高级ACL在qos中应用时permit，deny含义

acl中rule 5改为permit，rule 10改为deny

traffic behavior中动作改为permit

1.首先确认一下调用的方向对不对。

2.其次试试把这个qos策略拆成两条写。有一定概率是触发了之前你其他提问里的那个机制，就是部分设备在匹配qos策略的acl的时候是不看permit和deny的，全当成permit处理。

例如改写成：

acl advanced 3000
rule 5 permit icmp source 172.30.195.198 0 destination 172.30.205.196 0
#
acl advanced 3001
rule 5 permit icmp
#

traffic classifier 0 operator and
if-match acl 3000
#
traffic classifier 1 operator and
if-match acl 3001
#
traffic behavior 0
filter permit
#
traffic behavior 1
filter deny
#
qos policy 01
classifier 0 behavior 0
classifier 1 behavior 1
#

interface GigabitEthernet1/0/1
qos apply policy 01 inbound
#

H3C的设备对于acl的应用首先要了解：

1、 packet-filter：基于硬件转发层面直接应用ACL规则进行报文过滤，属于二层/三层基础访问控制功能 ，调用的acl  ，动作取决于acl中的动作、permit 就放通、deny 就拒绝；

2、   traffic ACL：属于QoS流分类（MQC）组件，需结合traffic behavior定义动作，用于实现复杂流量策略（如重定向、限速、标记优先级等）。 当ACL被QoS策略引用时，ACL的动作（deny/permit）不生效，实际动作由流行为决定，ACL仅用于流分类。

ACL中需要permit你的数据流，流行为里面用deny。而不是ACL里面用deny匹配的数据流，看下面实例

9.4  流量过滤典型配置举例

9.4.1  流量过滤基本组网配置举例

1. 组网需求

Host通过接口Ten-GigabitEthernet3/1/1接入设备Device。

配置流量过滤功能，对接口Ten-GigabitEthernet3/1/1接收的目的端口号等于21的TCP报文进行丢弃。

2. 组网图

图9-1 流量过滤基本组网图

‌

3. 配置步骤

# 定义高级ACL 3000，匹配目的端口号等于21的数据流。

<Device> system-view

[Device] acl advanced 3000

[Device-acl-ipv4-adv-3000] rule 0 permit tcp destination-port eq 21

[Device-acl-ipv4-adv-3000] quit

# 定义类classifier_1，匹配高级ACL 3000。

[Device] traffic classifier classifier_1

[Device-classifier-classifier_1] if-match acl 3000

[Device-classifier-classifier_1] quit

# 定义流行为behavior_1，动作为流量过滤（deny），对数据包进行丢弃。

[Device] traffic behavior behavior_1

[Device-behavior-behavior_1] filter deny

[Device-behavior-behavior_1] quit

# 定义策略policy，为类classifier_1指定流行为behavior_1。

[Device] qos policy policy

[Device-qospolicy-policy] classifier classifier_1 behavior behavior_1

[Device-qospolicy-policy] quit

# 将策略policy应用到端口Ten-GigabitEthernet3/1/1的入方向上。

[Device] interface ten-gigabitethernet 3/1/1

[Device-Ten-GigabitEthernet3/1/1] qos apply policy policy inbound