接口绑定与方向
思科用 ip access-group 把 ACL 绑定到接口，in 与 out 是必选参数：in 过滤从该接口进入设备的流量，out 过滤从该接口发出的流量。同一个接口可以同时绑定入方向与出方向的 ACL。只建了 ACL 而没有绑定，或绑定时漏掉方向，配置都不会生效，这是排查过滤策略失效时先要确认的一点。
基本信息
| 适用平台 | Cisco IOS 与 IOS-XE 路由器、交换机 |
|---|---|
| 命令格式 | ip access-group 编号或名称 in 或 out |
| 可引用类型 | 标准 ACL、扩展 ACL、命名 ACL |
| 权限要求 | 接口配置模式 |
| 核对命令 | show ip interface 接口名 与 show running-config interface |
典型使用场景
- 在接入口入方向限制来源网段的访问范围
- 在出口出方向限制内网访问特定外部地址
- 验证冗余链路时临时下发精确过滤策略
- 排查业务异常时先确认接口上实际生效的 ACL 编号
- 变更后核对接口配置，确保引用关系与设计一致
思科 IOS
思科 IOS
interface GigabitEthernet0/1
description LAN
ip access-group 100 in
ip access-group 101 out
!
show running-config interface GigabitEthernet0/1 # 核对引用关系
show ip interface GigabitEthernet0/1 # 查看接口上生效的 ACL华为 VRP
华为 VRP
interface GigabitEthernet0/0/1
traffic-filter inbound acl 3000
traffic-filter outbound acl 3001
display traffic-filter applied-recordH3C Comware
H3C Comware
interface GigabitEthernet1/0/1
packet-filter 3000 inbound
packet-filter 3001 outbound
display packet-filter interface GigabitEthernet1/0/1引用方式对照
| 对比项 | 思科 IOS | 华为 VRP | H3C Comware |
|---|---|---|---|
| 接口应用命令 | ip access-group | traffic-filter | packet-filter |
| 入方向关键字 | in | inbound | inbound |
| 出方向关键字 | out | outbound | outbound |
| 作用对象 | 穿越接口的流量 | 穿越接口的流量 | 穿越接口的流量 |
| 本机流量 | 由控制平面策略或其他特性限制 | 需在线路或控制平面策略上限制 | 需在线路或控制平面策略上限制 |
配置与核对要点
- 接口 ACL 只作用于穿越接口的流量：设备自身产生的流量不受约束，需要控制平面策略或线路访问控制
- 同一方向重复绑定会覆盖上一条：多次变更后容易只剩一个 ACL 生效，改动收尾要回读接口配置
- 删除引用要写完整的否定命令：只删 ACL 定义会让引用悬空，接口上会显示引用了不存在的列表
- 子接口需要单独绑定：物理口上的引用不会自动继承到子接口，做单臂路由时容易漏配
- 变更后立刻用匹配计数验证：确认规则确实命中，比通读配置更快发现问题
查看接口当前生效的 ACL 用查看接口命令即可，它会显示入方向与出方向分别绑定了哪个列表；排障时用这条命令核对，比翻整份运行配置快得多。
命名 ACL 可以中途修改单条规则，修改后立即生效，不需要重新绑定接口；编号 ACL 需要整体重建，重建过程中会短暂处于空表状态，业务高峰期要避开。