前言

使用H3C模拟器进行三层ACL隔离网络，创建VLAN3 、VLAN4。使用ACL让它们互相不能访问。

网络拓扑

0ae980812483d33b4872483f1b1b6707.png

配置

SW交换机：
基础配置：

<H3C>sys  #进入命令行模式
[H3C]sysname SW1  #命名SW1
[SW1]vlan 3 to 4 #创建VLAN3 、VLAN4

[SW1]int vlan 3                                                          #进入VLAN3
[SW1-Vlan-interface3]ip address 192.168.3.254 24 #配置IP地址
[SW1-Vlan-interface3]int vlan 4                                #进入VLAN4
[SW1-Vlan-interface4]ip address 192.168.4.254 24 #配置IP地址
[SW1-Vlan-interface4]qu                                          #退出

然后将1、3口划分到VLAN3 ，2、4口划分到VLAN4

[SW1]int g1/0/1
[SW1-GigabitEthernet1/0/1]port access vlan 3
[SW1-GigabitEthernet1/0/1]int g1/0/3
[SW1-GigabitEthernet1/0/3]port access vlan 3

[SW1]int g1/0/2
[SW1-GigabitEthernet1/0/2]port access vlan 4
[SW1-GigabitEthernet1/0/2]int g1/0/4
[SW1-GigabitEthernet1/0/4]port access vlan 4

4d06293ae40f11f158c9ee3b486ced24.png
ae1d968ac67c88290e1a904073514c22.png
5123ccc8f28d47c6eb0e3afe32aa9b59.png

5f844b0c8c3ffdc77fa55179e0404833.png
在电脑上测试：
2d85c87cc0914ed9b1a6ff1cff560c73.png
都可以ping通。

配置ACL策略进行网络隔离

#创建ACL3000，首先拒绝3网段到4网段的流量，然后放行其它流量。
acl advanced 3000
 rule 0 deny ip source 192.168.3.0 0.0.0.255 destination 192.168.4.0 0.0.0.255
 rule 5 permit ip

# 进入VLAN3里面应用ACL过滤规则
[SW1-acl-ipv4-adv-3000]int vlan 3
[SW1-Vlan-interface3]packet-filter 3000 inbound

2795f380cf3ff33c2aa96d370d0d6f1e.png

测试通过，访问3网段正常，4网段超时。