就想封一台不停全网的机器？简化流策略加时间段精准拦
本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。
网管常遇到的小麻烦：查出来某台机器中毒了或者被人乱用，想把它从网络里单独摘出来，又不想为此兴师动众动整网策略。华为交换机的简化流策略正好派上用场——不用搭流分类、流行为那一整套框架，接口下一条traffic-filter直接挂ACL，按源地址精准拦。再配上周期的生效时间段，上班时间封住、下班自动放行，也不用惦记着回头解封。
组网不复杂：用户侧接口和上联外网的接口都划进同一个VLAN，网关就落在交换机的VLANIF上，所有去往外网的流量都从上联口走——这正是拦截点的天然位置。先建VLAN、配好网关地址：
[Switch] interface vlanif 10
[Switch-Vlanif10] ip address 192.168.1.1 24
[Switch-Vlanif10] quit
接着定义生效时间段，工作日每天的八点半到十八点：
[Switch] time-range working_time 08:30 to 18:00 working-day
然后写ACL。对要封的地址逐条deny，并都挂上这个时间段：
[Switch] acl number 3001
[Switch-acl-adv-3001] rule deny ip source 192.168.1.10 0 time-range working_time
[Switch-acl-adv-3001] rule deny ip source 192.168.1.11 0 time-range working_time
[Switch-acl-adv-3001] rule deny ip source 192.168.1.12 0 time-range working_time
[Switch-acl-adv-3001] quit
三条规则对应三台要拦的主机，掩码写0就是精确匹配单个地址；时间段一到规则自动失活，其余地址和其余时段的流量完全不受影响。最终把ACL以报文过滤的方式应用到上联口GE1/0/1的入方向——所有出网流量都要过这道门，在这拦最省事：
[Switch] interface gigabitethernet 1/0/1
[Switch-GigabitEthernet1/0/1] traffic-filter inbound acl 3001
[Switch-GigabitEthernet1/0/1] quit
配置到此就收工了。验收用display traffic-applied接口看入方向实际生效的规则和动作：
[Switch] display traffic-applied interface gigabitethernet 1/0/1 inbound
-----------------------------------------------------------
ACL applied inbound interface GigabitEthernet1/0/1
ACL 3001
rule 5 deny ip source 192.168.1.10 0 time-range working_time (match-counter 0)
ACTIONS:
filter
-----------------------------------------------------------
每条规则的命中计数直接显示在回显里，封没封住一眼可见。工作时间段内向这几种源地址发包全部被丢弃，非工作时间则照常通行。相比完整的MQC流策略，简化流策略少了两层框架、一条命令即可生效，临时管控和分时段封禁这类轻量场景特别顺手；事后解封同样简单，删掉对应规则即可，其余配置一概不碰。日常运维处理单机封禁，这套打法值得留在工具箱里。欢迎搜索关注贵州诚鑫致达科技，了解更多交换机接入管控实战配置。
