华为交换中端产品QACL配置案例集

　　rule6denytcpsource-porteq1025

　　rule8permitip

　　【问题分析】

　　又是一个比较典型的错误，用户认为要想让交换机转发，必须配置类似rule8的规则，其实这是不必要的，6506缺省有一条matchall表项，将交换机配置成转发模式，再配置一条，则覆盖了前面的所有规则。

　　【解决办法】

　　将最后一条规则去掉。

　　【案例3】

　　规则如下，要求只允许10.89.0.0/16访问10.1.1.0，但配置后其他网段也可以访问了，请问是为什么？

　　aclnumber101match-orderauto

　　rule0denyip

　　aclnumber102match-orderauto

　　rule0permitipsource10.89.0.00.0.255.255destination10.1.1.00.0.0.255

　　。。。

　　。。。

　　。。。

　　interfaceEthernet2/0/3

　　descriptionconnectedto5lou

　　portlink-typehybrid

　　porthybridvlan1tagged

　　porthybridvlan20untagged

　　porthybridpvidvlan20

　　qos

　　packet-filterinboundip-group101rule0

　　packet-filterinboundip-group102rule0

　　packet-filterinboundip-group103rule0

　　packet-filterinboundip-group105rule2

　　packet-filterinboundip-group105rule3

　　packet-filterinboundip-group105rule5

　　packet-filterinboundip-group105rule6

　　packet-filterinboundip-group105rule4

　　#

　　【问题分析】

　　由于ACL102的rule0的原因，只要是从这个网段上来的报文都会匹配这个规则的前半部分，但如果它不是访问10.89.0.0/16，它不会匹配上ACL102的rule0，本来希望它匹配到ACL101的rule0，但是由于在硬件中ipsource10.89.0.0和ipanyany使用的是不同的id，所以ACL101的rule0也不再会被匹配到。那么报文会匹配到最后一条缺省的matchall表项，进行转发。