问

终端接入限制

19小时前提问

0关注
0收藏，43浏览

一个小白

一个小白一段

粉丝：0人关注：0人

问题描述：

组网：核心S7306X-G--US328S--接入终端

网关都配置在核心上vlan16为互联vlan，vlan12为业务vlan，互联接口配置为trunk，放通对应的vlan

在核心上配置acl 4999过滤mac地址，允许合法mac接入网络，拒绝其他非法mac，应用在核心的互联接口in方向能生效吗

4 个回答

按时间按赞数

IT小工

IT小工九段

粉丝：48人关注：2人

在核心 S7306X‑G 的 Trunk 互联接口 inbound 应用 ACL 4999 二层 MAC‑ACL，只能过滤跨设备上送到核心 CPU / 三层转发的报文； ⚠️不能拦截 US328S 接入交换机本地同 VLAN 二层转发流量！

终端之间在 US328S 内部 VLAN12 二层互访，报文完全在 US328S 交换芯片完成转发，不会上传到核心 S7306X‑G，核心 Trunk 口的 packet‑filter 根本碰不到这些帧，非法 MAC 终端依然可以同 VLAN 内部互相通信H3C。
只有流量需要跨 VLAN（走核心三层网关）、访问核心本身、去往别的交换机，报文打上 tag 经过 Trunk 上传核心，此时 ACL4999 才会生效拦截。
命令注意点：4000‑4999 是二层 ACL，应用时建议带上关键字mac：

interface GigabitEthernet1/0/x
 packet‑filter mac 4999 inbound

如果不写mac，设备默认当成 IPv4 ACL 解析，规则完全不匹配，配置看似正常实际无效H3C。

ACL4999 示例模板：

acl mac number 4999
 rule permit source‑mac xxxx‑xxxx‑xxxx ffff‑ffff‑ffff  #合法MAC，多条写多条
 rule deny source‑mac any

三种可行方案，按优先级

方案 1【最优，推荐】：在接入交换机 US328S 配置端口安全 port‑security

US328S 支持端口安全，在终端接入 Access 端口配置，从源头上限制端口只允许合法 MAC，非法 MAC 直接在接入端口丢弃，不会进入网络，不管二层同 VLAN 还是跨 VLAN 全部拦截H3C。

interface GigabitEthernet1/0/1  #接终端的access口
 port‑security enable
 port‑security mac‑address secure xxxx‑xxxx‑xxxx
 port‑security max‑mac‑count 1
 port‑security violation‑mode shutdown

缺点：终端分散，US328S 每个接入端口需要配置对应允许 MAC，MAC 变更需要改接入交换机。

方案 2：US328S 上开启MAC 认证

配合本地账号或者 iMC 服务器，终端必须 MAC 认证通过才能接入网络；适合终端数量多、MAC 会变动的场景。

方案 3：保留在核心 S7306X‑G 上做二层 ACL（折中，有缺陷）

只能管控跨 VLAN 三层转发流量，无法管控接入交换机内部同 VLAN 二层互访。

必须命令带上packet‑filter mac 4999 inbound；
业务 VLAN 内部，非法 MAC 终端依旧可以二层内网互访，只能阻止它跨 VLAN 访问其他网段。

容易踩坑要点

❌不要忘记mac关键字，否则二层 MAC ACL 当成 IP ACL，规则全部不命中；
核心 Trunk 口的二层 ACL 拦不住下联交换机本地二层转发流量，这是硬件转发逻辑限制，不是配置 BUG；
如果有多个接入交换机，每个接入上来的 Trunk 口都要应用相同 mac‑acl，只配一个互联口，其他接入交换机非法 MAC 不受管控。

排查验证命令

#查看接口报文过滤应用信息
display packet‑filter interface GigabitEthernet 1/0/x
#查看二层ACL匹配计数，确认是否命中规则
display acl mac 4999

暂无评论

zhiliao_Gixe

zhiliao_Gixe 九段

粉丝：19人关注：9人

在核心S7306X-G的互联接口in方向应用ACL 4999过滤MAC地址，可以生效，但需注意以下几点：
1. ACL类型：过滤MAC地址需使用二层ACL（编号4000-4999），你的4999符合要求。
2. 应用位置：在核心与US328S互联的物理接口或聚合口in方向应用，能过滤从接入侧上来的流量。
3. 匹配字段：确保ACL规则中匹配的是源MAC地址，例如：

acl mac 4999
rule 0 permit source-mac 0000-1111-2222 ffff-ffff-ffff
rule 5 deny

4. 生效前提：互联接口为trunk且放通vlan 12，ACL在in方向对进入核心的所有二层帧生效，包括业务vlan流量。
排查建议：
确认ACL已应用：display packet-filter interface GigabitEthernet x/x/x inbound
测试合法MAC可通、非法MAC被拒：display acl 4999 查看命中计数。
若未生效，检查接口是否配置了packet-filter mac 4999 inbound，以及ACL规则顺序（先permit后deny）。
注意：若US328S也做了本地转发或终端网关不在核心，需在更靠近终端的端口过滤。