acl在三层交换机上用的时候，只能用到虚拟vlanif接口上吗？

1.9  应用ACL进行报文过滤

1.9.1  功能简介

ACL最基本的应用就是进行报文过滤。例如，将ACL规则应用到指定接口的入或出方向上，从而对该接口收到或发出的报文进行过滤。

1.9.2  全局应用ACL进行报文过滤

1. 配置限制和指导

全局在一个方向上最多可应用3个ACL进行报文过滤，包括一个IPv4 ACL（IPv4基本ACL或IPv4高级ACL）、一个IPv6 ACL（IPv6基本ACL或IPv6高级ACL）以及一个二层ACL。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     全局应用ACL进行报文过滤。

packet-filter [ ipv6 | mac ] { acl-number | name acl-name } global { inbound | outbound } [ hardware-count ]

缺省情况下，未配置全局的报文过滤。

1.9.3  在接口上应用ACL进行报文过滤

1. 配置限制和指导

一个接口在一个方向上最多可应用3个ACL进行报文过滤，包括一个IPv4 ACL、一个IPv6 ACL以及一个二层ACL。

设备不支持在VLAN接口上应用配置了vpn-instance参数的IPv4 ACL规则进行报文过滤。

接口入方向应用ACL进行报文过滤时，不能匹配IPv4 VXLAN报文的目的MAC地址字段和Customer VLAN内的字段。

三层以太接口/子接口、三层聚合接口/子接口上的IPv4包过滤，不支持引用配置了vpn-instance的ACL规则。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     进入接口视图。

interface interface-type interface-number

(3)     在接口上应用ACL进行报文过滤。

packet-filter [ ipv6 | mac ] { acl-number | name acl-name } { inbound | outbound } [ hardware-count ]

缺省情况下，未配置接口的报文过滤。

1.9.4  配置报文过滤在VLAN接口的生效范围

1. 功能简介

在VLAN接口下应用ACL进行报文过滤时，可以通过本功能指定报文过滤的生效范围：

·     仅对三层转发的报文生效。

·     对所有报文生效，即通过VLAN接口进行三层转发的报文和通过VLAN接口对应的物理接口进行二层转发的报文均生效。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     进入已创建的VLAN接口视图。

interface vlan-interface vlan-interface-id

(3)     配置报文过滤的生效范围。

packet-filter filter [ route | all ]

缺省情况下，报文过滤对通过VLAN接口进行三层转发的报文生效。