ACL配置与管理实战——2

配置基于ACL的流量监管

通过配置基于ACL的流量监管，对匹配ACL规则的报文进行限速，并配置对不同颜色报文采取的动作，在配置基于ACL的报文过滤之前，需要配置好相应的ACL规则，但每个调用的ACL仅可匹配一个ACL规则，当ACL中包括许多规则时，则必须指出所要应用的具体ACL规则编号。

1、在全局或VLAN上应用基于ACL的流量监管

需要在系统视图下根据不同的交换机选择不同的命令进行：

（1）在S2700-52P-EI/2700-52P-PWR-EI/2710SI/3700SI/3700EI系列交换机上执行：traffic-limit [vlan vlan-id] inbound acl { {[ ipv6 ] { bas-acl | adv-acl | name acl-name } } | l2-acl | user-acl } [rule rule-id] cir cir-value [ pir pir-value] [ cbs cbs-value pbs pbs-value] [ green { drop | pass [ remark-8021p 8021p-value| remark-dscp dscp-value ] } ] [ yellow  { drop| pass [ remark-8021p 8021p-value| remark-dscp dscp-value ] } ] [ red  { drop| pass [ remark-8021p 8021p-value| remark-dscp dscp-value ] } ]命令对匹配单个ACL规则的入方向报文进行流量监管。

执行traffic-limit [vlan vlan-id] inbound acl { l2-acl | name acl-name }  [rule rule-id] acl { bas-acl | adv-acl | name acl-name } [rule rule-id] cir cir-value[ pir pir-value] [ cbs cbs-value pbs pbs-value] [ green { drop | pass [ remark-8021p 8021p-value | remark-dscp dscp-value ] } ] [ yellow { drop | pass [ remark-8021p 8021p-value | remark-dscp dscp-value ]} ] [ red  { drop| pass [ remark-8021p 8021p-value| remark-dscp dscp-value ] } ]命令对同时匹配二层ACL和三层ACL的入方向报文进行流量监管。

（2）在除S2700-52P-EI和S2700-52P-PWR-EI之外的其他S2700EI系列交换机上执行：traffic-limit [vlan vlan-id] inbound acl { {[ ipv6 ] { bas-acl | adv-acl | name acl-name } } | l2-acl }  [rule rule-id] cir cir-value [cbs cbs-value]命令对匹配单个ACL规则的入方向报文进行流量监管。

执行：traffic-limit [vlan vlan-id] inbound acl  { l2-acl| name acl-name }  [rule rule-id] acl { bas-acl | adv-acl | name acl-name } [rule rule-id] cir cir-value [cbs cbs-value] 命令对同时匹配二层ACL和三层ACL的入方向报文进行流量监管。

（3）在S5700LI/5700SI/5700EI系列交换机上，执行：traffic-limit [vlan vlan-id] inbound acl { {[ ipv6 ] { bas-acl | adv-acl | name acl-name } } | l2-acl | user-acl } [rule rule-id] cir cir-value [ pir pir-value] [ cbs cbs-value pbs pbs-value] [green pass] [ yellow  { drop| pass [ remark-8021p 8021p-value| remark-dscp dscp-value ] } ] [ red  { drop| pass [ remark-8021p 8021p-value| remark-dscp dscp-value ] } ] 命令对匹配单个ACL规则的入方向报文进行流量监管。

执行：traffic-limit [vlan vlan-id] outbound acl{  [ipv6 ] { bas-acl | adv-acl | name acl-name }  | l2-acl } [rule rule-id] cir cir-value[ pir pir-value] [ cbs cbs-value pbs pbs-value] [green pass] [yellow pass ] [red { drop |pass }]命令对匹配单个ACL规则的出方向报文进行流量监管。

执行：traffic-limit [vlan vlan-id] inbound acl  {l2-acl | name acl-name}  [rule rule-id] acl { bas-acl | adv-acl | name acl-name } [rule rule-id] cir cir-value [ pir pir-value] [ cbs cbs-value pbs pbs-value] [green pass] [yellow { drop | pass [ remark-8021p 8021p-value | remark-dscp dscp-value ]} ] [ red  { drop| pass [ remark-8021p 8021p-value| remark-dscp dscp-value ] } ]命令对同时匹配二层ACL和三层ACL的入方向报文进行流量监管。

