说实话我刚接触华为数通的时候也干过一件特别蠢的事把PC和服务器规划在同一个子网里然后费尽心思在VLANIF上写ACL想控制谁可以访问服务器谁不能访问。结果抓包抓了一个下午ACL一条都没命中规则就像在空气里生效一样。后来才彻底搞明白同一个网段内的互访流量本质上就是二层转发压根不会经过VLANIF这个三层口你把ACL贴在VLANIF上等于把保安安排在一间根本没人经过的房间里。这篇文章就专门说说华为数通里“同网段互访”这个场景下Hybrid接口和ACL到底该怎么配合。我会把为什么会配错、正确怎么做、华为命令行长什么样、以及我在现场踩过哪些坑一次性讲清楚。适合正在学HCIA/HCIP的朋友也适合被这类问题折磨过的运维兄弟们参考。1. 为什么“同网段互访”的ACL总是不生效1.1 经典的“三层ACL思维”陷阱很多人在学校或者培训课上接触ACL的时候用的拓扑几乎都是“不同VLAN、不同网段、通过VLANIF三层转发”所以下意识觉得ACL就是绑在接口上、用来控制跨网段访问的。比如在VLANIF 10上挂一个ACL限制192.168.1.0/24访问192.168.2.0/24这个思路本身没错因为跨网段流量确实会经过三层接口。但一旦把场景换成“同一个网段里的PC1要访问同一个网段里的服务器”很多人还是条件反射式地往VLANIF上挂ACL这就出大问题了。同网段互通走的是二层交换数据帧在交换机内部直接从一个端口转发到另一个端口根本不送上CPU也不做三层路由查询自然也就不会去匹配VLANIF上绑定的ACL规则。规则建了但永远不会被触发这就是最常见的配置错误。1.2 二层转发路径与三层路由路径的本质区别回过头来看一下数据包到底是怎么走的。假设PC1的IP是192.168.1.1服务器是192.168.1.100子网掩码都是255.255.255.0它们又在同一个VLAN里。PC1想访问服务器它第一步会去查自己的路由表发现目标地址192.168.1.100和自己在同一个网段于是直接发ARP广播找服务器的MAC。拿到MAC后PC1会封装一个以太网帧目的MAC是服务器的MAC源MAC是自己的MAC然后把这个帧发给交换机。交换机拿到这个帧后只做二层查表根据目的MAC在MAC地址表里找到对应端口然后把帧从那个端口转发出去完事。这中间没有任何三层处理ACL如果挂在一个三层接口上根本不会被匹配。这也是为什么有些人在访问控制配置完成后检查ACL命中计数发现count始终是0。不是ACL写错了而是你把ACL放错了地方比如放到VLANIF、放到loopback口或者放到一个这三层接口下根本就不会有流量经过的位置。1.3 华为接口类型里Hybrid为何总被忽略华为交换机上常见的接口类型有三种Access、Trunk、Hybrid。Access口基本只属于一个VLANTrunk口常用于交换机之间透传多个带标签的VLAN而Hybrid最灵活它既可以像Access一样把某个VLAN的帧剥成无标签也可以像Trunk一样承载多个带标签的VLAN还能同一个接口下同时放行“无标签的多个VLAN”和“带标签的多个VLAN”。但实际项目里Hybrid的使用率反而不如Access和Trunk高很多网络工程师习惯了Access接电脑、Trunk接交换机遇到需要同网段控制访问的时候第一反应还是“把ACL挂在VLANIF上”完全没想到可以利用Hybrid接口可以灵活进出标签的特性配合ACL做到精确过滤。说白了Hybrid并不是一个花哨的摆设在“同网段二层互访”这种场景下你真正能把ACL生效的位置往往就在这些二层物理接口上而Hybrid的PVID、untagged、tagged属性会直接影响ACL在接口上是“看得见”还是“看不见”流量。2. 正确姿势把ACL“贴”到数据真正经过的地方2.1 设计思路在物理端口上应用traffic-filter既然同网段互访的流量只在二层物理接口之间穿梭那ACL就该贴在物理接口上。华为交换机的做法是在接口视图下调用traffic-filter通过入方向或出方向的流量过滤来匹配经过这个端口的数据帧。比如我现在要做这样一个控制服务器在192.168.1.100PC1的IP是192.168.1.1PC2的IP是192.168.1.2三者都在同一个VLAN里。客户要求只有PC1能访问服务器PC2不允许访问服务器但PC2访问外网和其他机器不受影响。正确的思路就是在连接服务器的那个交换机端口上做入方向流量过滤来自PC2、发往服务器的IP报文全部丢弃其余报文正常放行。因为PC2访问服务器时最终数据帧是从服务器端口进入交换机的在这个端口上做入方向过滤正好可以卡住所有真正想要访问服务器的流量。这个思路并不复杂但实际工作中很少有人往这个方向想原因就在于大家已经被“VLANIF挂ACL”的惯性思维锁死了。2.2 入方向还是出方向千万别搞反在接口上做traffic-filter方向和语义非常关键也是现场最容易翻车的点。