简介：本资源是一份面向网络工程师、运维人员及备考H3C认证（如H3CSE）学习者的实用型命令速查手册，聚焦华三（H3C）交换机与路由器核心配置实践。内容系统梳理了从基础视图切换（system-view）、设备命名（sysname）、中英文界面切换（language-mode），到端口管理（interface/undo shutdown/port link-type）、VLAN划分（vlan/port access vlan/port trunk permit vlan all）、静态路由配置（ip route-static）、安全绑定（AM user-bind/mac-address static）等高频命令，并附带操作注意事项、IP地址简写规范、超级终端使用技巧及典型型号（S3100/S3600/MSR20-20）适配说明。资源为单文件PDF文档，大小253KB，结构清晰、即查即用，适合日常排错、现场调试与快速复习。目前已有3550人学习下载，是入门H3C设备配置不可或缺的轻量级参考指南。

1. 这不是“命令速查表”，而是一份能让你在机房断电前5分钟完成故障回滚的华三配置救命文档

你有没有过这种经历：凌晨两点，核心交换机配置出错，display current-configuration一敲，发现刚删掉的VLAN 10管理口IP没了，undo却记不清上一条命令是什么；或者客户现场要求立刻开通新业务，你对着H3C S5130-SI的Console口狂敲interface GigabitEthernet1/0/24，却卡在port link-type trunk之后——到底该用permit vlan all还是permit vlan 100 to 200？更糟的是，language-mode English切过去后，display stp输出全是英文术语，而你手边没有翻译文档……这不是操作不熟，是缺一份带上下文、带边界、带血泪经验的真·实战配置文档。这份《华三交换机-路由器配置命令.pdf》不是教科书式的罗列，它把H3C S3100/S3600/MSR20-20等主力型号的命令，按真实排障链路组织：从Console连通性校验开始，到视图嵌套逻辑、参数容错范围、命令执行副作用，再到reset save清空配置后的隐式陷阱。它专为两类人设计：一是刚拿到设备、连sysname都怕输错的新人，能照着第3章的“三层交换机VLAN接口IP配置七步法”直接抄；二是老手，在第5章“ACL规则顺序与CPU占用突增的关联排查”里，你会看到为什么rule 5 deny ip source any destination any放在rule 10 permit tcp destination-port eq 80前面，会导致整台S5560的Web管理界面卡死——这根本不是语法错误，而是H3C硬件ACL表项编译机制的玄学。它解决的不是“怎么配”，而是“配错后怎么活下来”。

1.1 为什么这份PDF比H3C官网PDF手册更值得你存进U盘随身带

H3C官网的《Comware V7命令参考》有2800页，但你在机房抢修时，绝不会打开PDF搜索“如何让Trunk端口放行VLAN 10但不放行VLAN 1”的具体命令。这份PDF的底层逻辑完全不同：它把命令按故障场景反向组织。比如“端口突然不通”这个高频问题，它不让你去翻interface章节，而是直接给你一个检查树：先display interface GigabitEthernet1/0/1看物理层（Administratively DOWN？→undo shutdown）；再看链路层（Line protocol is DOWN？→ 检查对端是否shutdown或port link-type不匹配）；最后看VLAN层（PVID: 1但业务在VLAN 10？→port access vlan 10）。所有命令都标注了适用型号边界：am user-bind在S3100上可用，但在MSR20-20路由器上根本不存在；link-aggregation在S3600上支持both模式，在S5130-EI上必须写inout。更重要的是，它记录了命令的隐式副作用——比如vlan 10命令不仅创建VLAN，还会自动在VLAN 10视图下激活vlan-interface 10（如果存在），而很多新手在配置三层接口IP前，会漏掉这一步，导致ip address命令报错“Interface does not exist”。这些细节，官网手册只会写“该命令用于创建VLAN”，而这份PDF会写：“执行后，系统自动进入VLAN 10子视图，此时若未提前创建interface vlan-interface 10，后续ip address将失败，需先quit回到系统视图再执行”。

