ACL 要挂到接口才生效
ACL 写好了还要挂到接口上才会生效。H3C 用 packet-filter 在接口上引用，方向关键字是 inbound 与 outbound，一个接口的一个方向通常只允许引用一个 ACL。配完必须用显示命令核对是否真的挂上，只看 ACL 内容容易误判。
基本信息
| 适用平台 | H3C Comware V7 / V5 |
|---|---|
| 接口引用 | packet-filter ACL号 inbound | outbound |
| 核对命令 | display packet-filter interface 接口名 |
| 华为对应 | traffic-filter inbound acl 3000 |
| 思科对应 | ip access-group 100 in |
| 引用限制 | 一个接口的一个方向通常只允许一个 ACL |
典型使用场景
- 在接口上启用过滤策略
- 更换已绑定的 ACL，先解绑再重绑
- 排查 ACL 配置齐全但行为不符
- 割接前核对接口上实际生效的 ACL
- 审计各接口的安全策略挂载情况
H3C Comware
H3C Comware
interface GigabitEthernet1/0/1
packet-filter 3000 inbound # 入方向引用 ACL 3000
display packet-filter interface GigabitEthernet1/0/1 # 核对实际挂载情况
display acl 3000 # 核对规则与匹配计数
# 换绑：先 undo packet-filter 解除旧引用，再下发新引用华为 VRP 与思科 IOS
华为 VRP 与思科 IOS
# 华为 VRP
interface GigabitEthernet0/0/1
traffic-filter inbound acl 3000
display traffic-filter applied-record # 核对接口上已应用的过滤策略
# 思科 IOS
interface GigabitEthernet0/1
ip access-group 100 in
show ip interface GigabitEthernet0/1 # 核对入向 ACL 是否生效三厂挂载对照
| 环节 | H3C Comware | 华为 VRP | 思科 IOS |
|---|---|---|---|
| 接口引用 | packet-filter 3000 inbound | traffic-filter inbound acl 3000 | ip access-group 100 in |
| 方向关键字 | inbound / outbound | inbound / outbound | in / out |
| 核对命令 | display packet-filter interface | display traffic-filter applied-record | show ip interface |
引用动作与 ACL 内容分离是三家的共同设计：ACL 可以复用、内容随时可改，真正决定生效范围的是接口上的引用关系。排查时两边都要看，先确认接口挂了什么，再看 ACL 里写了什么。
H3C 一个接口的一个方向通常只允许引用一个 ACL，换绑时要先解除旧引用再下发新的，否则容易出现旧策略仍在生效、新策略看起来配好却没挂上的情况。
引用方向直接影响效果：入方向过滤能尽早丢弃不需要的流量，节省后续处理资源；出方向更适合控制本机向外发布的内容。先确定在哪个方向拦，再写规则，避免写完发现方向不对。
跨厂迁移时方向语义要一并核对：华为的 traffic-filter inbound 与 H3C 的 packet-filter inbound 含义相同，思科则把方向写成 in 与 out 两个关键字。转换脚本时把动词与方向同时映射，只改动词不改方向是最常见的搬迁失误。