华为接口上的traffic-filter inbound是指对这个接口接收到的流量进行过滤。拿上面的例子来说如果在服务器所接的端口G0/0/3上做inbound过滤那么所有从PC1、PC2或者其他设备送到服务器端口的数据包一进交换机就会被ACL检查。PC2访问服务器的流量源IP是192.168.1.2目的IP是192.168.1.100一匹配就直接丢弃这个效果是最直接的。如果反过来做成outbound语义就变成了检查从这个端口发出去的流量。也就是说所有从交换机发往服务器的报文都会经过检查。这样也能实现“服务器被访问”的控制但你需要注意方向判断非常容易乱尤其在有多台设备同时访问服务器的场景下越搞越头晕。我的经验是控制“谁能访问某台服务器”首选服务器端口的inbound方向控制“谁能从某个终端出去访问其他主机”首选终端端口的inbound方向。还有一点要提醒接口上的inbound和outbound过滤会叠加。也就是说如果入方向和出方向都配置了ACL两个方向的ACL都会被检查不是“谁后配谁生效”而是两个方向同时起作用。别到时候配了半天发现两条方向都生效了怀疑自己哪里写错。2.3 为什么这里强调“Hybrid ACL 配合”可能有人会问既然Access口也能用ACL为什么非得扯上Hybrid因为华为交换机的默认端口类型本来就是Hybrid很多人在实际配置的时候虽然没有显式改端口类型但端口其实已经是Hybrid了。Hybrid的PVID和untagged参数如果配得不对就会直接影响ACL的匹配效果。举个例子你新建了一个VLAN 10然后把端口默认VLAN设成了10但没有把VLAN 10加入到untagged列表里。此时如果终端发过来的是无标签帧交换机会根据PVID把帧划分到VLAN 10但在某些转发路径上帧可能是带着VLAN Tag出去的。如果你在接口上挂了一个基于二层MAC或VLAN ID来匹配的ACL那ACL能不能正确命中就得看这个帧到底带没带标签。用Hybrid时你可以非常清楚地指定哪些VLAN的帧从哪个口出去时剥标签、哪些保留标签这样ACL的匹配条件和你对数据帧的实际预期才是一致的。如果只图省事把端口改成Access也能用ACL控制同一VLAN内的互访但Hybrid能覆盖更多复杂场景。特别是当你需要在一个接口上同时允许多个VLAN的终端访问一台服务器同时对其中某些IP做精细化限制时Access口就不够灵活了而Hybrid却可以游刃有余。3. 华为数通实战配置Hybrid ACL 控制同网段互访3.1 拓扑与IP规划我们用一个非常经典的测试环境来演示设备可以是真机也可以是ENSP里的S5700交换机。设备接口IP地址所属VLAN说明PC1Eth0/0/1192.168.1.1/24VLAN 10允许访问服务器PC2Eth0/0/2192.168.1.2/24VLAN 10禁止访问服务器ServerEth0/0/3192.168.1.100/24VLAN 10被保护对象上行网关GE0/0/24192.168.1.254/24VLAN 10出口路由器三台终端和服务器IP都在192.168.1.0/24这个网段里对应VLAN也是同一个VLAN 10这是真正意义上的同网段二层互访。我们要做的核心控制是PC1能访问服务器PC2访问服务器时丢包但PC2去访问PC1、去访问外网都正常。3.2 交换机Hybrid接口基础配置先把交换机基础环境建起来。在华为设备上VLAN和接口配置如下Huawei system-view [Huawei] sysname SW1 [SW1] vlan batch 10 [SW1] interface GigabitEthernet0/0/1 [SW1-GigabitEthernet0/0/1] port link-type hybrid [SW1-GigabitEthernet0/0/1] port hybrid pvid vlan 10 [SW1-GigabitEthernet0/0/1] port hybrid untagged vlan 10 [SW1-GigabitEthernet0/0/1] quit这里有两个关键点。一是port hybrid pvid vlan 10它决定收到无标签帧时把这个帧划分到哪个VLAN里。如果不设置默认PVID是VLAN 1终端发过来的无标签帧会被统统划进VLAN 1那你后面建VLAN 10就白建了。二是port hybrid untagged vlan 10它告诉交换机从该接口出去的VLAN 10帧不携带标签。终端网卡一般不认识带标签的帧所以必须剥掉否则终端会直接丢弃。