CR16000中packet-filter ACL匹配顺序

1. 整体处理顺序（报文转发流程）

在CR16000中，报文处理通常遵循以下典型流程（从入接口到出接口）：

1. 入方向安全策略（如packet-filter ACL）
2. NAT处理（包括静态NAT）
3. 路由选择
4. QoS策略（如流量监管、队列调度等）
5. 出方向安全策略

在H3C CR16000路由器上，packet-filter（包过滤）、静态NAT和QoS的匹配顺序遵循一个清晰的流程。

📊 报文整体处理流程

一个报文从进入设备到离开，会依次经历以下处理阶段：

1. 入方向安全策略：最先执行，例如通过 packet-filter inbound 调用的ACL。此阶段匹配的是报文的原始地址（如源IP 1.1.1.1）。

2. NAT处理：接着进行网络地址转换，包括静态NAT。如果配置了转换，报文的源或目的地址在这里会被修改（如源IP 1.1.1.1 转换为 2.2.2.2）。

3. 路由选择：根据转换后的目的IP地址，查询路由表以决定报文的出接口和下一跳。

4. QoS策略：在路由选定后，执行QoS策略，例如流量监管、队列调度等。

5. 出方向安全策略：最后执行，例如通过 packet-filter outbound 调用的ACL。此阶段匹配的是经过NAT转换后的地址（如源IP 2.2.2.2）。

重要提示：这个顺序是在接口上应用这些功能时的宏观处理顺序。packet-filter 作为包过滤功能，其本身ACL规则的匹配顺序是另一回事。

📝 ACL规则内部的匹配顺序

一个ACL（访问控制列表）内通常包含多条规则（rule）。当报文匹配该ACL时，规则的匹配顺序有两种模式：

• 配置顺序：按照规则编号（rule ID）由小到大依次匹配。

• 自动排序：按照“深度优先”原则进行匹配，即匹配条件更具体、更严格的规则会被优先匹配。