执行：traffic-limit [vlan vlan-id] outbound acl { l2-acl | name acl-name}  [rule rule-id] acl { bas-acl | adv-acl| name acl-name } [rule rule-id] cir cir-value  [ pir pir-value] [ cbs cbs-value pbs pbs-value][green pass] [yellow pass] [red {drop | pass}]命令对同时匹配二层ACL和三层ACL的出方向报文进行流量监管。

（4）其他S5700系列和S6700系列交换机上

执行：traffic-limit [vlan vlan-id] outbound acl {{ [ ipv6 ] { bas-acl | adv-acl | name acl-name } } | l2-acl } [rule rule-id] cir cir-value [ pir pir-value][ cbs cbs-value pbs pbs-value] [ green { drop | pass [ remark-8021p 8021p-value| remark-dscp dscp-value ] } ] [ yellow { drop| pass [ remark-8021p 8021p-value| remark-dscp dscp-value ] } ] [ red  { drop| pass [ remark-8021p 8021p-value| remark-dscp dscp-value ] } ] 命令对匹配单个ACL规则的出方向报文进行流量监管。

执行：traffic-limit [vlan vlan-id] inbound acl  {l2-acl | name acl-name}  [rule rule-id] acl { bas-acl | adv-acl | name acl-name } [rule rule-id] cir cir-value [ pir pir-value] [ cbs cbs-value pbs pbs-value] [ green { drop | pass [ remark-8021p 8021p-value| remark-dscp dscp-value ] } ] [ yellow  { drop| pass [ remark-8021p 8021p-value| remark-dscp dscp-value ] } ] [ red  { drop| pass [ remark-8021p 8021p-value| remark-dscp dscp-value ] } ] 命令对同时匹配二层ACL和三层ACL的入方向报文进行流量监管。

执行：traffic-limit [vlan vlan-id] outbound acl  {l2-acl | name acl-name}  [rule rule-id] acl { bas-acl | adv-acl | name acl-name } [rule rule-id] cir cir-value [ pir pir-value] [ cbs cbs-value pbs pbs-value] [ green { drop | pass [ remark-8021p 8021p-value| remark-dscp dscp-value ] } ] [ yellow  { drop| pass [ remark-8021p 8021p-value| remark-dscp dscp-value ] } ] [ red  { drop| pass [ remark-8021p 8021p-value| remark-dscp dscp-value ] } ] 命令对同时匹配二层ACL和三层ACL的出方向报文进行流量监管。

报文的颜色可以在流量监管中定义。

（1）报文的突发尺寸﹤cbs-value时，报文被标记为绿色。

（2）cbs-value≤报文的突发尺寸＜pbs-value时，报文被标记为黄色。

（3）报文的突发尺寸≥pbs-value时，报文被标记为红色。

缺省情况下，绿色、黄色报文被允许通过，红色报文被丢弃。

流量监管就是对网络的流量进行控制监督，对超出范围的流量采取怎样的处理策略，而acl只是对流量进行一下过滤，确定什么样的报文采取监管，所以这里其实也是acl对报文的过滤，所谓的流量监管，是后边的cir pir cbs pbs green yellow red参数所进行的，cir pir cbs pbs四个参数能够确定报文是什么颜色的，确定出颜色后，在对报文进行处理，是pass 还是drop或是重新标记优先级等。所以，重点需要理解的是cir pir cbs pbs的概念，弄懂8021p、dscp、ip precedence、tos等优先级具体指的是什么。

在端口上应用基于ACL的流量监管

在端口上应用基于ACL的流量监管的配置也要根据不同S系列交换机选择对应的配置命令在具体的接口视图下进行。

（1）在S2700-52P-EI/2700-52P-PWR-EI/2710SI/3700SI/3700EI系列交换机上执行：

traffic-limit inbound acl { { [ ipv6 ] { bas-acl | adv-acl| name acl-name } } | l2-acl | user-acl } [rule rule-id] cir cir-value[ pir pir-value] [ cbs cbs-value pbs pbs-value] [ green { drop | pass [ remark-8021p 8021p-value | remark-dscpdscp-value ] } ] [ yellow { drop | pass [ remark-8021p 8021p-value | remark-dscp dscp-value ]} ] [ red  { drop| pass [ remark-8021p 8021p-value| remark-dscp dscp-value ] } ]命令对匹配单个ACL规则的入方向报文进行流量监管。

