核心存储本身不支持基于时间段的文件夹级访问控制，必须依赖网络设备（如华为S系列交换机、USG防火墙等）通过时间段+高级ACL+流策略联动实现，存储系统仅响应IO请求且无法解析协议内路径或判断时间。
核心存储本身不支持基于时间段的文件夹级访问控制。ACL时间限制必须在网络层设备上实现，而不是在存储系统内部配置。
时间控制必须在网络设备上做
华为S系列交换机、三层交换机VLANIF接口、USG防火墙等网络出口/入口设备，才具备“时间段+ACL+流策略”联动能力。存储系统（如NAS、SAN控制器、Windows文件服务器）只响应已到达的IO请求，无法判断当前是否为“8:00–17:30”，也不解析CIFS/NFS协议内的文件夹路径（例如
ashrsalary）。所以所谓“限制某文件夹在特定时间被访问”，本质是限制通向该文件夹服务地址的网络流量。
真正可行的实施路径
- 把目标文件夹映射为独立共享：例如将工资文件夹单独发布为
\nassalary-only，并为其分配专用IP（如10.164.9.9）或专用VLAN（如VLAN 100） - 在接入交换机上配置三项联动组件：
✓ 定义时间段：time-range work_hour 8:00 to 17:30 working-day（需NTP校时）
✓ 创建高级ACL（编号3000+）：rule deny tcp source 10.164.2.0 0.0.0.255 destination 10.164.9.9 0.0.0.0 destination-port eq 445 time-range work_hour
✓ 绑定流策略并应用到用户侧接口入方向：traffic-policy salary-block inbound
例外必须显式放行
总裁办等特权用户不能靠“默认允许”绕过规则——ACL默认隐含一条deny any末尾规则。必须在同一条ACL中，用更精确、更高优先级的permit规则提前放行，例如：rule 5 permit tcp source 10.164.1.0 0.0.0.255 destination 10.164.9.9 0.0.0.0 destination-port eq 445
（rule编号越小越先匹配）
存储侧ACL只能做静态权限
Windows NTFS ACL、Linux POSIX ACL 或 OSS Bucket ACL，都只支持“谁可以读/写”，不支持“什么时间可以读/写”。它们可配合网络层时间ACL使用，但不能替代后者。例如：先用交换机阻断非工作时间的所有连接，再用NTFS确保即使连接成功，研发人员也无法修改工资表——二者分工明确，缺一不可。
