低端交换机通过traffic-policy引用acl因配置错误导致过滤报文失败4270.pdfVIP

低端交换机通过traffic-policy 引用acl 因配置错误导致过 滤报文失败 现象描述： 在 CMNET接入交换机上希望利用traffic-policy，来对用户的上网行为进行管 理，仅允许10.1.1.2的用户能ping通10.1.1.1。测试了三种配置均失败，以下 是在S5300上做的几次测试的结果及配置： 1）10.1.1.2发给10.1.1.1的icmp报文被过滤，其他任何类型业务正常 vlan 1 traffic-policy test inbound # acl number 3001 # traffic classifier test if-match acl 3001 # traffic behavior test deny # traffic policy test classifier test behavior test # interface Vlanif1 ip address 10.1.1.1 255.255.252.0 2）所有的icmp报文被过滤 vlan 1 traffic-policy test inbound # acl number 3001 rule 20 deny icmp # traffic classifier test if-match acl 3001 # traffic behavior test deny # traffic policy test classifier test behavior test # interface Vlanif1 ip address 10.1.1.1 255.255.252.0 3）所有类型报文均被放行： vlan 1 traffic-policy test inbound # acl number 3001 rule 20 deny icmp # traffic classifier test if-match acl 3001 # traffic behavior test permit # traffic policy test classifier test behavior test # interface Vlanif1 ip address 10.1.1.1 255.255.252.0 原因分析： 流程图： 在低端交换机上通过traffic-policy引用acl场景中，低端交换机acl的rule里 面的permit/deny是不生效的，一切取决于traffic-behaviour中的配置 本次测试所作操作失败的原因在于： 1）匹配rule10的报文被deny(rule中permit无效)，其他没有匹配rule10 的报文默认permit 2）匹配rule 10和20的报文被deny，即丢弃所有icmp，报文默认permit 3）匹配rule 10和20的报文被permit，即丢弃所有icmp，报文默认permit 解决措施： 正确的配置： 在一个policy中配两个classifierbehavior对，前面一个允许特定icmp流量 通过，后面一个禁止其它icmp流量 acl number 3001 # acl number 3002 rule 20 deny icmp # traffic classifier mgt if-match acl 3001 # traffic classifier mgt2 if-match acl 3002 # traffic behavior mgt permit # traffic behavior mgt2 deny # traffic policy test classifier mgtbehavior mgt classifier mgt2behavior mgt2 建议与总结： 高端交换机 S9300的 ACL中 rule定义的 permit/deny是生效的，结合 behaviour中的permit/deny共同作用，两个中有一个deny结果就是deny。