技术干货华为交换机实战 2026-11-01 企业数据管家文：诚鑫技术团队本文由 AI 辅助生成，经人工审核后发布

封IP人家改个地址就绕过？华为按源MAC拦人钉在网卡层

本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。

管控内网某几台主机不许上互联网，惯用手法是封IP——但封IP有个天然漏洞：普通用户改个IP地址就绕过去了，封了192.168.1.50，改成192.168.1.88照常出网。IP是可变的，有一张身份证却很难换：网卡MAC地址。华为设备支持基于源MAC地址做访问控制，把限制钉在硬件地址这一层，改IP无效。

方案思路：先放行网关，再按MAC拦人

官方案例的需求很典型：限制指定主机访问互联网，但允许它们访问网关本身（比如内网服务器、打印服务）。实现上用的是MQC框架：ACL圈出去往网关网段的流量先放行，再按源MAC逐台匹配待管主机执行拒绝，两步组合完成精细控制。

先把基础网络搭起来

创建VLAN 10，接口做成trunk放行该VLAN，VLANIF10配网关地址：

[DeviceA] interface 10ge 0/0/1
[DeviceA-10GE0/0/1] portswitch
[DeviceA-10GE0/0/1] port link-type trunk
[DeviceA-10GE0/0/1] port trunk allow-pass vlan 10
[DeviceA-10GE0/0/1] quit
[DeviceA] interface vlanif 10
[DeviceA-Vlanif10] ip address 10.1.1.1 255.255.255.0

一条ACL圈出要放行的流量

高级ACL匹配目的地址为网关网段的流量——这条规则的作用是把访问网关的流量先圈出来放行，避免误伤：

[DeviceA] acl 3001
[DeviceA-acl4-advance-3001] rule 1 permit ip destination 10.1.1.0 0.0.0.255
[DeviceA-acl4-advance-3001] quit

流分类分两路

c1匹配上面的ACL，c2到c4逐台匹配受限主机的源MAC：

[DeviceA] traffic classifier c1 type and
[DeviceA-classifier-c1] if-match acl 3001
[DeviceA-classifier-c1] quit

[DeviceA] traffic classifier c2 type and
[DeviceA-classifier-c2] if-match source-mac 00e0-fc0d-0001
[DeviceA-classifier-c2] quit

流行为一个permit一个deny，分别对应放行与拦截：

[DeviceA] traffic behavior b1
[DeviceA-behavior-b1] permit
[DeviceA-behavior-b1] quit

[DeviceA] traffic behavior b2
[DeviceA-behavior-b2] deny
[DeviceA-behavior-b2] quit

流策略绑定，顺序是关键

流策略里绑定分类与行为的对应关系，并注意precedence顺序：c1放行访问网段的流量（优先级5），三台受限主机的MAC分别绑定deny行为（优先级10、15、20）——顺序保证了先放行访问网关、再拦其余出网流量：

[DeviceA] traffic policy p1
[DeviceA-trafficpolicy-p1] classifier c1 behavior b1 precedence 5
[DeviceA-trafficpolicy-p1] classifier c2 behavior b2 precedence 10
[DeviceA-trafficpolicy-p1] classifier c3 behavior b2 precedence 15
[DeviceA-trafficpolicy-p1] classifier c4 behavior b2 precedence 20
[DeviceA-trafficpolicy-p1] quit

随后把流策略应用到网关接口入方向：

[DeviceA] interface vlanif 10
[DeviceA-Vlanif10] traffic-policy p1 inbound
[DeviceA-Vlanif10] quit

效果怎么验

执行display traffic classifier与display traffic policy逐项核对分类规则与绑定关系；受限主机改成任意IP都无法出网，访问网关网段不受影响；未列入MAC名单的主机上网一切如常。控制粒度到网卡，换IP、换系统账户都无效——只有换网卡才能绕开，而那已经是资产管理问题而非网络问题了。

按MAC管控适合列黑名单的场景，名单长的网络更适合反过来用准入认证做白名单，两者按规模取舍，选型对了管控才不返工。欢迎搜索关注贵州诚鑫致达科技，获取更多办公网准入管控的实操经验。

企业存储选型参考｜贵州诚鑫致达

用 DS918+/DS920+/DS1517+/DS1817+ 等经典机型的老用户，群晖机型参考：可平滑升级到 DS1522+ · DS1823xs+ · DS2422+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。凯里（黔东南）、都匀（黔南）：企业存储方案与 IT 运维。