把 ACL 挂到接口上

华为用 traffic-filter 把 ACL 应用到接口，命令必须带方向：inbound 表示过滤进入该接口的流量，outbound 表示过滤从该接口发出的流量。物理口、VLAN 三层接口、隧道口都支持这一命令，前提是被引用的 ACL 已经存在且包含规则。ACL 定义写完不应用就没有任何效果，这是排查配置不生效时的第一检查点。

基本信息

典型使用场景

• 在接入口入方向限制来源网段的访问范围
• 在出口出方向限制内网访问特定的外部地址，确保只拦截目标流量
• 新增业务隔离需求时，把已有 ACL 挂到相应接口
• 排障时先临时应用一个精确 ACL 验证路径，定位后再收敛策略
• 变更后核对应用记录，确认生效的 ACL 编号与自己预期一致

华为 VRP

acl number 3000
 rule 5 permit tcp source 192.168.10.0 0.0.0.255 destination-port eq 443
 rule 15 deny tcp
 rule 100 permit ip
interface GigabitEthernet0/0/1
 traffic-filter inbound acl 3000     # 过滤进入该口的流量
 traffic-filter outbound acl 3001    # 过滤从该口发出的流量
 display traffic-filter applied-record   # 核对应用记录

思科 IOS

interface GigabitEthernet0/1
 ip access-group 100 in
 ip access-group 101 out
show ip interface GigabitEthernet0/1 | include access list
show running-config interface GigabitEthernet0/1

H3C Comware

interface GigabitEthernet1/0/1
 packet-filter 3000 inbound
 packet-filter 3001 outbound
display packet-filter interface GigabitEthernet1/0/1
display acl 3000

方向选择与影响面

配置与核对要点

• ACL 不存在或规则为空时应用命令会报错，先建 ACL 再应用
• 同一接口同一方向只保留最后一条配置，重复执行会覆盖上一条
• 方向选错的典型症状是策略配了但流量照旧，或业务被意外拦截，核对时同时看方向与编号
• 聚合链路的策略写在逻辑口上，成员口的同名配置不起作用
• 变更后立刻用命中计数确认规则被匹配，避免改了配置但从未生效

常见疑问

• 为什么配了 ACL 却没效果：先确认应用命令是否真的执行成功、方向与编号是否正确、ACL 里是否有规则
• 同一接口能同时引用入方向与出方向吗：可以，两个方向各自独立，互不覆盖
• 能不能在逻辑接口上做过滤：VLAN 三层接口、隧道口与聚合逻辑口都支持，聚合链路必须配在逻辑口上
• 接口 ACL 能挡住对本机的访问吗：不能，设备自身流量不受接口过滤约束，需要在线路或控制平面策略上限制
• 改了 ACL 规则要不要重新应用：规则改动立即生效，不需要重新应用命令，但应用关系被覆盖时要重新下发