為什么s9300 v2r1配置acl控制兩個(gè)網(wǎng)段互訪成功后，還是可以ping通對(duì)方的vlanif網(wǎng)關(guān)地址
2014/12/17 13:54:06點(diǎn)擊：
問題描述
按照如下配置后，pc與pc之間的互訪已經(jīng)生效，不能互訪，但是vlan50的用戶去ping vlanif51的接口ip還是可以通信。
acl number 3000
rule 5 deny ip destination 10.11.50.0 0.0.0.255
rule 10 deny ip destination 10.11.51.0 0.0.0.255
traffic classifier a operator or precedence 5
if-match acl 3000
#
traffic behavior a
permit
#
traffic policy a
classifier a behavior a
interface Vlanif50
ip address 10.11.50.1 255.255.255.0
#
interface Vlanif51
ip address 10.11.51.1 255.255.255.0
vlan 50
traffic-policy a inbound
acl number 3000
rule 5 deny ip destination 10.11.50.0 0.0.0.255
rule 10 deny ip destination 10.11.51.0 0.0.0.255
traffic classifier a operator or precedence 5
if-match acl 3000
#
traffic behavior a
permit
#
traffic policy a
classifier a behavior a
interface Vlanif50
ip address 10.11.50.1 255.255.255.0
#
interface Vlanif51
ip address 10.11.51.1 255.255.255.0
vlan 50
traffic-policy a inbound
解決方案
最后確認(rèn)，去ping設(shè)備本地地址是由cpu在處理，框式的交換機(jī)的cpu處理流程在流策略流程之前，所以本地的vlanif接口是不受acl控制的。
盒式交換機(jī)除了5720HI和框式一樣外，cpu處理流程在流策略流程之后。
盒式交換機(jī)除了5720HI和框式一樣外，cpu處理流程在流策略流程之后。
- 上一篇：數(shù)通產(chǎn)品5700如何自定義命令權(quán)限 2014/12/17
- 下一篇：終端獲取IP地址慢 2014/12/17