交换机直接用下面的就可以 acl number 3000 rule permit ip source 1.1.1.1 0 destination 2.2.2.2 0 acl number 2000 rule permit ip source 1.1.1.1 0 acl 2000-3000 只能定义源 acl 3000 及以上可以定义源和目标 上面是配置实例 permit是允许 deny是拒绝 定义之后到接口或端口去下发。 Packet in/out 2000 路由器的话略有不同 你要先 fiirwall enable 全局使能防火墙 定义ACL 同上面的方法定义ACL 接口下发：firewall packet in/out 3000

标准acl: acl b 2000 …… 扩展acl: acl ad 3000 ip sou … 绑定到端口:pack …out/in

------------------------------------------------------

基本ACL配置（2000-2999） 1．进入2000号的基本访问控制列表视图 [H3C-GigabitEthernet1/0/1] acl number 2000 2．定义访问规则过滤10.1.1.2主机发出的报文 [H3C-acl-basic-2000] rule 1 deny source 10.1.1.2 0 time-range Huawei 3．在接口上应用2000号ACL [H3C-acl-basic-2000] interface GigabitEthernet1/0/1 [H3C-GigabitEthernet1/0/1] packet-filter inbound ip-group 2000 [H3C-GigabitEthernet1/0/1] quit 高级ACL配置（3000-3999） 1．进入3000号的高级访问控制列表视图 [H3C] acl number 3000 2．定义访问规则禁止源10.1.2.0与源10.1.1.0之间互访 [H3C-acl-adv-3000]rule 1 deny ip source 10.1.2.0 0.0.0.255 destination 10.1.1.0 0.0.0.255 3．定义访问规则禁止 在上班时间8:00至18:00访问工资查询服务器（129.110.1.2） [H3C-acl-adv-3000] rule 2 deny ip source any destination 129.110.1.2 0.0.0.0 time-range Huawei [H3C-acl-adv-3000] quit 4．在接口上用3000号ACL [H3C-acl-adv-3000] interface GigabitEthernet1/0/2 [H3C-GigabitEthernet1/0/2] packet-filter inbound ip-group 3000 二层ACL配置（4000-4999） 1．进入4000号的二层访问控制列表视图 [H3C] acl number 4000 2．定义访问规则过滤源MAC为00e0-fc01-0101的报文 [H3C-acl-ethernetframe-4000] rule 1 deny source 00e0-fc01-0101 ffff-ffff-ffff time-range Huawei 3．在接口上应用4000号ACL [H3C-acl-ethernetframe-4000] interface GigabitEthernet1/0/4 [H3C-GigabitEthernet1/0/4] packet-filter inbound link-group 4000