之前搞过IPS-ACG的多插卡引流。防火墙的其实也类似，把流量理清楚了就好了，建议可以IPS二层，FW三层，二层MQC，三层路由引就可以了。

附上之前的小案例吧，希望有帮助。

一、实验拓扑

二、实验需求

实验拓扑规划和IP地址规划如图所示，要求二者之间在互访的时候要通过MQC引流的方式分别经过IPS和ACG之后再回到交换机继续进行转发。

三、实验步骤

3.1. S7506E的配置

首先创建对应的vlan：

vlan 101 to 102

将端口加入到对应的vlan

interface GigabitEthernet5/0/2

 port link-mode bridge

 port access vlan 202

#

interface GigabitEthernet5/0/1

 port link-mode bridge

 port access vlan 201

创建对应的acl匹配对应的流量：

acl number 3000

 rule 0 permit ip

配置相应的qos策略。匹配数据流，设置重定向效果

traffic classifier down operator and

 if-match acl 3000

traffic classifier up operator and

 if-match acl 3000

traffic classifier 201 operator and

 if-match acl 3000

 if-match service-vlan-id 201

traffic classifier 202 operator and

 if-match acl 3000

 if-match service-vlan-id 202

traffic behavior down

 redirect interface Ten-GigabitEthernet3/0/1

traffic behavior up

 redirect interface Ten-GigabitEthernet4/0/1

traffic behavior 201

 redirect interface Ten-GigabitEthernet3/0/1

traffic behavior 202

 redirect interface Ten-GigabitEthernet4/0/1

配置策略将两者绑定：

qos policy down

 classifier down behavior down

qos policy up

 classifier up behavior up

qos policy 201

 classifier 201 behavior 201

qos policy 202

 classifier 202 behavior 202

在接口调用相关的策略：

interface GigabitEthernet5/0/1

 port link-mode bridge

 port access vlan 201

 qos apply policy up inbound

interface GigabitEthernet5/0/2

 port link-mode bridge

 port access vlan 202

 qos apply policy down inbound

配置完成后完成内连口的配置：

interface Ten-GigabitEthernet3/0/1

 port link-mode bridge

 port link-type trunk

 undo port trunk permit vlan 1

 port trunk permit vlan 201 to 202

 stp disable

 qos apply policy 202 inbound

 mac-address mac-learning disable

interface Ten-GigabitEthernet4/0/1

 port link-mode bridge

 port link-type trunk

 undo port trunk permit vlan 1

 port trunk permit vlan 201 to 202

 stp disable

 qos apply policy 201 inbound

 mac-address mac-learning disable

3.2.IPS/ACG的配置

ACG的配置：

之后要在插卡上将acfp关掉。

配置安全域：

配置安全段：

IPS配置：

IPS段设置：