ACL 方向选择：入方向过滤 vs 出方向过滤

同一张 ACL 挂在入方向还是出方向，影响过滤时机、带宽占用以及对本机流量的效果，是排障时最容易被忽略的一点。

华为 VRP

interface GigabitEthernet0/0/1
 traffic-filter inbound acl 3000   # 推荐：进入接口即过滤

interface GigabitEthernet0/1
 ip access-group 100 in            # in 作用于进入接口的包
! out 方向只能过滤从本接口发出的穿越流量

interface GigabitEthernet1/0/1
 packet-filter 3000 inbound

思科 out 方向 ACL 过滤不到设备自己产生的流量；华为/H3C 同理，管理面流量要用 VTY/SNMP 的 ACL 控制。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