S7610包过滤和策略路由

packet-filter（包过滤）是一种基于ACL（访问控制列表）的安全控制功能，它可以根据ACL中定义的规则对数据包进行允许或拒绝的动作。packet-filter可以在交换机的接口上进行入方向或出方向的配置，实现对进入或离开接口的数据包的过滤。¹

policy-based-route（策略路由）是一种基于流策略（traffic policy）的路由控制功能，它可以根据流策略中定义的规则对数据包进行重定向到指定的下一跳地址的动作。policy-based-route可以在交换机的接口上进行入方向或出方向的配置，实现对进入或离开接口的数据包的路由选择。²

当在交换机的同一个接口【入方向】上应用packet-filter和policy-based-route时，它们的匹配顺序是这样的：

• 首先，交换机会根据packet-filter中引用的ACL对进入接口的数据包进行过滤，如果数据包被允许通过，则继续进行下一步；如果数据包被拒绝，则丢弃该数据包，不再进行后续处理。
• 其次，交换机会根据policy-based-route中引用的流策略对通过packet-filter过滤后的数据包进行重定向，如果数据包符合流策略中定义的条件，则将该数据包重定向到指定的下一跳地址；如果数据包不符合流策略中定义的条件，则按照正常的路由表进行转发。

因此，packet-filter和policy-based-route之间是先过滤后重定向的关系，packet-filter优先级高于policy-based-route。

如果您想了解更多关于packet-filter和policy-based-route的内容，您可以访问以下链接：

• 通过流策略实现策略路由（重定向到不同的下一跳）
• Route-Policy原理和应用
• 【干货】Route-Policy详解