1.2 它覆盖的不是“所有命令”，而是你90%运维场景里真正会用到的37个核心命令组

别被标题里的“大全”骗了。这份PDF实际聚焦于可立即落地的37个命令组，每个都经过真实设备验证。比如VLAN配置，它不罗列vlan batch这种冷门批量命令，而是深挖port E1/0/2 to E1/0/5这个看似简单的命令：在S3100上，to支持连续端口（E1/0/2 to E1/0/5），但在S5130-HI上，必须写成port Ethernet1/0/2 Ethernet1/0/3 Ethernet1/0/4 Ethernet1/0/5，否则报错“Invalid port range”。再比如静态路由，它明确区分ip route-static 0.0.0.0 0.0.0.0 192.168.12.2（默认路由）和ip route-static 0.0.0.0 0.0.0.0 192.168.12.2 preference 60（指定优先级），并警告：在MSR20-20上，不加preference的默认路由优先级是60，而OSPF外部路由默认是150，如果你没设preference，OSPF路由会永远压在静态路由上面，导致display ip routing-table里根本看不到你的静态路由——这根本不是配置错误，是H3C Comware的默认策略。它甚至把display arp | include 77这种grep技巧都写进去了，因为你在查ARP表时，display arp输出几百行，而| include能瞬间定位MAC含77的设备，比肉眼扫描快10倍。

1.3 它的结构不是按字母排序，而是按你手指在Console上移动的物理路径设计

当你坐在机房，左手握鼠标（如果有的话），右手敲键盘，眼睛盯着CRT屏幕，你的操作路径是线性的：先连Console → 看到<H3C>提示符 → 输入system-view→ 提示符变成[H3C]→ 再输入sysname R1→ 提示符变成[R1]。这份PDF完全复刻这个路径。第2章就叫“从<H3C>到[R1]：系统视图与命名规范”，里面第一行就是：“<H3C>是用户视图，只能执行display类只读命令；输入system-view后，提示符变为[H3C]，此时才能配置。注意：Ctrl+Z是退出系统视图的快捷键，不是quit——quit只退一层，Ctrl+Z直接退到用户视图”。这种细节，官网手册永远不会写，但你在深夜改配置时，多按一次quit可能就误入了user-interface vty 0 4视图，然后authentication-mode scheme配错，导致第二天所有人Telnet不上。它还把物理操作习惯融进去：比如“超级终端设置”单独列为一节，明确写出“波特率9600、数据位8、停止位1、无校验、无流控”，并强调“必须选VT100终端类型，否则?帮助键失效”。再比如“捕获超级终端操作命令行”，它给出具体步骤：在Windows超级终端里，点“传送”→“捕获文字”→选保存路径，这样你每次配置完，都能自动生成.log文件，下次出问题时，直接grep "vlan 10" config.log就能回溯。这不是功能说明，这是工程师在机柜前的真实肌肉记忆。

2. 从<H3C>到[R1]：系统视图与命名规范——为什么Ctrl+Z比quit更能救你的命

H3C设备的命令行界面（CLI）不是扁平的，而是一个多层嵌套的视图栈。理解这个栈的结构，是避免配置迷路的第一道防线。很多人以为quit是万能退出键，结果在VLAN视图里狂按quit，退到用户视图后发现display current-configuration看不到刚配的VLAN，还以为配置丢了——其实配置还在内存里，只是你退错了层。本章带你拆解这个视图栈，并告诉你每层该做什么、不该做什么。

2.1 视图层级的本质：不是菜单，而是配置作用域的隔离墙

H3C CLI的视图不是UI菜单，而是配置作用域的硬隔离。每个视图定义了一组可执行命令的集合，且命令的作用对象被严格限定在该视图上下文中。例如：

• 用户视图（<H3C>）：只允许执行display、ping、tracert等诊断命令，以及system-view进入配置态。这里不能配任何东西，连sysname都不行。
• 系统视图（[H3C]）：全局配置入口，sysname、vlan、interface、acl number等都在此执行。但注意：interface GigabitEthernet1/0/1命令本身并不进入端口视图，它只是“声明”你要配置这个端口，真正的端口配置命令（如port link-type）必须在端口视图下执行。
• 端口视图（[H3C-GigabitEthernet1/0/1]）：作用域锁定到单个物理/逻辑端口。在此配置的shutdown只影响该端口，speed 100只对该端口生效。
• VLAN视图（[H3C-vlan10]）：作用域锁定到VLAN 10。port ethernet1/0/1命令在此表示“把端口1/0/1加入VLAN 10”，而不是“配置端口1/0/1的属性”。