同样的配置给另外三个端口都做一遍[SW1] interface GigabitEthernet0/0/2 [SW1-GigabitEthernet0/0/2] port link-type hybrid [SW1-GigabitEthernet0/0/2] port hybrid pvid vlan 10 [SW1-GigabitEthernet0/0/2] port hybrid untagged vlan 10 [SW1-GigabitEthernet0/0/2] quit [SW1] interface GigabitEthernet0/0/3 [SW1-GigabitEthernet0/0/3] port link-type hybrid [SW1-GigabitEthernet0/0/3] port hybrid pvid vlan 10 [SW1-GigabitEthernet0/0/3] port hybrid untagged vlan 10 [SW1-GigabitEthernet0/0/3] quit [SW1] interface GigabitEthernet0/0/24 [SW1-GigabitEthernet0/0/24] port link-type hybrid [SW1-GigabitEthernet0/0/24] port hybrid pvid vlan 10 [SW1-GigabitEthernet0/0/24] port hybrid untagged vlan 10 [SW1-GigabitEthernet0/0/24] quit配置完成后可以用一条命令检查一下端口状态[SW1] display port vlan正常情况下四个端口都会显示PVID为10并且untagged VLAN也包含10。如果哪一个端口没配上后面终端之间必然通信异常ACL再对也白搭。3.3 高级ACL配置与调用接下来是核心部分配置ACL并把它挂到服务器端口上。我使用高级ACL高级ACL的编号范围是3000到3999。规则要特别注意顺序华为ACL默认是从第一条开始向下匹配没被匹配到的就继续走下一条。所以我们把需要阻断的语句放在前面放行语句放在后面最后再用一条permit ip兜底防止把关键流量误伤。[SW1] acl number 3001 [SW1-acl-adv-3001] rule 5 deny ip source 192.168.1.2 0 destination 192.168.1.100 0 [SW1-acl-adv-3001] rule 10 permit ip [SW1-acl-adv-3001] quit这里source 192.168.1.2 0后面的0表示通配符掩码为0也就是严格匹配主机地址一点都不能差。destination 192.168.1.100 0同理严格匹配服务器地址。ACL建好后到服务器所连接的端口G0/0/3上以入方向调用[SW1] interface GigabitEthernet0/0/3 [SW1-GigabitEthernet0/0/3] traffic-filter inbound acl 3001 [SW1-GigabitEthernet0/0/3] quit这个命令就相当于在服务器的门口放了一个保安所有想进服务器的数据帧只要是从这个端口进入交换机的都必须接受检查。如果我想控制得更细比如只限制PC2通过ICMP访问服务器但允许PC2用远程桌面或数据库端口访问服务器就可以把高级ACL写得更细[SW1] acl number 3002 [SW1-acl-adv-3002] rule 5 deny icmp source 192.168.1.2 0 destination 192.168.1.100 0 [SW1-acl-adv-3002] rule 10 permit tcp source 192.168.1.2 0 destination 192.168.1.100 0 destination-port eq 3389 [SW1-acl-adv-3002] rule 15 permit ip [SW1-acl-adv-3002] quit这种五元组控制在实际项目中非常实用因为客户有时候不是一刀切地说“禁止访问”而是“你可以ping通它但你不能远程桌面连它”这类精细化需求。3.4 验证与实测效果配置做完后我先在PC1上ping服务器C:\Users\PC1 ping 192.168.1.100正常情况下PC1可以ping通服务器因为ACL只拒绝了源IP为192.168.1.2的流量PC1不在阻断范围内。接着在PC2上ping服务器C:\Users\PC2 ping 192.168.1.100这次会直接超时因为ICMP请求报文一到交换机的G0/0/3端口就被ACL规则匹配并丢弃。如果需要确认ACL是否真的在生效可以查看ACL命中计数[SW1] display acl 3001输出里会显示每条规则的Matched计数。如果PC2确实ping过服务器那条deny规则的计数会持续增加。