执行traffic-limit inbound acl  { l2-acl | name acl-name }  [rulerule-id] acl { bas-acl | adv-acl | nameacl-name } [rule rule-id] cir cir-value[ pir pir-value] [ cbs cbs-value pbs pbs-value] [ green { drop | pass [ remark-8021p 8021p-value | remark-dscpdscp-value ] } ] [ yellow { drop | pass [ remark-8021p 8021p-value | remark-dscp dscp-value ]} ] [ red  { drop| pass [ remark-8021p 8021p-value| remark-dscp dscp-value ] } ]命令对同时匹配二层ACL和三层ACL规则的入方向报文进行流量监管。

（2）在除S2700-52P-EI和S2700-52P-PWR-EI之外的其他S2700EI系列交换机上执行：traffic-limit inbound acl { { [ ipv6 ] { bas-acl | adv-acl| name acl-name } } | l2-acl}  [rulerule-id] cir cir-value [cbs cbs-value]命令对匹配单个ACL规则的入方向报文进行流量监管。

执行：traffic-limit inbound acl  { l2-acl | name acl-name }  [rulerule-id] acl { bas-acl | adv-acl | nameacl-name } [rule rule-id] cir cir-value [cbs cbs-value] 命令对同时匹配二层ACL和三层ACL的入方向报文进行流量监管。

（3）在S5700LI/5700SI/5700EI系列交换机上，执行：traffic-limit inbound acl { { [ ipv6 ] { bas-acl | adv-acl| name acl-name } } | l2-acl | user-acl } [rule rule-id] cir cir-value[ pir pir-value] [ cbs cbs-value pbs pbs-value] [green pass] [ yellow  { drop | pass [ remark-8021p 8021p-value | remark-dscp dscp-value ]} ] [ red  { drop| pass [ remark-8021p 8021p-value| remark-dscp dscp-value ] } ] 命令对匹配单个ACL规则的入方向报文进行流量监管。

执行：traffic-limit outbound acl{  [ipv6 ] { bas-acl | adv-acl | name acl-name }  | l2-acl } [rule rule-id] cir cir-value[ pir pir-value] [ cbs cbs-value pbs pbs-value] [green pass] [yellow pass ] [red { drop |pass }]命令对匹配单个ACL规则的出方向报文进行流量监管。

执行：traffic-limit inbound acl { l2-acl | name acl-name}  [rulerule-id] acl { bas-acl | adv-acl| name acl-name } [rule rule-id] cir cir-value  [ pirpir-value] [ cbs cbs-value pbs pbs-value][green pass] [yellow { drop | pass [ remark-8021p 8021p-value| remark-dscp dscp-value ] } ] [ red  { drop| pass [ remark-8021p 8021p-value| remark-dscp dscp-value ] } ]命令对同时匹配二层ACL和三层ACL的入方向报文进行流量监管。

执行：traffic-limit outbound acl { l2-acl | name acl-name}  [rule rule-id] acl { bas-acl | adv-acl | nameacl-name } [rule rule-id] cir cir-value [ pir pir-value] [ cbs cbs-value pbs pbs-value] [green pass] [yellow pass][red {drop | pass}]命令对同时匹配二层ACL和三层ACL的出方向报文进行流量监管。

（4）其他S5700系列和S6700系列交换机上

执行：traffic-limit inbound acl { { [ ipv6 ] { bas-acl | adv-acl| name acl-name } } | l2-acl |user-acl } [rule rule-id] cir cir-value [ pir pir-value][ cbs cbs-value pbs pbs-value] [ green { drop | pass [ remark-8021p 8021p-value| remark-dscp dscp-value ] } ] [ yellow  { drop| pass [ remark-8021p 8021p-value| remark-dscp dscp-value ] } ] [ red  { drop| pass [ remark-8021p 8021p-value| remark-dscp dscp-value ] } ] 命令对匹配单个ACL规则的入方向报文进行流量监管。