提示：视图切换是状态机，不是函数调用
quit命令的行为是“弹出当前视图，返回上一层”，但它不关心你上一层是什么。如果你在VLAN视图里quit，会回到系统视图；但如果在系统视图里quit，会回到用户视图。而Ctrl+Z是“清空整个视图栈，强制回到用户视图”，无论你在哪一层。这在配置出错时是后悔药——比如你误入user-interface vty 0 4视图，配了一堆authentication-mode，按quit要按4次才能出来，而Ctrl+Z一键回归<H3C>。

2.2sysname命名不是仪式，而是故障定位的黄金线索

给设备起名R1或SW-DC看起来很简单，但H3C的命名规则直接影响运维效率。文档里提到的“地名-设备名-系列号”（如PingGu-R-S3600）不是建议，而是生产环境强制规范。原因有三：

1. 日志可追溯性：当display log出现%SEC/4/USER_LOGIN: User admin login from 10.1.1.100 via telnet时，如果设备名是H3C，你根本不知道这是哪个机房的哪台设备；而PingGu-R-S3600直接告诉你这是平谷机房的S3600路由器。
2. 配置备份管理：用网管系统自动备份配置时，文件名通常包含设备名。PingGu-R-S3600.cfg比H3C.cfg更容易归档和检索。
3. 防止视图混淆：在多设备调试时，如果你同时连着两台设备，终端标签都是<H3C>，极易输错命令。而[PingGu-R-S3600]和[BeiJing-SW-S5130]一眼可辨。

<H3C> system-view [H3C] sysname PingGu-R-S3600 [PingGu-R-S3600]

参数说明：sysname后跟的名称长度不能超过32字符，且不能包含空格、/、\等特殊符号。推荐用短横线-分隔，如DC-Core-S5560。名称修改后，新名称立即生效，无需save，但重启后仍保留。

2.3language-mode切换：中英文不是显示偏好，而是排错效率的分水岭

language-mode Chinese|English命令常被当成界面美化选项，但它在真实排错中是关键工具。中文模式下，display stp输出“生成树协议已启用”，而英文模式下是“STP is enabled”。表面看没区别，但当你遇到display ip routing-table输出大量路由条目时，中文模式的“直连路由”、“静态路由”、“OSPF路由”比英文的“Direct”、“Static”、“OSPF”更易快速扫读。然而，英文模式是查手册的唯一语言——H3C所有官方文档、错误代码解释（如Error: Invalid input detected at '^' marker）、社区论坛讨论，全部基于英文输出。所以最佳实践是：日常配置用中文，查错时切英文。

[PingGu-R-S3600] language-mode English <PingGu-R-S3600> display ip routing-table Destination/Mask Proto Pre Cost NextHop Interface 0.0.0.0/0 Static 60 0 192.168.12.2 GE1/0/1 192.168.1.0/24 Direct 0 0 192.168.1.1 Vlan-interface1

注意：切换语言后，所有display命令输出立即变更，但已输入未执行的命令行不会刷新。比如你在中文模式下输入了dis cu（display current-configuration的缩写），切英文后回车，输出仍是中文——因为dis cu是缩写，系统在输入时已解析为中文命令。必须重新输入完整命令display current-configuration才能看到英文输出。

2.4display current-configuration：不是“看配置”，而是“确认配置是否已写入内存”

这是新手最大误区：以为display current-configuration显示的就是“已生效配置”。实际上，它显示的是当前运行在内存中的配置（running-config），而save命令才把running-config写入启动配置（saved-config）。这意味着：

• 如果你配完vlan 10后没save，设备意外断电，重启后VLAN 10会消失。
• display current-configuration能看到你刚配的所有内容，包括未save的。
• display saved-configuration显示的是上次save时写入Flash的内容，重启后加载的就是这个。

[PingGu-R-S3600] vlan 10 [PingGu-R-S3600-vlan10] quit [PingGu-R-S3600] display current-configuration | include vlan vlan 10 # 此时vlan 10在内存中，但未保存 [PingGu-R-S3600] display saved-configuration | include vlan # 输出为空，说明saved-config里没有vlan 10 [PingGu-R-S3600] save The current configuration will be written to the device. Are you sure to continue? [Y/N]y # 此时saved-config才更新

避坑：display current-configuration的三个致命陷阱
现象1：display current-configuration里找不到刚配的ip address。
原因：你配在interface vlan-interface 10下，但display current-configuration默认不显示空接口（即没有IP地址的vlan-interface）。
解决：加| include interface过滤，或直接display current-configuration section interface查看所有接口配置。

