财务服务器不是谁都能访问：交换机 ACL 包过滤精准放行

公司里总有几台服务器不能"全员可达"：财务系统只允许财务部网段访问，业务后台只对办公网开放，其余部门一概不通。很多单位图省事把这个活交给应用账号去管——可网络层都没隔离，账号密码再复杂也只是软约束。在交换机上配一条 ACL（访问控制列表）做包过滤，让不该通的流量在三层就过不去，才是硬隔离。

ACL 的思路是"规则逐条匹配"。 把允许与拒绝的源地址、目的地址、协议端口写成一条条规则，设备按规则编号从小到大逐条比对，命中即执行，之后不再往下看；都不命中则按默认动作处理。做流量过滤常用高级 ACL（3000 起），它能同时指定源与目的，写"谁能访问谁"正合适。

配置走一遍（以 S 系列交换机为例）。 先建 ACL，定两条规则——放行财务部网段、拒绝其他网段访问财务服务器所在网段：

acl 3000
 rule 5 permit ip source 192.168.10.0 0.0.0.255 destination 192.168.100.0 0.0.0.255
 rule 10 deny ip source 192.168.0.0 0.0.255.255 destination 192.168.100.0 0.0.0.255

再把 ACL 应用到接口的入方向做流量过滤（假定连接其他部门网段的口是 G0/0/2）：

interface GigabitEthernet0/0/2
 traffic-filter inbound acl 3000

验证与排错。 用 display acl 3000 查看规则内容与命中计数，计数在涨说明规则在被匹配；业务侧确认财务部能正常访问、其他部门被拦。要留后门排查问题时，可以临时追加一条放行指定管理机的规则（编号排在 deny 之前），比整段删规则稳妥。

三条实务经验。 其一，规则顺序就是生死顺序：先写细的 permit 再写粗的 deny，反过来写会把该放行的也拦掉。其二，通配符掩码别写错：0.0.0.255 对应一个 C 段，写成子网掩码 255.255.255.0 是常见事故来源。其三，ACL 是"名单式"管理，网段一调整规则要跟着改——把它写进网络变更流程，改网段必查 ACL。

网络层的一句话"不许通"，比应用层的十道密码都管用。企业内网权限的分层设计怎么做，贵州诚鑫致达科技在不少客户网络里都落过地，有类似需求欢迎留言聊聊。

企业存储选型参考｜贵州诚鑫致达

做机架式部署与数据中心扩容，群晖机型参考：RS2423RP+ · RS1221+ · RS822+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。四川成都群晖存储部署、机房建设与数据安全集成服务。