执行：traffic-limit outbound acl { { [ ipv6 ] { bas-acl | adv-acl| name acl-name } } | l2-acl } [rule rule-id] cir cir-value [ pir pir-value] [ cbs cbs-value pbs pbs-value] [ green { drop | pass [ remark-8021p 8021p-value| remark-dscp dscp-value ] } ] [ yellow  { drop| pass [ remark-8021p 8021p-value| remark-dscp dscp-value ] } ] [ red  { drop| pass [ remark-8021p 8021p-value| remark-dscp dscp-value ] } ] 命令对匹配单个ACL规则的出方向报文进行流量监管。

执行：traffic-limit inbound acl  { l2-acl | name acl-name}  [rulerule-id] acl { bas-acl | adv-acl| name acl-name } [rule rule-id] cir cir-value  [ pirpir-value] [ cbs cbs-value pbs pbs-value][ green { drop | pass [ remark-8021p 8021p-value | remark-dscpdscp-value ] } ] [ yellow { drop | pass [ remark-8021p 8021p-value | remark-dscp dscp-value ]} ] [ red  { drop| pass [ remark-8021p 8021p-value| remark-dscp dscp-value ] } ] 命令对同时匹配二层ACL和三层ACL的入方向报文进行流量监管。

执行：traffic-limit outbound acl  { l2-acl | name acl-name}  [rulerule-id] acl { bas-acl | adv-acl| name acl-name } [rule rule-id] cir cir-value  [ pirpir-value] [ cbs cbs-value pbs pbs-value][ green { drop | pass [ remark-8021p 8021p-value | remark-dscpdscp-value ] } ] [ yellow { drop | pass [ remark-8021p 8021p-value | remark-dscp dscp-value ]} ] [ red  { drop| pass [ remark-8021p 8021p-value| remark-dscp dscp-value ] } ] 命令对同时匹配二层ACL和三层ACL的出方向报文进行流量监管。

在端口上进行的流量监管相比全局或VLAN上的流量监管，配置命令上只是缺少了vlan vlan-id选项，同时是在端口视图下进行的。

暂时的一个疑问：报文的颜色是怎么标识的，从报文的什么地方能够判断出报文的颜色？

配置基于ACL的流镜像

通过配置基于ACL的流镜像可将匹配ACL规则的报文镜像到指定观察接口，以便于对报文进行分析（均仅可在入方向上应用ACL）。在配置基于ACL的报文过滤之前需要配置好相应的ACL规则，但每个调用的ACL仅可匹配一个ACL规则，当ACL中包括有许多规则时，必须指出所要应用的具体ACL规则编号。

1、在全局或VLAN上应用基于ACL的流镜像

（1）在S2700-52P-EI/2700-52P-PWR-EI/2710SI/3700SI/3700EI系列交换机上执行：

traffic-mirror [vlan vlan-id] inbound acl {{[ipv6] {bas-acl | adv-acl | name acl-name}} | l2-acl | user-acl } [rule rule-id ] to observe-port o-index命令对匹配单个ACL规则的入方向报文进行流镜像。

执行traffic-mirror [vlan vlan-id] inbound acl { l2-acl | name acl-name }  [rule rule-id ] acl  { bas-acl | adv-acl | name acl-name } [rule rule-id ] to observe-port o-index [ remote vlan-id]命令对同时匹配二层ACL和三层ACL规则的入方向报文进行流镜像。

（2）在除S2700-52P-EI和S2700-52P-PWR-EI之外的其他S2700EI系列交换机上执行：

traffic-mirror [vlan vlan-id] inbound acl {{[ipv6] {bas-acl | adv-acl | name acl-name}} | l2-acl } [rule rule-id ] to observe-port o-index命令对匹配单个ACL规则的入方向报文进行流镜像。

（3）在S5700/6700系列交换机上，执行：

traffic-mirror [vlan vlan-id] inbound acl {{[ipv6] {bas-acl | adv-acl | name acl-name}} | l2-acl | user-acl } [rule rule-id ] to observe-port o-index [ remote vlan-id]命令对匹配单个ACL规则的入方向报文进行流镜像。

根据需要选择以下一个命令对同时匹配二层ACL和三层ACL规则的入方向报文进行流镜像。

（1）traffic-mirror [vlan vlan-id] inbound acl l2-acl [rule rule-id ] acl  { bas-acl| adv-acl | name acl-name } [rule rule-id ] to observe-port o-index [ remote vlan-id]

