公司买了好多Quidway S2318TP-EI，用于连接客户端电脑。一直也相安无事。上周，仓库的的员工要访问合作伙伴公司的服务器。通过internet访问太慢，索性我就拉了一条光纤连接到他们的办公室，拉过去才发现，他们那边是用几个tp-link加上ADSL modem上网的。通过ADSL modem自动分配IP地址，我们这边也是自动分配IP地址的。

这下子好了，由于两边的网络都是二层，我们的员工能获取到他们的IP地址，他们的也能获取到我们的网络IP地址。更要命的是，两个局域网IP地址网段还相同。天煞的！

怎么办？首先想到在我们的Quidway S2318TP-EI上做ACL，进行过滤。由于对华为的设备不熟悉，所以要摸索一下。由于我们只要访问他们的端口为25004的一台服务器，其他都不用访问，所以，我们写了一个访问列表，然后配合traffice policy进行配置。如下：

acl number 3002

rule 1 permit tcp source-port eq 25004   //因为只能做inbound顾虑，所以只能这样写了。

#

traffic classifier tc02_suqi

if-match acl 3002

#

traffic behavior tb02_suqi

permit

#

traffic policy tp01_suqi

classifier tc02_suqi behavior tb02_suqi

#

interface Ethernet0/0/16

description to_SuQi_server

port default vlan 1

traffic-policy tp01_suqi inbound   //应用策略

配置后，进行测试，你猜怎么着？和没有配置policy一样。难道我是因为我不熟悉导致配的不对还是？有点不敢想了。

后来仔细看文档，发现，如果behavior是permit，此时对应的acl列表，不管是deny还是permit，结果都是permit。

如果behavior是deny，此时对应的acl列表，不管是deny还是permit，结果都是deny。

这是有个疑问，当behavior是permit时，默认操作是什么？就是没有写的，是拒绝还是允许？

带着这个疑问，只能一步一步测试了。关键是网上的资料还是比较少，针对这个问题的更少了。

经过测试发现：

behavior是permit，此时对应的acl列表，不管是deny还是permit，结果都是permit。默认操作还是permit。这个最奇葩了。不明白这个有何意义？

behavior是deny，此时对应的acl列表，不管是deny还是permit，结果都是deny。默认是permit。

既然这个知道，我就只能这样写了：

acl number 3002

rule 1 deny udp destination-port eq bootps  //为了让双方获取到对方的IP地址。阻止DHCP包

rule 2 deny udp destination-port eq bootpc//为了让双方获取到对方的IP地址。阻止DHCP包

rule 3 deny udp source-port eq bootps//为了让双方获取到对方的IP地址。阻止DHCP包

rule 4 deny udp source-port eq bootpc//为了让双方获取到对方的IP地址。阻止DHCP包

rule 5 deny tcp source-port eq 445   //拒绝访问文件共享访问

rule 6 deny tcp source-port eq telnet //拒绝telnet

rule 7 deny tcp source-port eq www     //拒绝访问他们的80web服务器。

                                      //默认是permit，没有写的都允许。

#

traffic classifier tc02_suqi

if-match acl 3002

#

traffic behavior tb02_suqi

deny

#

traffic policy tp01_suqi

classifier tc02_suqi behavior tb02_suqi

#

interface Ethernet0/0/16

description to_SuQi_server

port default vlan 1

traffic-policy tp01_suqi inbound   //入方向过滤。


测试结果，不会发生双方互相活动对方IP地址的情况了。最后，我还是把我们的IP地址网段该了。防止地址冲突。