持 packet-filter；部分精简固件 / 受版本限制，无法直接在接口 / 全局敲 packet-filter，此时必须采用 QoS 流策略（traffic classifier+behavior+policy） 绑定 ACL 实现过滤，这是通用兼容方案。
华为交换机用 traffic-filter，H3C 原生包过滤是 packet-filter，不要混淆厂商命令。
S5500 存在两种 ACL 生效方式：
方式 1（原生包过滤）：packet-filter（部分机型可用）
方式 2（全版本通用）：QoS 流策略绑定 ACL（所有 S5500 必支持，解决找不到 packet-filter 的场景）
二、ACL 基础配置（不分机型通用）
1. ACL 分类与编号范围
表格
ACL 类型 编号区间 匹配维度
基本 ACL 2000~2999 仅源 IP
高级 ACL 3000~3999 源 IP / 目的 IP / 协议 / 端口 / TCP 标记
二层 MAC ACL 4000~4999 源 MAC、目的 MAC、以太网类型
2. 配置示例（高级 ACL 3000，禁止 192.168.1.0/24 访问服务器 10.0.0.10）
bash
system-view
# 创建高级ACL
acl advanced 3000
# 拒绝网段访问服务器
rule 5 deny ip source 192.168.1.0 0.0.0.255 destination 10.0.0.10 0
# 放行其余所有流量（ACL末尾默认隐式deny all，必须加放行规则）
rule 10 permit ip
quit
rule 数字越小，优先级越高；0.0.0.255 是反掩码，对应 /24 网段。
可选：基于时间段控制
bash
# 定义时间段：周一至周五 9:00-18:00
time-range worktime 09:00 to 18:00 working-day
acl advanced 3000
rule 5 deny ip source 192.168.1.0 0.0.0.255 destination 10.0.0.10 0 time-range worktime
rule 10 permit ip
三、ACL 两种应用方式（重点：无 packet-filter 就用方式 2）
方式 1：原生 packet-filter 应用（能敲命令时使用）
① 接口应用 ACL（最常用，物理接口 / VLANIF 三层接口均可）
bash
# 进入物理接口
interface GigabitEthernet 1/0/1
# 入方向过滤进入端口的流量
packet-filter 3000 inbound
# 出方向过滤从端口发出的流量
packet-filter 3000 outbound
quit

# 三层VLANIF接口过滤（仅过滤三层转发流量，二层同VLAN互访不受限制）
interface Vlan-interface 10
packet-filter 3000 inbound
② 全局全局 ACL 过滤（整机所有接口生效）
bash
system-view
# 全局入方向所有流量匹配ACL3000
packet-filter 3000 global inbound
# 全局出方向
packet-filter 3000 global outbound
方式 2：QoS 流策略部署（✅ 解决找不到 packet-filter，全 S5500 兼容）
原理：流量分类绑定 ACL → 行为定义丢弃 / 放行 → 策略绑定分类 + 行为 → 在接口 / 全局下发策略。
完整配置步骤
bash
system-view
# 1. 流量分类：绑定ACL 3000
traffic classifier ACL3000 operator and
if-match acl 3000
quit

# 2. 定义流量行为：匹配ACL拒绝的流量直接丢弃
traffic behavior DENY_ACTION
filter deny
quit

# 3. 创建QoS策略，关联分类与行为
qos policy POLICY_ACL
classifier ACL3000 behavior DENY_ACTION
quit
场景 A：接口下发策略（接口生效 ACL）
bash
# 物理接口应用
interface GigabitEthernet 1/0/1
qos apply policy POLICY_ACL inbound

# 三层VLANIF接口应用
interface Vlan-interface 10
qos apply policy POLICY_ACL inbound
场景 B：全局下发策略（整机所有端口生效，等同于全局 packet-filter）
bash
system-view
qos apply policy POLICY_ACL global inbound
补充：如果 ACL 里是 permit 放行，behavior 改为filter permit即可。
四、两种部署模式选型建议
能使用 packet-filter：优先用 packet-filter，配置简洁，专门做包过滤。
找不到 packet-filter 命令：一律使用 QoS 流策略方案，兼容性 100%。
内网隔离：ACL 应用在接入端口 inbound；内网访问服务器控制：应用在服务器上联接口 inbound；全网统一管控：全局下发策略。
五、排查与查看命令
bash
# 查看ACL规则
display acl all
# 查看接口包过滤配置
display packet-filter interface GigabitEthernet 1/0/1
# 查看QoS策略部署情况
display qos policy interface GigabitEthernet 1/0/1
display qos policy global
# 查看ACL匹配计数
display acl 3000
六、常见踩坑说明
ACL 末尾自带 隐式 deny any，所有 ACL 必须最后写 rule permit ip 放行正常流量，否则全网断网。
VLANIF 接口应用 ACL 仅管控跨 VLAN 三层转发流量，同 VLAN 二层互访不会被 VLANIF 的 ACL 拦截。
流策略模式下，同一个接口同一方向只能绑定 1 条 qos policy，多条 ACL 需要在同一个 classifier 里叠加 if-match acl。