外网用户直奔财务服务器？华为高级ACL按源网段把门

本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。

内网里放台财务服务器，访问权限的口子就开不得太大：内网该访问的部门要通，外网用户必须进不来。华为高级ACL配上MQC流策略，可以按源网段和目的地址把这道门管到只认指定部门，其余一律拒绝。

场景与思路

官方场景是这么设的：公司通过一台设备互连各部门，要求只允许内网用户访问财务服务器，外网用户不允许。配置思路三步：配高级ACL做匹配条件；配流分类与流行为；配流策略并应用到通往服务器的出接口。

网关底座：VLAN加VLANIF

先把VLAN和网关立起来（各部门网段10.164.1.0/24、10.164.2.0/24、10.164.3.0/24，财务服务器在VLAN 100）：

<HUAWEI> system-view
[HUAWEI] sysname Switch
[Switch] vlan batch 10 20 30 100
[Switch] interface 10GE 0/0/1
[Switch-10GE0/0/1] port link-type trunk
[Switch-10GE0/0/1] port trunk allow-pass vlan 10
[Switch-10GE0/0/1] quit
[Switch] interface vlanif 10
[Switch-Vlanif10] ip address 10.164.1.1 255.255.255.0
[Switch-Vlanif10] quit

ACL 3002：三条permit一条deny

核心是高级ACL 3002：三条permit放行内网三个部门网段访问服务器，一条deny兜底拒绝其余所有源（也就是外网）访问服务器：

[Switch] acl 3002
[Switch-acl-adv-3002] rule permit ip source 10.164.1.0 0.0.0.255 destination 10.164.4.4 0.0.0.0
[Switch-acl-adv-3002] rule permit ip source 10.164.2.0 0.0.0.255 destination 10.164.4.4 0.0.0.0
[Switch-acl-adv-3002] rule permit ip source 10.164.3.0 0.0.0.255 destination 10.164.4.4 0.0.0.0
[Switch-acl-adv-3002] rule deny ip destination 10.164.4.4 0.0.0.0
[Switch-acl-adv-3002] quit

MQC把规则变成动作

接着用MQC把ACL变成实际动作。流分类匹配ACL 3002：

[Switch] traffic classifier c_network
[Switch-classifier-c_network] if-match acl 3002
[Switch-classifier-c_network] quit

流行为用缺省的permit（允许报文通过，不需额外配置）：

[Switch] traffic behavior b_network
[Switch-behavior-b_network] quit

流策略把两者关联起来：

[Switch] traffic policy p_network
[Switch-trafficpolicy-p_network] classifier c_network behavior b_network
[Switch-trafficpolicy-p_network] quit

应用位置决定成败

内外网访问服务器的流量都从10GE0/0/4出口流向服务器，所以在该接口出方向应用——命中的（permit）放行，没命中的（被ACL的deny规则处理）无法通过，外网用户自然被挡在外面：

[Switch] interface 10GE 0/0/4
[Switch-10GE0/0/4] traffic-policy p_network outbound
[Switch-10GE0/0/4] quit

验证两笔账

先看配置有没有立住：

[Switch] display acl 3002
 rule 5 permit ip source 10.164.1.0 0.0.0.255 destination 10.164.4.4 0 (0 times matched)
 rule 20 deny ip destination 10.164.4.4 0 (0 times matched)

[Switch] display traffic-policy applied-record
   p_network           10GE1/0/4(OUT)       1        success

再看行为对不对：总裁办公室、市场部和研发部均可以访问财务服务器，外网用户无法访问。顺带留意display acl输出里的times matched计数——跑一段时间业务后回来看，permit规则有计数说明内网放行在生效，deny规则计数快速增长则说明外网探测不少，门是真拦住了。

这套「ACL定规则、MQC做执行」的组合是华为数通设备上做访问控制的通用骨架，换场景只改规则内容。贵州诚鑫致达科技给客户做内网安全分区时，财务、人事这类敏感服务器的访问控制都用这套方式落地，欢迎搜索关注获取更多内网安全实操。

企业存储选型参考｜贵州诚鑫致达

做机房存储、虚拟化或监控归档，群晖机型参考：FS6400（全闪存阵列） · SA3610 · SA3410。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。重庆企业 NAS 存储、服务器运维与容灾备份方案。