H3C路由器MAC访问控制配置常见问题解析

Question

**问题描述：** 在配置H3C路由器的MAC地址访问控制时，常遇到“配置完成后终端仍能访问网络”或“合法设备被错误拦截”的问题。可能的原因包括：MAC地址书写格式不正确（如分隔符错误）、访问控制列表（ACL）未正确绑定到接口方向（入方向/出方向）、或未启用端口安全功能导致MAC过滤失效。此外，部分型号路由器需在二层接口下启用端口安全功能，否则配置不生效。如何排查并正确配置MAC访问控制策略？

Answer 1

一、问题背景与常见现象

在H3C路由器上配置MAC地址访问控制策略时，常遇到以下两类问题：

• 问题一：配置完成后终端仍能访问网络。
• 问题二：合法设备被错误拦截。

这些问题可能由多种原因引起，包括MAC地址格式错误、ACL未正确绑定接口方向、未启用端口安全功能等。

二、配置流程与关键点

要正确配置MAC地址访问控制策略，需遵循以下基本流程：

1. 确认设备型号是否支持端口安全功能。
2. 在接口视图下启用端口安全功能。
3. 创建基于MAC地址的ACL规则。
4. 将ACL绑定到接口方向（入/出方向）。
5. 验证配置并进行测试。

三、常见问题与排查方法

问题现象	可能原因	排查方法
终端仍能访问网络	ACL未绑定到接口方向	使用display acl和display ip interface命令查看绑定状态
合法设备被拦截	MAC地址格式错误或未设置允许规则	使用display mac-address查看实际MAC地址，并与配置对比
配置不生效	未启用端口安全功能	在接口下执行port-security enable命令

四、配置示例与说明

以下为一个典型配置示例，用于配置仅允许特定MAC地址访问网络：

# 创建基于MAC的ACL
acl mac-based
 rule 0 deny 0000.0000.0001 ffff.ffff.ffff
 rule 5 permit 0000.0000.0002 ffff.ffff.ffff

# 进入接口视图并启用端口安全
interface GigabitEthernet0/0
 port-security enable
 packet-filter mac-based inbound

五、流程图说明配置逻辑

graph TD
    A[开始配置] --> B[确认设备型号]
    B --> C{是否支持端口安全功能?}
    C -->|是| D[启用端口安全]
    C -->|否| E[更换设备或升级固件]
    D --> F[创建MAC ACL规则]
    F --> G[绑定ACL到接口方向]
    G --> H[测试与验证]
    H --> I[配置完成]