数据包分片问题

那么如果我做了ACL，permit 514端口，其他的deny。这样，是不是只有第一个包可以通过，由于分片后除第一个包携带端口号，其他不携带，那么没有端口号的分片包是不是就会被ACL过滤掉，从而会出现网络异常？

数据包分片之后不携带端口号，但是acl仍然能过滤到。具体的原理是： acl会根据报文的类型，如非分片报文、首片分片报文、后续分片报文，进行不同的处理1。 对于首片分片报文，acl会根据报文的三层信息和四层信息，与规则进行匹配，如果允许通过，则记录首片分片报文的状态信息，建立后续分片的匹配信息表12。 对于后续分片报文，acl不再进行规则的匹配，而是根据首片分片报文的匹配结果进行转发或丢弃12。 对于不匹配acl规则的报文，acl还可以配置缺省处理方式1。