H3C交换机单向访问控制
交换机vlan10:172.16.1.254，vlan1:192.168.1.225
PC1:192.168.1.224 网关192.168.1.225
PC2:172.16.1.10 网关 172.16.1.254
ICMP单向访问控制：
192.168.1.224可以ping172.16.1.10，反过来拒绝
抓包分析：
上图是192.168.1.224去ping172.16.1.10的包，要满足反向拒绝，则源地址是172.16.1.10，icmp类型为echo
配置方法：
[H3C]acl number 3000
[H3C-acl-adv-3000]rule 1 deny icmp icmp-type echo source 172.16.1.10 0 destination 192.168.1.224 0
[H3C-acl-adv-3000]quit
[H3C]interface Vlan-interface 10
[H3C-Vlan-interface10]packet-filter 3000 inbound
[H3C-Vlan-interface10]quit
至此：192.168.1.224可以ping172.16.1.10，反过来拒绝
------------------------------------------------------------------------------------------------------------------
TCP单向访问控制：
192.168.1.224可以访问172.16.1.10所有tcp端口，反过来拒绝
以tcp445端口为例抓包分析：
上图是192.168.1.224去telnet 172.16.1.10的445端口包，要满足反向拒绝，则源地址是172.16.1.10，tcp 第一次握手包 SYN 0。
配置方法：
[H3C]acl number 3000
[H3C-acl-adv-3000]rule 2 deny tcp syn 0 source 172.16.1.10 0 destination 192.168.1.224 0
[H3C-acl-adv-3000]quit
[H3C]interface Vlan-interface 10
[H3C-Vlan-interface10]packet-filter 3000 inbound
[H3C-Vlan-interface10]quit
192.168.1.224可以访问172.16.1.10所有tcp端口，反过来拒绝
注意：如果测试过滤第一次握手包不成功。可以尝试如下配置：
配置方法：
[H3C]acl number 3000
[H3C-acl-adv-3000]rule 3 deny tcp syn 1 ack 0 source 172.16.1.10 0 destination 192.168.1.224 0
[H3C-acl-adv-3000]quit
[H3C]interface Vlan-interface 10
[H3C-Vlan-interface10]packet-filter 3000 inbound
[H3C-Vlan-interface10]quit