（2）traffic-mirror [vlan vlan-id] inbound acl acl-name [rule rule-id ] acl  { bas-acl| adv-acl | name acl-name } [rule rule-id ] to observe-port o-index [ remote vlan-id]

这个配置命令主要要搞清楚的是观察端口，即to observe-port o-index以及remote vlan-id

对于observe-port o-index，交换机上有对应的observe-port命令，来设置观察端口，

observe-port 1 interface GigabitEthernet1/0/2   //设置观察端口

这样，GE1/0/2端口就成为了观察端口1，对于remote vlan-id，什么作用不清楚？？

在端口上应用基于ACL的流镜像

在端口上应用基于ACL的流镜像的配置也要根据不同系列交换机选择对应的配置命令在具体的接口视图下进行。

（1）（1）在S2700-52P-EI/2700-52P-PWR-EI/2710SI/3700SI/3700EI系列交换机上执行：

traffic-mirror inbound acl {{[ipv6] {bas-acl | adv-acl | name acl-name}} | l2-acl | user-acl } [rule rule-id ] to observe-port o-index命令对匹配单个ACL规则的入方向报文进行流镜像。

执行traffic-mirror inbound acl { l2-acl | name acl-name }  [rule rule-id ] acl  { bas-acl | adv-acl | name acl-name } [rule rule-id ] to observe-port o-index [ remote vlan-id]命令对同时匹配二层ACL和三层ACL规则的入方向报文进行流镜像。

（2）在除S2700-52P-EI和S2700-52P-PWR-EI之外的其他S2700EI系列交换机上执行：

traffic-mirror inbound acl {{[ipv6] {bas-acl | adv-acl | name acl-name}} | l2-acl } [rule rule-id ] to observe-port o-index命令对匹配单个ACL规则的入方向报文进行流镜像。

（3）在S5700/6700系列交换机上，执行：

traffic-mirror inbound acl{{[ipv6] {bas-acl | adv-acl | name acl-name}} | l2-acl | user-acl } [rule rule-id ] to observe-port o-index [ remote vlan-id]命令对匹配单个ACL规则的入方向报文进行流镜像。

根据需要选择以下一个命令对同时匹配二层ACL和三层ACL规则的入方向报文进行流镜像。

（1）traffic-mirror inbound acl l2-acl [rule rule-id ] acl  { bas-acl | adv-acl | name acl-name } [rule rule-id ] to observe-port o-index [ remote vlan-id]

（2）traffic-mirror inbound acl acl-name  [rule rule-id ] acl { bas-acl | adv-acl | name acl-name } [rule rule-id ] to observe-port o-index [remote vlan-id]

实验：

先配置一个观察端口1，对应到具体的GE0/0/1端口，然后在GE0/0/2端口在流镜像，对于匹配的报文镜像到观察端口1，预想是在GE0/0/1和GE0/0/3端口上都能检测到相同的报文，但是经过抓包测试，在PC1上执行ping PC2，相应的报文流并没有在GE0/0/1上出现，原因不明。

配置基于ACL的重定向

通过配置基于ACL的重定向，将匹配ACL规则的报文重定向到CPU、指定接口或指定下一跳地址（均仅可在入方向上应用ACL）。在配置基于ACL的报文过滤前，需要配置好相应的ACL规则，但每个调用的ACL仅可匹配一个ACL规则，当ACL中包含有许多规则时，则必须指出所要应用的具体ACL规则编号。

1、在全局或VLAN上应用基于ACL的重定向

在全局或VLAN上应用基于ACL的重定向配置也是在系统视图下根据不同系列交换机选择以下不同命令进行的。

（1）在S2700-52P-EI/2700-52P-PWR-EI/2710SI/3700SI/3700EI系列交换机上执行：

traffic-redirect [vlan vlan-id] inbound acl { [ ipv6 ] { bas-acl | adv-acl | name acl-name}} | l2-acl | user-acl } [rule rule-id ] { cpu | interface interface-type interface-number | ip-nexthop ip-nexthop | ipv6-nexthop ipv6-nexthop}命令对匹配单个ACL规则的入方向报文进行重定向。

