请问华三防火墙命令行上，怎么看针对一条策略的具体匹配情况？需要开启什么吗？

需要根据对应ACL的应用场景结合分析，比如：

1、如果对应ACL是后挂在telnet server后的，此类上述CPU的报文，在对应acl rule后加count参数后，可直接通过display acl查看；

2、如果对应ACL是被包过滤等策略调用，此类过设备转发的报文，需要在调用对应策略是添加 hardware-count，然后通过display packet-filter查看。

1.1.13  packet-filter (interface view)

packet-filter命令用来在接口上应用ACL进行报文过滤。

undo packet-filter命令用来取消在接口上应用ACL进行报文过滤。

【命令】

packet-filter [ ipv6 | mac | user-defined ] { acl-number | name acl-name } { inbound | outbound } [ hardware-count ] [ share-mode ]

undo packet-filter [ ipv6 | mac | user-defined ] { acl-number | name acl-name } { inbound | outbound }

【缺省情况】

接口不对报文进行过滤。

【视图】

二层以太网接口视图/二层聚合接口视图/三层以太网接口视图/三层以太网子接口视图/三层聚合接口视图/VLAN接口视图/VSI虚接口视图/S通道接口视图/S通道聚合接口视图

【缺省用户角色】

network-admin

【参数】

ipv6：指定ACL类型为IPv6 ACL。

mac：指定ACL类型为二层ACL。

user-defined：指定ACL类型为用户自定义ACL。

acl-number：指定ACL的编号，取值范围及其代表的ACL类型如下：

·            2000～2999：表示基本ACL。

·            3000～3999：表示高级ACL。

·            4000～4999：表示二层ACL。

·            5000～5999：表示用户自定义ACL。

name acl-name：指定ACL的名称。acl-name表示ACL的名称，为1～63个字符的字符串，不区分大小写。

inbound：对收到的报文进行过滤。

outbound：对发出的报文进行过滤。

hardware-count：表示规则匹配硬件统计功能，缺省为关闭。

share-mode：对二层以太网接口和三层以太网接口应用ACL配置共享QoS和ACL资源模式的报文过滤，该模式下相同方向上所有应用了该ACL进行报文过滤的接口共享一份QoS和ACL资源。缺省情况下，接口入方向应用ACL配置报文过滤时会采用共享QoS和ACL资源模式，不用指定share-mode关键字；接口出方向应用ACL配置报文过滤时，如需采用共享QoS和ACL资源模式，则必须指定share-mode关键字。

【使用指导】

若未指定ipv6、mac或user-defined关键字，则表示IPv4 ACL。

本命令中的hardware-count参数用于开启指定ACL内所有规则的硬件匹配统计功能，而rule命令中的counting参数则用于开启当前规则的匹配统计功能。

如果设备资源不足，必须先执行undo packet-filter命令取消报文过滤，然后再配置不携带hardware-count关键字的报文过滤，以此关闭规则匹配硬件统计功能。

如果设备资源充足，可通过不携带hardware-count关键字重新配置报文过滤，以此关闭规则匹配硬件统计功能。

一个接口在一个方向上最多可应用4个ACL进行报文过滤，包括一个IPv4 ACL、一个IPv6 ACL、一个二层ACL以及一个用户自定义ACL。

在出方向上，每个接口仅支持配置1个共享QoS和ACL资源模式的报文过滤，且设备最多支持7份共享的QoS和ACL资源。

接口应用报文过滤后不能动态修改QoS和ACL的资源共享模式，如需修改，请先取消该接口应用的报文过滤，然后在配置接口应用报文过滤时选择携带或不携带share-mode关键字。

对于同一VLAN接口的同一个方向，可以在VLAN接口视图下配置packet-filter命令实现报文过滤功能，也可以在系统视图下配置packet-filter vlan-interface命令实现报文过滤功能，但二者不可同时配置。

基于二层聚合接口和三层聚合接口应用ACL进行报文过滤时，仅支持对接口收到的报文进行过滤。

有关VSI虚接口的详细介绍，请参见“VXLAN配置指导”。

有关S通道接口、S通道聚合接口的详细介绍，请参见“EVB配置指导”。

【举例】

# 应用IPv4基本ACL 2001对接口Ten-GigabitEthernet1/0/1收到的报文进行过滤，并开启规则匹配硬件统计功能。

<Sysname> system-view

[Sysname] interface ten-gigabitethernet 1/0/1

[Sysname-Ten-GigabitEthernet1/0/1] packet-filter 2001 inbound hardware-count

# 以共享QoS和ACL资源模式应用IPv4基本ACL 2001对接口Ten-GigabitEthernet1/0/1发送的报文进行过滤。

<Sysname> system-view

[Sysname] interface ten-gigabitethernet 1/0/1

[Sysname-Ten-GigabitEthernet1/0/1] packet-filter 2001 outbound share-mode