思科接口应用 ACL：ip access-group 与方向

思科用 ip access-group 把 ACL 绑到接口，in/out 是必选参数；只建了 ACL 没绑定方向，等于没配置。

思科 IOS

interface GigabitEthernet0/1
 ip access-group 100 in
!
show running-config interface GigabitEthernet0/1
show ip interface GigabitEthernet0/1

interface GigabitEthernet0/0/1
 traffic-filter inbound acl 3000

interface GigabitEthernet1/0/1
 packet-filter 3000 inbound

差异：思科接口 ACL 只作用于“穿越该接口”的流量，设备自身产生的流量（如 ping、BGP）不受接口 ACL 限制，要限本机流量需 control-plane 策略或 line/SNMP 的访问控制。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