执行：traffic-redirect [vlan vlan-id] inbound acl { l2-acl | name acl-name }  [rule rule-id ] acl  { bas-acl | adv-acl | name acl-name } [rule rule-id ] { cpu | interface interface-type interface-number | ip-nexthop ip-nexthop | ipv6-nexthop ipv6-nexthop}命令对同时匹配二层ACL和三层ACL规则的入方向报文进行重定向。

（2）在S5700SI/5700LI/5700S-LI系列交换机上

执行：traffic-redirect  [vlan vlan-id] inbound acl { [ ipv6 ]{ bas-acl | adv-acl | name acl-name}  | l2-acl| user-acl } } [rule rule-id ] { cpu | interface interface-type interface-number}命令对匹配单个ACL规则的入方向报文进行重定向。

执行traffic-redirect  [vlan vlan-id] inbound acl { l2-acl | name acl-name }  [rule rule-id ] acl  { bas-acl| adv-acl | name acl-name } [rule rule-id ] { cpu | interface interface-type interface-number }命令对同时匹配二层ACL和三层ACL规则的入方向报文进行重定向。

（3）在其他S5700/6700系列交换机上

执行：traffic-redirect  [vlan vlan-id] inbound acl { [ ipv6 ]{ bas-acl | adv-acl | name acl-name}  | l2-acl| user-acl } } [rule rule-id ] { cpu | interface interface-type interface-number | ip-nexthop ip-nexthop | ipv6-nexthop ipv6-nexthop }命令对匹配单个ACL规则的入方向报文进行重定向。

执行：traffic-redirect  [vlan vlan-id] inbound acl { l2-acl | name acl-name }  [rule rule-id ] acl  { bas-acl| adv-acl | name acl-name } [rule rule-id ] { cpu | interface interface-type interface-number | ip-nexthop ip-nexthop | ipv6-nexthop ipv6-nexthop}}命令对同时匹配二层ACL和三层ACL规则的入方向报文进行重定向。

在端口上应用基于ACL的重定向

在端口上应用基于ACL的重定向的配置要根据不同系列交换机选择对应的配置命令在具体的接口视图下进行。

 

关于ACL重定向的应用场景：

在LSW4上的GE0/0/1上配置重定向，默认从GE0/0/2转发，配置基于ACL的重定向，对符合ACL规则的报文从GE0/0/3转发。

配置基于ACL的重标记

通过配置基于ACL的重标记可对匹配指定ACL规则的报文重标记其优先级，如VLAN报文中的802.1p、IP报文中的DSCP等（S2700/3700系列交换机仅可在入方向上应用ACL，S5700/6700系列既可在入方向，又可在出方向上应用ACL）。在配置基于ACL的报文过滤之前也需要配置相应的ACL规则，但每个调用的ACL仅可匹配一个ACL规则，当ACL中包括许多规则时，则必须指出所要应用的具体ACL规则编号。

1、在全局或VLAN上应用基于ACL的重标记

在全局或VLAN上应用基于ACL的重标记配置也是在系统视图下根据不同系列交换机选择以下不同命令进行的。

（1）在S2700-52P-EI/2700-52P-PWR-EI/2710SI/3700SI/3700EI系列交换机上执行：

traffic-remark [vlan vlan-id] inbound acl { [ ipv6 ] { bas-acl | adv-acl | name acl-name} | l2-acl | user-acl } [rule rule-id ] { dscp { dscp-name | dscp-value }| 8021p 8021p-value | destination-mac mac-address | ip-precedence ip-precedence-value| vlan-id vlan-id | local-precedence local-precedence-value }命令对匹配单个ACL规则的入方向报文进行重标记。

执行：traffic-remark [vlan vlan-id] inbound acl { l2-acl | name acl-name }  [rule rule-id ] acl  { bas-acl | adv-acl | name acl-name } [rule rule-id ] { dscp { dscp-name | dscp-value }| 8021p 8021p-value | destination-mac mac-address | ip-precedence ip-precedence-value| vlan-id vlan-id | local-precedence local-precedence-value }命令对同时匹配二层ACL和三层ACL规则的入方向报文进行重标记。

（2）在除S2700-52P-EI和S2700-52P-PWR-EI系列交换机之外的其他S2700EI系列交换机上

执行：traffic-remark  [vlan vlan-id] inbound acl { [ ipv6 ]{ bas-acl | adv-acl | name acl-name}  | l2-acl} [rule rule-id ] { dscp { dscp-name | dscp-value } | 8021p 8021p-value | vlan-id vlan-id | local-precedence local-precedence-value }命令对匹配单个ACL规则的入方向报文进行重标记。

