今天我们来讲一下路由器下面的网段如何禁止（或者允许）互访
路由器下面三个网段，10.1.10.0/24网段、10.1.20.0/24网段和1.1.1.0/24网段的网关。通过配置ACL，不仅允许1.1.1.0/24网段的用户访问10.1.10.0/24网段的服务器。网关地址分别为interface Vlan-interface1 1.1.1.1/24，interface Vlan-interface10 10.1.10.1/24，interface Vlan-interface20 10.1.20.1/24。
路由器拒绝指定范围内的主机互相访问
# 创建IPv4高级ACL 3000，配置两条规则，分别为允许源地址为1.1.10/24网段，目的地址为10.1.10.0/24网段的IP报文通过，以及拒绝其它IP报文通过。
system-view
[H3C] acl advanced 3000
[H3C-acl-ipv4-adv-3000] rule deny ip destination 10.1.10.0 0.0.0.255
[H3C-acl-ipv4-adv-3000] rule permit ip
[H3C-acl-ipv4-adv-3000] quit
# 配置包过滤功能，应用IPv4高级ACL 3000，对网关接口收到的IP报文进行过滤。
[H3C] interface Vlan-interface1
[H3C-Vlan-interface1] packet-filter 3000 inbound
这个时候我们可以在1.1.1.0/24网段的主机上以10.1.10.0/24网段内的服务器为目的进行ping操作，返回请求超时信息；ping其它网段的主机，此操作返回正常应答信息。
这个时候如果达到这个要求表示我们已经配置成功
最后[H3C]save force，保存退出即可。
路由器允许指定范围内的主机互相访问
有拒绝就有允许，我们现在就来讲一下如何允许指定范围内的主机互相访问：
# 创建IPv4高级ACL 3000，配置两条规则，分别为允许源地址为1.1.10/24网段，目的地址为10.1.10.0/24网段的IP报文通过，以及拒绝其它IP报文通过。
system-view
[H3C] acl advanced 3000
[H3C-acl-ipv4-adv-3000] rule permit ip source 1.1.1.0 0.0.0.255 destination 10.1.10.0 0.0.0.255
[H3C-acl-ipv4-adv-3000] rule deny ip
[H3C-acl-ipv4-adv-3000] quit
# 配置包过滤功能，应用IPv4高级ACL 3000，对网关接口收到的IP报文进行过滤。
[H3C] interface Vlan-interface1
[H3C-Vlan-interface1] packet-filter 3000 inbound
检查配置效果
# 执行display packet-filter命令查看包过滤功能的应用状态。
[H3C]display packet-filter interface vlan 1
Interface: Vlan-interface1
Inbound policy:
IPv4 ACL 3000
上述信息显示Vlan-interface1接口上已经正确应用了包过滤功能。
在1.1.1.0/24网段的主机上以10.1.10.0/24网段内的服务器为目的进行ping操作，返回正常应答信息；ping其它网段的主机，此操作返回请求超时信息。
保存退出
[H3C]save force