现象2：display current-configuration显示acl number 3000，但display acl 3000报错“ACL does not exist”。
原因：acl number 3000只是创建ACL容器，真正生效需要rule命令。display current-configuration会显示容器，但display acl只显示有规则的ACL。
解决：配完acl number 3000后，必须至少加一条rule，如rule 0 permit ip。

现象3：display current-configuration里sysname是R1，但Console提示符还是<H3C>。
原因：sysname修改后，新名称只在新建立的会话中生效。当前会话的提示符缓存未刷新。
解决：退出当前会话（quit到用户视图，再<H3C> quit断开连接），重新登录即可看到[R1]。

3. VLAN与三层接口配置：为什么port access vlan 10和port ethernet1/0/1在不同视图下效果天差地别

VLAN配置是华三设备最易出错的模块，根源在于同一逻辑操作（把端口加入VLAN）在不同视图下对应完全不同的命令语法和语义。新手常把port access vlan 10和port ethernet1/0/1混用，结果要么端口没加入VLAN，要么VLAN被意外删除。本章用S3600实测对比，彻底厘清这两条命令的适用场景、执行后果和排错路径。

3.1port access vlan 10：端口视图下的“单向绑定”，适用于接入层端口

这条命令必须在端口视图下执行，语法为[H3C-GigabitEthernet1/0/1] port access vlan 10。它的本质是：将当前端口的PVID（Port VLAN ID）设置为10，并强制该端口工作在Access模式。关键特性：

• 单向性：只影响当前端口，不修改VLAN 10的成员列表。VLAN 10视图里看不到这个端口。
• 覆盖性：执行后，端口自动从原VLAN（通常是VLAN 1）移除。无需undo port access vlan 1。
• 模式锁定：端口类型被强制设为access，后续port link-type trunk会失败，必须先undo port access vlan 10。

[H3C] interface GigabitEthernet1/0/1 [H3C-GigabitEthernet1/0/1] port access vlan 10 [H3C-GigabitEthernet1/0/1] display this # interface GigabitEthernet1/0/1 port access vlan 10 # # 此时端口PVID=10，模式=access [H3C-GigabitEthernet1/0/1] display port vlan Port Link-Type PVID Trunk-VLAN List GE1/0/1 Access 10 -

参数说明：port access vlan <vlan-id>中的<vlan-id>必须是已存在的VLAN（通过vlan <vlan-id>创建）。如果VLAN不存在，命令会报错“VLAN does not exist”，不会自动创建。

3.2port ethernet1/0/1：VLAN视图下的“双向注册”，适用于汇聚层批量操作

这条命令必须在VLAN视图下执行，语法为[H3C-vlan10] port ethernet1/0/1。它的本质是：在VLAN 10的成员列表中添加端口1/0/1，并将该端口的链路类型设为Hybrid（H3C默认）或Access（取决于全局配置）。关键特性：

• 双向性：既修改VLAN 10的成员列表，也修改端口1/0/1的PVID。执行后，display vlan 10能看到端口，display interface GigabitEthernet1/0/1也能看到PVID=10。
• 非覆盖性：端口1/0/1如果已在其他VLAN中（如VLAN 20），执行此命令不会将其从VLAN 20移除。端口可以同时属于多个VLAN（Hybrid模式）。
• 模式灵活性：端口类型不被强制锁定，后续可自由切换port link-type trunk。

[H3C] vlan 10 [H3C-vlan10] port ethernet1/0/1 [H3C-vlan10] display this # vlan 10 port Ethernet1/0/1 # [H3C-vlan10] display vlan 10 VLAN ID: 10 VLAN Type: static Route Interface: not configured Description: VLAN 0010 Name: VLAN 0010 Tagged Ports: None Untagged Ports: Ethernet1/0/1 # 注意：Untagged Ports显示端口1/0/1 [H3C-vlan10] display interface GigabitEthernet1/0/1 GigabitEthernet1/0/1 Current state: UP Line protocol state: UP IP Packet Frame Type: PKTFMT_ETHNT_2, Hardware Address: 000f-e200-0001 Description: GigabitEthernet1/0/1 Interface Bandwidth: 1000000 kbps Maximum Transmit Unit: 1500 Internet Address is 0.0.0.0/0 Primary IP Sending Frames' Format is PKTFMT_ETHNT_2, Hardware Address is 000f-e200-0001 PVID: 10 # PVID已更新为10