执行traffic-remark  [vlan vlan-id] inbound acl { l2-acl | name acl-name }  [rule rule-id ] acl  { bas-acl| adv-acl | name acl-name } [rule rule-id ] { dscp { dscp-name | dscp-value }| 8021p 8021p-value | vlan-id vlan-id | local-precedence local-precedence-value }命令对同时匹配二层ACL和三层ACL规则的入方向报文进行重标记。

（3）在其他S5700/6700系列交换机上

执行：traffic-remark  [vlan vlan-id] inbound acl { [ ipv6 ]{ bas-acl | adv-acl | name acl-name}  | l2-acl| user-acl  } [rule rule-id ] { 8021p 8021p-value | destination-mac mac-address | dscp { dscp-name | dscp-value } | ip-precedence ip-precedence-value | vlan-id vlan-id | local-precedence local-precedence-value }命令对匹配单个ACL规则的入方向报文进行重标记。

执行：traffic-remark  [vlan vlan-id] outbound acl { [ ipv6 ]{ bas-acl | adv-acl | name acl-name}  | l2-acl} [rule rule-id ] { 8021p 8021p-value | cvlan-id cvlan-id| dscp{ dscp-name | dscp-value } | vlan-id vlan-id }命令对匹配单个ACL规则的出方向报文进行重标记。

执行：traffic-remark  [vlan vlan-id] inbound acl { l2-acl | name acl-name }  [rule rule-id ] acl  { bas-acl| adv-acl | name acl-name } [rule rule-id ] { 8021p 8021p-value | destination-mac mac-address | dscp { dscp-name | dscp-value } | ip-precedence ip-precedence-value| vlan-id vlan-id | local-precedence local-precedence-value } 命令对同时匹配二层ACL和三层ACL规则的入方向报文进行重标记。

执行：traffic-remark  [vlan vlan-id] outbound acl  { l2-acl | name acl-name }  [rule rule-id ] acl  { bas-acl | adv-acl | name acl-name } [rule rule-id ] { 8021p 8021p-value | cvlan-id cvlan-id| dscp { dscp-name | dscp-value } | vlan-id vlan-id }命令对同时匹配二层ACL和三层ACL规则的出方向报文进行重标记。

示例：在VLAN100的入方向，配置基于ACL的重标记功能。将源MAC地址为0-0-1的报文，重标记VLANID为101。

[Huawei]acl 4001

[Huawei-acl-L2-4001]rule 5 permit source-mac 0-0-1

[Huawei-acl-L2-4001]quit

[Huawei]traffic-remark vlan 100 inbound acl 4001 rule 5 vlan-id 101

在端口上应用基于ACL的重标记

在端口上应用基于ACL的重标记的配置要根据不同系列交换机选择对应的配置命令在具体的接口视图下进行

示例：在接口GE0/0/1的入方向，配置基于ACL的重标记功能。将源MAC地址为0-0-1的报文，重标记VLAN ID为100

[Huawei]acl 4001

[Huawei-acl-L2-4001]rule 5 permitsource-mac 0-0-1

[Huawei-acl-L2-4001]quit

[Huawei]interface gigabitethernet 0/0/1

[Huawei-GigabitEthernet0/0/1]traffic-remark inbound acl 4001 rule 5 vlan-id 100

这里的重点还是要搞懂重标记选项，包括优先级：8021p、dscp、local-precedence、ip-precedence，vlan号：vlan是外层vlan，cvlan是内层vlan号，MAC地址：destination-mac

配置基于ACL的流量统计

通过配置基于ACL的流量统计可对匹配指定ACL规则的报文进行流量统计（S2700/3700系列交换机仅可在入方向上应用ACL，S5700/6700系列既可在入方向，又可在出方向上应用ACL）。在配置基于ACL的报文过滤之前也需要配置相应的ACL规则，但每个调用的ACL仅可匹配一个ACL规则，当ACL中包括许多规则时，则必须指出所要应用的具体ACL规则编号。

