华为防火墙怎么在接口下应用acl

流策略的执行过程（Or逻辑）

如图，针对每个Classifier，如果If-match语句之间是Or逻辑，按照if-match语句配置顺序进行匹配，数据包一旦命中某个if-match语句：

• 如果命中的if-match语句没有引用ACL，则执行behavior定义的动作。
• 如果命中的if-match语句引用了ACL，且命中的是permit规则，则执行behavior定义的动作；命中的是deny规则，则直接丢弃报文。

如果数据包没有命中任何if-match语句，则不支持任何动作，继续处理下一个Classifier。

流策略的执行过程（if-match语句间是And逻辑）

如果If-match语句之间是And逻辑，设备先会将这些if-match语句进行合并（这里的“合并”相当于集合的乘法操作），再按照Or逻辑的处理流程进行处理。

对于引用ACL的if-match语句，不是将ACL内部的各条Rule进行合并，而是逐条与其他if-match语句进行合并。因此值得注意的是：And逻辑中if-match语句的顺序不影响匹配结果，但ACL中Rule的顺序仍然会影响匹配结果。

例如，某个流策略下配了如下一个classifier：

则设备首先进行if-match语句的合并，合并结果相当于：

然后，再针对合并结果按Or逻辑的执行过程进行处理。处理结果是从GE2/0/0收到的源IP为1.1.1.1/32且dscp=10的报文重标记为AF22，源IP为1.1.1.2/32且dscp=10的报文丢弃，其他报文由于没有匹配任何规则，直接转发。

If-math语句引用ACL时的匹配过程

如果if-match语句指定的是ACL，需要在ACL的多个Rule语句中进行匹配：首先查找用户是否配置了该ACL（因为流分类允许引用不存在的ACL），命中的第一条则停止匹配，不再继续查找后续的规则。