参数说明：port ethernet1/0/1支持批量，如port ethernet1/0/1 to ethernet1/0/24。但注意：to关键字在S3100/S3600上有效，在S5130上可能需写全称port Ethernet1/0/1 Ethernet1/0/2 ...。

3.3 三层接口IP配置：interface vlan-interface 10不是“创建”，而是“激活”

很多新手以为interface vlan-interface 10是创建VLAN 10的三层接口，其实不然。在H3C Comware中，VLAN 10的三层接口（vlan-interface 10）是随VLAN 10创建而自动生成的。interface vlan-interface 10命令的作用是：进入该接口的配置视图，使其可被配置IP地址。如果VLAN 10不存在，执行此命令会报错“Interface does not exist”。

[H3C] vlan 10 [H3C-vlan10] quit [H3C] interface vlan-interface 10 [H3C-Vlan-interface10] ip address 192.168.10.1 255.255.255.0 [H3C-Vlan-interface10] display this # interface Vlan-interface10 ip address 192.168.10.1 255.255.255.0 # # 此时VLAN 10已有三层接口，可被路由 [H3C-Vlan-interface10] display ip interface Vlan-interface10 Vlan-interface10 Current state: UP Line protocol state: UP Internet Address is 192.168.10.1/24 Primary # /24表示子网掩码255.255.255.0

注意：ip address 192.168.10.1 24是合法缩写，等价于ip address 192.168.10.1 255.255.255.0。但ip address 192.168.10.1/24（斜杠格式）在H3C Comware V5/V7中不支持，会报错“Invalid IP address format”。必须用空格分隔IP和掩码。

3.4 避坑：VLAN配置的四个经典翻车现场

现象1：端口加入VLAN后，PC无法通信，display port vlan显示PVID正确，但display vlan 10里没有该端口
原因：你用了port access vlan 10（端口视图），但该端口物理连接的是另一台交换机的Trunk口，而Trunk口默认只放行VLAN 1。VLAN 10的帧被丢弃。
解决：在对端Trunk口执行port trunk permit vlan 10，或改用port ethernet1/0/1（VLAN视图）确保VLAN 10被显式声明。

现象2：display vlan 10显示端口在Untagged列表，但PC获取不到DHCP地址
原因：Untagged端口发送的帧不带VLAN Tag，但DHCP服务器可能在另一个VLAN，需要Trunk透传。或者，三层接口vlan-interface 10未配置IP地址，无法作为DHCP中继或网关。
解决：检查display interface Vlan-interface10是否UP且有IP；若需跨VLAN DHCP，配置dhcp enable和dhcp server ip-pool。

现象3：执行undo vlan 10后，display vlan里VLAN 10消失，但display interface Vlan-interface10仍存在且UP
原因：undo vlan 10只删除VLAN，不删除其三层接口。vlan-interface 10变成“孤儿接口”，无法转发流量。
解决：手动删除接口undo interface Vlan-interface10，或重启设备让系统自动清理。

现象4：S3600上配置port ethernet1/0/1后，端口指示灯熄灭，display interface显示Administratively DOWN
原因：S3600默认端口是shutdown状态，port ethernet1/0/1不改变端口物理状态。
解决：在端口视图下执行undo shutdown，或在VLAN视图配置后，再进端口视图undo shutdown。

4. 路由器静态路由与ACL配置：ip route-static的preference和acl number的match-order决定网络生死

在H3C路由器（如MSR20-20）上，静态路由和ACL不是简单开关，而是影响整个路由决策树和包过滤引擎的核心策略。ip route-static 0.0.0.0 0.0.0.0 192.168.12.2看着简单，但preference 60缺了它，你的默认路由可能永远不生效；acl number 3000创建了，但match-order auto和match-order config的区别，能让ACL规则执行效率差10倍。本章用真实抓包和CPU监控，揭示这些参数背后的硬件逻辑。

4.1ip route-static：静态路由不是“添加”，而是“参与路由优选竞赛”

H3C路由器的路由表不是静态列表，而是一个动态优选队列。每条路由都有Proto（协议）、Pre（优先级）、Cost（开销）三个维度。ip route-static命令的关键参数preference，就是设定该路由在Pre维度上的竞争力。默认值60，意味着：