这是排查配置是否生效最直接的手段比看终端丢包还要直观。再看一下接口上的流量过滤调用情况[SW1] display traffic-filter applied-record这个命令会清晰地告诉你哪个ACL被应用到了哪个接口、哪个方向适合在多人维护的交换机上快速确认配置状态。4. 99%的人都会在这里“配错”的细节清单4.1 把ACL挂在VLANIF上等于白配前面反复强调同网段二层互访的流量不经过VLANIF。所以如果你在一个VLANIF下写了traffic-filter inbound acl xxx大概率是没有任何效果的。这个错误在现场出现频率极高我甚至见过一个项目里工程师在同一台交换机上把ACL同时挂到了VLANIF和物理口结果排查了三个小时才发现真正生效的是物理口上那条VLANIF那条从头到尾就没起过作用。正确的思路是同网段控制老老实实放到物理接口或者VLAN视图下的traffic-filter里跨网段控制放到VLANIF或三层接口上。4.2 方向搞混该inbound写成outbound再强调一次入站和出站的区别。traffic-filter inbound过滤的是从接口进入交换机的流量traffic-filter outbound过滤的是从交换机从接口发出去的流量。以服务器端口G0/0/3为例如果你想控制“别的机器访问服务器”用inbound方向最直观因为访问流量最终是从这个接口进入交换机的。如果你写成outbound那就变成了检查从服务器端口出去的流量也就是服务器对外发起的访问那和你想要的控制完全是两码事。我曾经在一个客户现场见过这样的配置工程师在服务器端口上做了outbound过滤结果外面的终端无论怎么访问服务器都正常反而是服务器主动去ping别的机器时丢包当时所有人都以为是网线问题最后看了一眼traffic-filter applied-record才发现方向搞反了。4.3 Hybrid的PVID和untagged没配对ACL“看不见”流量华为交换机的端口默认是Hybrid很多人建了VLAN但没把端口的PVID改成这个VLAN导致终端发过来的无标签帧被划到了VLAN 1里。这时候ACL配置却是在VLAN 10的场景下设计的虽然L3报文匹配可能不一定受VLAN影响但一旦数据帧在交换机内部被错误划分到别的VLAN整个转发行为都会变得诡异可能一会儿通一会儿不通ACL的计数要么永远为0要么莫名其妙地把不该挡的流量也挡了。配置Hybrid口时请务必检查三件事PVID是否已经改成了目标VLANuntagged列表是否包含了目标VLAN上行口和下行口的VLAN划分是否一致用display port vlan命令看一眼几秒钟就能发现问题。4.4 ACL规则顺序与隐含拒绝别把办公网配成“全网瘫痪”华为ACL是顺序匹配的规则编号越小越靠前。写ACL时一定要把最精确的deny规则放在前面permit放后面。还有一个特别容易踩的坑高级ACL默认只匹配IP报文。如果你用rule deny ip写了阻断规则然后没有加rule permit ip兜底那么其他所有未匹配到的IP报文都会被放行这是华为ACL的默认行为和思科的“隐含拒绝所有”不一样。但如果你用的是二层ACL也就是编号4000到4999的ACL情况就不一样了。二层ACL匹配的是MAC地址、以太网类型这些字段一旦你写rule deny source-mac xxxx后面如果不记得放行ARP报文PC可能会因为学不到网关MAC地址而直接“失联”。解决办法是在ACL里显式加一条放行ARP的规则比如[SW1] acl number 4001 [SW1-acl-L2-4001] rule 5 permit ethernet-type arp [SW1-acl-L2-4001] rule 10 deny source-mac 00e0-fc00-0001 dest-mac 00e0-fc00-0002 [SW1-acl-L2-4001] rule 20 permit4.5 只写“禁止访问服务器”把DNS、网关等关键流量也误伤同网段互访场景里终端除了要访问服务器还要访问外网、要解析DNS。如果你在接入端口上做过于宽泛的过滤很容易把正常业务也挡掉。比如你有两个DHCP地址池网关在192.168.1.254PC2被ACL禁止访问服务器后如果ACL忘了放行到网关的流量PC2可能连外网也上不了。解决方法是先梳理清楚这台PC需要访问哪些目标把合法流量在前面的permit规则中显式列出来再加deny最后加兜底permit或deny按需设计。我通常会在配置ACL之前画一个简单的矩阵列出源IP目的IP协议端口动作放置位置和方向画完矩阵再写规则基本不会乱。5. 扩展双向隔离、多VLAN联动与替代方案对比5.1 同网段双向隔离怎么配上面例子只做了单向控制PC2不能访问服务器但服务器主动访问PC2是不受影响的。