低端交换机通过traffic-policy引用acl因配置错误导致过滤报文失败.docVIP

低端交换机通过traffic-policy引用acl因配置错误导致过 滤报文失败 现象描述： 希望利用traffic-policy，仅允许10.1.1.2能ping10.1.1.1。测试了三种配置均失败，以下是在S5300上做的几次测试的结果及配置：1）10.1.1.2发给10.1.1.1的icmp报文被过滤，其他任何类型业务正常vlan 1 traffic-policy test inbound#acl number 3001 rule 10 permit icmp source 10.1.1.2 0 destination 10.1.1.1 0#traffic classifier test if-match acl 3001#traffic behavior test deny#traffic policy test classifier test behavior test#interface Vlanif1 ip address 10.1.1.1 255.255.252.02）所有的icmp报文被过滤vlan 1 traffic-policy test inbound#acl number 3001 rule 10 permit icmp source 10.1.1.2 0 destination 10.1.1.1 0 rule 20 deny icmp#traffic classifier test if-match acl 3001#traffic behavior test deny#traffic policy test classifier test behavior test#interface Vlanif1 ip address 10.1.1.1 255.255.252.03）所有类型报文均被放行：vlan 1 traffic-policy test inbound#acl number 3001 rule 10 permit icmp source 10.1.1.2 0 destination 10.1.1.1 0 rule 20 deny icmp#traffic classifier test if-match acl 3001#traffic behavior test permit#traffic policy test classifier test behavior test#interface Vlanif1 ip address 10.1.1.1 255.255.252.0 原因分析： 流程图： 在低端交换机上通过traffic-policy引用acl场景中，低端交换机acl的rule里面的permit/deny是不生效的，一切取决于traffic-behaviour中的配置所作操作失败的原因在于：1）匹配rule 10 的报文被deny(rule中permit无效)，其他没有匹配rule 10的报文默认permit2）匹配rule 10和20 的报文被deny，即丢弃所有icmp，报文默认permit3）匹配rule 10和20 的报文被permit，即丢弃所有icmp，报文默认permit ： 正确的配置：在一个policy中配两个classifier behavior对，前面一个允许特定icmp流量通过，后面一个禁止其它icmp流量acl number 3001 rule 10 permit icmp source 10.1.1.2 0 destination 10.1.1.1 0#acl number 3002  rule 20 deny icmp#traffic classifier mgt if-match acl 3001#traffic classifier mgt2 if-match acl 3002#traffic behavior mgt permit#traffic behavior mgt2 deny#traffic policy test classifier mgt behavior mgt classifier mgt2 behavior mgt2 建议与总结： 高端交换机S9300的ACL中rule定义的permit/deny是生效的，结合behaviour中的permit/deny共同作用，两个中有一个deny结果就是deny。