核心存储无法实现时间acl，因其仅处理已到达的i/o请求，不解析协议路径、无动态时钟判断能力；时间控制必须在网络设备（如接入交换机、防火墙）上，通过时间段定义、高级acl绑定及流策略应用三步完成。

核心存储本身不支持基于时间的目录级ACL访问控制。所谓“特定时间范围的目录访问限制”，必须在网络层实现，而不是在存储系统上直接配置。

为什么存储侧无法直接做时间ACL

存储设备（如NAS、SAN控制器）只处理已到达的I/O请求，不具备实时判断“当前是否为工作时间”的能力。它不解析CIFS/SMB或NFS协议内的路径信息（例如\nashrsalary），更无法结合系统时钟动态启用/禁用某条规则。ACL的时间控制功能只存在于网络设备的策略引擎中。

真正可行的部署位置

需在通往存储的流量必经路径上配置，常见点包括：

• 连接用户终端的接入交换机（如华为S5700、S7700）的入方向接口
• 核心网关或下一代防火墙（如USG6000E）的策略策略模块
• 承载NAS流量的三层交换机VLANIF子接口
• 若使用集中NAS网关，可将敏感共享映射到独立VIP，并对该VIP做策略控制

三个必须同步完成的配置环节

以“仅允许行政部在工作日8:30–17:30访问财务共享文件夹”为例：

• 定义时间段：执行time-range FINANCE-HOURS 8:30 to 17:30 working-day，并确保设备已通过NTP同步时间
• 配置高级ACL：使用编号3000+的ACL，例如rule 5 deny tcp source 10.164.3.0 0.0.0.255 destination 10.164.9.10 0.0.0.0 destination-port eq 445 time-range FINANCE-HOURS
• 绑定流策略并应用：创建traffic classifier匹配该ACL，关联traffic behavior为deny，再将traffic policy应用在用户侧接口的inbound方向

关于“目录级”的实际理解

网络ACL无法识别协议内路径，所谓“限制某个文件夹”，本质是：

• 把该文件夹所在的服务IP（如专用SMB服务器或NAS虚拟IP）与其他业务隔离
• 或将该共享配置为独立域名或端口（极少数存储支持端口映射隔离）
• 更推荐做法：用VLAN划分敏感业务流量，再对整个VLAN的目标IP+端口组合施加时间策略