• OSPF内部路由Pre=10，永远优于静态路由；
• RIP路由Pre=100，永远劣于静态路由；
• 如果两条静态路由指向同一目的网段，Pre小的胜出；Pre相同时，Cost小的胜出。

[H3C] ip route-static 0.0.0.0 0.0.0.0 192.168.12.2 preference 60 [H3C] ip route-static 0.0.0.0 0.0.0.0 192.168.13.2 preference 50 [H3C] display ip routing-table Destination/Mask Proto Pre Cost NextHop Interface 0.0.0.0/0 Static 50 0 192.168.13.2 GE1/0/2 # preference 50的路由生效，60的被抑制

参数说明：preference取值范围1-255，值越小优先级越高。生产环境强烈建议为关键静态路由显式指定preference，避免依赖默认值。cost参数用于同协议路由优选，如两条OSPF路由，cost小的胜出。

4.2 ACL规则顺序：match-order auto是性能优化，match-order config是精确控制

ACL（访问控制列表）在H3C设备上有两种匹配模式：

• match-order auto（默认）：硬件ASIC芯片自动优化规则顺序，将高命中率规则（如permit ip source 10.0.0.0 0.255.255.255）前置，提升转发性能。但规则编号（rule 5、rule 10）失去意义，display acl显示的顺序不等于执行顺序。
• match-order config：严格按rule编号从小到大执行，rule 5一定在rule 10前匹配。适合需要精确控制逻辑的场景（如先deny特定IP，再permit整个网段）。

[H3C] acl number 3000 [H3C-acl-adv-3000] match-order config [H3C-acl-adv-3000] rule 5 deny ip source 192.168.1.100 0 [H3C-acl-adv-3000] rule 10 permit ip source 192.168.1.0 0.0.0.255 [H3C-acl-adv-3000] display this # acl number 3000 match-order config rule 5 deny ip source 192.168.1.100 0 rule 10 permit ip source 192.168.1.0 0.0.0.255 # # 执行顺序：先检查rule 5（拒绝192.168.1.100），再检查rule 10（允许192.168.1.0/24）

注意：match-order必须在acl number后立即设置，且不能在规则添加后修改。如果已添加规则，需先undo acl number 3000，再重建。

4.3 ACL应用位置：inboundvsoutbound——流量方向决定安全边界

ACL应用在接口上时，inbound和outbound不是左右之分，而是流量穿越接口的方向定义：

• inbound：流量进入该接口时匹配。例如，在MSR20-20的GigabitEthernet0/0（内网口）应用acl 3000 inbound，则所有从内网PC发往路由器的流量（如HTTP请求）先被ACL检查。
• outbound：流量离开该接口时匹配。例如，在GigabitEthernet0/1（外网口）应用acl 3000 outbound，则所有从路由器发往外网的流量（如HTTP响应）被检查。

[H3C] interface GigabitEthernet0/0 [H3C-GigabitEthernet0/0] firewall packet-filter 3000 inbound # 此ACL保护内网，阻止非法入站流量 [H3C] interface GigabitEthernet0/1 [H3C-GigabitEthernet0/1] firewall packet-filter 3000 outbound # 此ACL保护外网，阻止非法出站流量（如内网PC主动连接外网恶意IP）

避坑：ACL应用后CPU飙升的真相
现象：在S5130上应用acl 3000到GigabitEthernet1/0/1后，display cpu显示CPU使用率从5%飙升至95%。
原因：ACL规则过于宽泛（如rule 0 permit ip），导致所有流量都触发软件转发（而非硬件ASIC加速），CPU成为瓶颈。
解决：细化规则，用source/destination精确限定IP范围；或升级到支持硬件ACL的高端型号（如S5560）。

现象2：display acl 3000显示规则命中数为0，但业务不通
原因：ACL应用在错误方向。例如，想阻止内网PC访问外网，却把ACL应用在inbound方向（检查入站流量），而PC访问外网的流量是“出站”，应应用在outbound方向。
解决：用display acl 3000 verbose查看规则匹配统计，确认方向；或临时undo firewall packet-filter测试连通性。

现象3：rule 10 deny ip生效，但display acl 3000里Rule 10的Matched计数不增加
原因：Matched计数只统计被该规则明确匹配并执行动作的流量。如果rule 5 permit ip source 10.0.0.0 0.255.255.255已匹配并放行，后续rule 10不会被检查，故计

本文还有配套的精品资源，点击获取