acl时间控制必须在网络设备（如华为s系列交换机）上实现，而非存储系统；需同步配置时间段、高级acl规则及流策略，并注意规则顺序以确保总裁办等例外放行。
核心存储本身不直接支持ACL时间控制，必须依赖前端网络设备（如华为S系列交换机或路由器）在流量路径上实施基于时间的访问过滤。ACL的时间段功能只存在于网络层设备的策略模块中，存储系统通常只处理已到达的IO请求，不具备识别“当前是否为上班时间”这类动态条件的能力。
需要明确的实现边界
ACL时间控制不是在存储侧配置，而是在通往存储的网络出口/入口设备上部署。常见部署位置包括：
- 连接存储服务器的接入交换机（如S5700、S7700）
- 核心网关或防火墙（如USG6000E，若启用ACL策略）
- 承载NAS/SAN流量的三层交换机VLANIF接口
所有限制逻辑都发生在报文抵达存储前，由网络设备依据源IP（用户终端）、目的IP（存储共享地址或NAS网关VIP）、端口（如SMB的445、NFS的2049）及预设时间段进行匹配和丢弃。
关键配置三要素缺一不可
要让“8:00–17:30禁止研发部访问工资文件夹”生效，必须同步完成以下三项配置：
-
时间段定义：使用time-range命令创建周期性时段，例如
time-range work_hour 8:00 to 17:30 working-day，确保设备时钟已通过NTP同步，否则时间判断失效 -
高级ACL规则：用编号3000+的高级ACL，同时指定源网段（如研发部10.164.2.0/24）、目的地址（如NAS共享服务IP 10.164.9.9）、协议与端口，并绑定time-range，例如
rule deny tcp source 10.164.2.0 0.0.0.255 destination 10.164.9.9 0.0.0.0 destination-port eq 445 time-range work_hour - 流策略应用：ACL本身不生效，需配合流分类（traffic classifier）、流行为（traffic behavior）和流策略（traffic policy），最后将策略应用在入方向接口（如连接用户侧的GE1/0/1的inbound方向）
对“文件夹级”限制的实际理解
网络层ACL无法识别CIFS/NFS协议内的文件夹路径（如\nashrsalary），它只能控制到IP+端口粒度。因此所谓“文件夹访问限制”，实际是：
- 把目标文件夹所在的服务地址（如NAS虚拟IP）或专用SMB共享服务器IP单独规划一个子网或VIP
- 或者将该文件夹映射为独立的SMB共享名，并在存储侧为其分配唯一端口（需存储系统支持端口隔离，较罕见）
- 更可行的做法是：用不同VLAN区分敏感业务流量，再对整个VLAN网段的目标IP做ACL限制
没有网络层隔离前提下，仅靠存储系统自身的ACL（如Windows ACL或Linux POSIX ACL）无法实现时间维度管控。
总裁办公室等例外需显式放行
ACL规则按顺序匹配，一旦某条规则deny命中即终止匹配。因此必须注意策略顺序：
- 先配置允许总裁办访问的rule（无time-range，或使用always），例如
rule permit ip source 10.164.3.0 0.0.0.255 destination 10.164.9.9 0.0.0.0 - 再配置针对研发/市场部的deny规则（带time-range）
- 最后建议加一条隐式deny any，避免漏放
否则总裁办流量可能被前面的deny规则误拦，导致权限失控。