如果客户要求双向隔离比如PC1和PC2之间不能互相访问无论谁先发起都不行那就要在双方的接入端口上同时做入向过滤。假设PC1在G0/0/1PC2在G0/0/2。先配一条ACL限制源IP为PC1、目标IP为PC2的流量[SW1] acl number 3003 [SW1-acl-adv-3003] rule 5 deny ip source 192.168.1.1 0 destination 192.168.1.2 0 [SW1-acl-adv-3003] rule 10 permit ip [SW1-acl-adv-3003] quit [SW1] interface GigabitEthernet0/0/2 [SW1-GigabitEthernet0/0/2] traffic-filter inbound acl 3003再配一条ACL限制源IP为PC2、目标IP为PC1的流量[SW1] acl number 3004 [SW1-acl-adv-3004] rule 5 deny ip source 192.168.1.2 0 destination 192.168.1.1 0 [SW1-acl-adv-3004] rule 10 permit ip [SW1-acl-adv-3004] quit [SW1] interface GigabitEthernet0/0/1 [SW1-GigabitEthernet0/0/1] traffic-filter inbound acl 3004这样PC1和PC2之间的双向访问都被禁止了但PC1和PC2访问其他设备完全不受影响。注意别漏掉ARP如果同VLAN内两台机器需要互通但被双向ACL阻断了IP流量ARP却仍然能通这时候终端会发现“邻居MAC可学到但ping不通”这种半通状态比全不通还难排查。5.2 和端口隔离、MUX VLAN的对比同网段互访控制除了ACL华为交换机上还有端口隔离和MUX VLAN这两种常见手段。手段隔离粒度能否按IP/协议细分配置复杂度适用场景端口隔离端口级同组端口互不相通不能低同一VLAN内彻底隔离主机MUX VLAN主VLAN与从VLAN之间的复用与隔离较弱中一台服务器多客户接入的隔离Hybrid ACL可基于源IP、目的IP、协议、端口精确控制能中精细化访问控制、等保需求如果你的需求只是“同VLAN内的所有PC之间都不许互访但都能访问上联网关”用端口隔离最省事。但如果你需要“A能访问BC不能访问BD只能访问B的80端口”端口隔离就无能为力必须用Hybrid加ACL来做。MUX VLAN在服务器多租户接入场景里很有用主VLAN里的服务器可以被多个从VLAN访问从VLAN之间的主机默认隔离。它的缺点是策略不够灵活想按IP放行某些特定主机时配置会绕一些。如果你的客户需求里包含“同一个网段下既要有部分隔离又要允许某些特定IP互通”那ACL方案一定比MUX VLAN顺手。5.3 割接建议先在ENSP模拟再上真机无论你是学习还是做现网割接我都建议先把整套配置在ENSP里模拟一遍。ENSP里的S5700、CE6800之类的设备型号对Hybrid、ACL、traffic-filter的支持和真机非常接近足够用来验证思路。我自己的习惯是先搭一个最小拓扑把PC1、PC2、Server和一台交换机组起来。然后用命令行把VLAN、Hybrid口、ACL全部配好再做ping测试和抓包验证。最后用display acl看命中计数确认预期效果。全部验证通过后再把ACL和接口配置翻译成脚本拿到现场去执行。真机上有一点和ENSP不同就是ACL的生效可能会有硬件表项下发过程配置完成后如果想立刻生效可能需要清一下对应接口的流量表项。大多数情况下华为交换机配置ACL后是即时生效的但如果遇到配置下发后规则没生效的情况先检查一下系统日志里有没有ACL资源不足的提示再考虑重启或调整ACL条目顺序。最后再说点我的体会我在实际项目里配置这类同网段互访控制时最大的感触是ACL本身并不难难的是搞清楚流量到底走哪条路。很多问题排查到最后往往不是ACL规则写错了而是把ACL放到了流量根本不经过的位置。你只有把“二层转发”“VLANIF三层访问”“Hybrid接口的标签处理”这一整条链路想明白才能做到人肉抓包级精确预判哪个包会去哪哪个包会在哪被拦下来。另外也建议你在交付配完之后务必保留一份ACL命中计数的截图或者把display acl的输出存档。我遇到过不少次过了几个月客户反馈“服务器被访问延迟变高”查到最后发现是后来同事调整ACL时把规则顺序改了原本的deny被提前匹配导致部分流量被丢弃。没有基线记录的话这种问题排查起来非常痛苦。下次再有人说“同一个网段的互访不能用ACL控制”的时候你可以把这篇文章甩给他然后告诉他不是不能用是99%的人把它配在了ACL永远看不见的地方。把ACL贴到物理接口入口用对Hybrid的PVID和untagged同网段互访的精细化控制其实一点也不玄乎。