华三7610 带vpn参数的acl 和不带vpn参数的acl用法有啥不同

# H3C S7610 ACL rule 带 / 不带 `vpn‑instance` 参数区别（Comware V7，VRF 场景）

>
> 你的组网：`Vlan‑interface436`绑定`vpn‑instance thxcct`，接口 IP：`10.189.208.1/24`；需求拒绝 UDP 目的端口 5555 流量。
> 注意：命令拼写是`vpn‑instance`，不是`vpn‑instancre`，配置要修正。

## 两条规则对比

```
# ①带vpn‑instance参数
rule 10 deny udp destination‑port eq 5555 vpn‑instance thxcct

# ②不带vpn‑instance参数
rule 10 deny udp destination‑port eq 5555
```

### 1、`rule ... vpn‑instance thxcct`（带上该参数）

- **匹配逻辑**：报文除匹配 IP / 端口等条件外，**还必须属于指定 VPN 实例`thxcct`的路由表空间，才命中这条 rule**。
- 只匹配来自 / 去往`thxcct`这个 VRF 的报文；其他 VRF、公网（全局默认 VRF）的同 IP 同端口报文**不会匹配本条**。
- 用途：**同一台设备多 VRF，存在 IP 地址重叠（地址冲突）时做精准区分**。不同 VPN 实例可以存在完全一样的 IP 网段，靠`vpn‑instance`参数区分属于哪个 VRF 的流量。
- 注意：该参数匹配的是报文**路由查找所使用的 VPN 实例**，不是报文入接口。

### 2、rule 不带`vpn‑instance`参数

- **匹配逻辑**：只匹配 IP、协议、端口，**不校验报文属于哪个 VPN 实例**。

>
> ⚠️关键点：ACL 本身规则不绑定 VRF；**ACL 在哪一个接口下被`traffic‑filter`调用，就对该接口所属 VRF 的流量生效**。

- 如果你把该 ACL 直接应用在`Vlan‑interface436`（已绑定`thxcct`）：`traffic‑filter inbound acl XXX`，此时接口本身就在`thxcct`，接口收到的报文全部属于`thxcct`，不带 vpn‑instance 参数的 rule 也只会过滤该 VRF 流量。
- 风险：如果这个 ACL 被复用、应用到**其他绑定不同 VRF 或者公网接口**上，只要 IP / 端口匹配，就会对别的 VRF 流量也执行 deny，会出现非预期拦截。

## 结合你的场景重点说明

```
interface Vlan‑interface436
ip binding vpn‑instance thxcct
ip address 10.189.208.1 255.255.255.0
traffic‑filter inbound acl 3000
```

1. 只在`Vlan‑if436`这一个接口调用该 ACL：
- ✅不带`vpn‑instance thxcct`参数也可以正常阻断该接口下 UDP 5555；报文只能来自 thxcct 实例。
2. 如果未来该 ACL 会被多个接口复用（分别属于不同 VRF）：
- ✅必须带上`vpn‑instance thxcct`，保证**只阻断 thxcct 实例内 UDP5555，别的 VRF 同端口流量不受这条规则影响**。

## 常见踩坑点

1. 接口绑定 vpn‑instance ≠ ACL 规则自动带上 vpn‑instance；接口只是调用 ACL 的载体，ACL 规则本身是全局对象，不属于任何 VRF。
2. 当不同 VRF 内存在**相同 IP 网段**，如果 ACL 规则不带`vpn‑instance`，会出现错误匹配，把别的 VRF 的同 IP 流量误拦截。
3. `vpn‑instance`是 rule 子句，不是 ACL 视图绑定；是**单条 rule 粒度**的匹配条件，不是整个 ACL 绑定 VRF。

## 最简选型建议

表格

| 场景 | 推荐写法 |
| --- | --- |
| ACL 只在这一个 VRF 接口调用，不会复用 | rule 不带 vpn‑instance 即可 |
| ACL 会被多个 VRF / 公网接口复用，VRF 间有 IP 重叠 | rule 务必增加`vpn‑instance xxx`做 VRF 限定 |

## 排错命令

```
display acl 3000 #查看rule配置、命中计数
display ip vpn‑instance brief #确认vrf实例状态
display traffic‑filter interface Vlan‑interface 436 #确认接口过滤是否生效
```