加入以下放通給local 的acl packet-filter就解決了 #放通trust区域到local区域，如果不放通，trust区域终端访问不了设备上的地址 zone-pair security source trust destination local packet-filter 3500 #放通Local区域到其他区域 //如果不放通那么设备上就ping不同到任何区域的终端地址 zone-pair security source Local destination Any packet-filter 3500 #如果设备上多个端口加入同一个安全域，那么还需要加一条下面命令，否则同一个端口下面的终端之间是不能互通的。 security-zone intra-zone default permit