1、在全局或VLAN上应用基于ACL的重标记

在全局或VLAN上应用基于ACL的流量统计配置也是在系统视图下根据不同系列交换机选择以下不同命令进行的。

（1）在S2700-52P-EI/2700-52P-PWR-EI/2710SI/3700SI/3700EI系列交换机上执行：

traffic-statistic [vlan vlan-id] inbound acl { [ ipv6 ] { bas-acl | adv-acl | name acl-name} | l2-acl | user-acl } [rule rule-id ] [by-bytes]命令对匹配单个ACL规则的入方向报文进行流量统计。

执行：traffic-statistics [vlan vlan-id] inbound acl { l2-acl | name acl-name }  [rule rule-id ] acl  { bas-acl | adv-acl | name acl-name } [rule rule-id ] [by-bytes] 命令对同时匹配二层ACL和三层ACL规则的入方向报文进行流量统计。

（2）在除S2700-52P-EI和S2700-52P-PWR-EI系列交换机之外的其他S2700EI系列交换机上

执行：traffic-statistic  [vlan vlan-id] inbound acl { [ ipv6 ]{ bas-acl | adv-acl | name acl-name}  | l2-acl} [rule rule-id ]命令对匹配单个ACL规则的入方向报文进行流量统计。

执行traffic-statistic  [vlan vlan-id] inbound acl { l2-acl | name acl-name }  [rule rule-id ] acl  { bas-acl| adv-acl | name acl-name } [rule rule-id ]命令对同时匹配二层ACL和三层ACL规则的入方向报文进行流量统计。

（3）在其他S5700/6700系列交换机上

执行：traffic-statistic  [vlan vlan-id] inbound acl { [ ipv6 ]{ bas-acl | adv-acl | name acl-name}  | l2-acl| user-acl  } [rule rule-id ] [ by-bytes ]命令对匹配单个ACL规则的入方向报文进行流量统计。

执行：traffic- statistic  [vlan vlan-id] outbound acl { [ ipv6 ]{ bas-acl | adv-acl | name acl-name}  | l2-acl} [rule rule-id ]命令对匹配单个ACL规则的出方向报文进行流量统计。

执行：traffic- statistic  [vlan vlan-id] inbound acl { l2-acl | name acl-name }  [rule rule-id ] acl  { bas-acl| adv-acl | name acl-name } [rule rule-id ] [ by-bytes ]命令对同时匹配二层ACL和三层ACL规则的入方向报文进行流量统计。

执行：traffic-statistic  [vlan vlan-id] outbound acl  { l2-acl | name acl-name }  [rule rule-id ] acl  { bas-acl | adv-acl | name acl-name } [rule rule-id ]命令对同时匹配二层ACL和三层ACL规则的出方向报文进行流量统计

在接口上配置流量统计

在端口上应用基于ACL的流量统计要根据不同系列交换机选择对应的配置命令在具体的接口视图下进行

基于ACL的流量统计管理

配置好基于ACL的流量统计后，可执行以下任意视图display traffic-statistics命令查看设备上基于ACL的报文过滤的流量统计信息。

（1）display traffic-statistics[ vlan vlan-id | interface interface-type interface-number ] { inbound | outbound } [ acl { bas-acl | adv-acl | user-acl } [ rule rule-id ] ]

（2）display traffic-statistics[ vlan vlan-id | interface interface-type interface-number ] { inbound | outbound } [ acl { acl-name | l2-acl } [ rule rule-id ] [ acl  { bas-acl| adv-acl | acl-namel} [ rule rule-id ] ]]

（3）display traffic-statistics interface { inbound | outbound}

（4）display traffic-statistics[ vlan vlan-id | interface interface-type interface-number ] { inbound | outbound } [ acl ipv6 {bas-acl | adv-acl | acl-name } [ rule rule-id ] ]

对于基于ACL的简化流策略，主要的基础还是流的过滤，报文过滤、流量监管、流量镜像、流量重定向、报文重标记就是使用不同的配置命令，结合ACL，对符合规则的报文进行相应的处理，前提还是报文过滤，过滤后才进行对应的功能处理，如流量监管，镜像、重定向等。关键是各种配置命令使用的场景。

配置命令也是很有规律的，前面部分基本相同，主要就是ACL的使用，可以单独使用一个二层或三层的ACL，也可以同时使用一个二层和一个三层的ACL，即同时符合二层的ACL规则又符合三层ACL规则。