1675912915,

各位大牛好！

        是这样的，我的S5560S-SI三层上有两个VLAN 分别是999和110，现在我想让这两个VLAN之间不能互相访问，于是我写了ACL，如下：

        Advanced ACL  3500, named -none-, 2 rules,

ACL's step is 5

 rule 5 deny ip source 172.16.10.0 0.0.0.255 destination 192.168.110.0 0.0.0.255

 rule 10 permit ip source 172.16.10.0 0.0.0.255

         interface Vlan-interface999

 ip address 172.16.10.1 255.255.255.0

 packet-filter 3500 inbound

 ip policy-based-route 3999

我在VLAN999接口应用了3500这策略后，貌似不生效啊，VLAN999还是可以访问VLAN110，不知道哪里搞错了，请各位大牛指教，小弟感激不尽！

哦  对了  我在三层上做了策略路由，不知道有没有影响。

(0)

最佳答案

             

在VLAN接口下应用ACL进行报文过滤时，可以通过本功能指定报文过滤的生效范围：

·     仅对三层转发的报文生效。

·     对所有报文生效，即通过VLAN接口进行三层转发的报文和通过VLAN接口对应的物理接口进行二层转发的报文均生效。

packet-filter filter [ route | all ]

(0)

谢谢你的回答！我配置了packet-filter filter all 或packet-filter filter route后，还是不行，两个VLAN指教还是可以互相访问

一念之间 发表时间：

下发时有报错么？ 确认包过滤是否正常下发？

墨峰 发表时间：

下发的时候没有报错，怎么确认包过滤是否正常下发呢？ 谢谢！

一念之间 发表时间：

rule 5 deny ip source 172.16.10.0 0.0.0.255 destination 192.168.110.0 0.0.0.255 下联这个网段的终端还能相互访问？ 看配置

墨峰 发表时间：

是的，还可以访问 我把配置发给您看看。谢谢！ Advanced ACL 3500, named -none-, 2 rules, ACL's step is 5 rule 5 deny ip source 172.16.10.0 0.0.0.255 destination 192.168.110.0 0.0.0.255 rule 10 permit ip source 172.16.10.0 0.0.0.255 interface Vlan-interface999 ip address 172.16.10.1 255.255.255.0 packet-filter filter all packet-filter 3500 inbound ip policy-based-route 3999

一念之间 发表时间：

该问题暂时没有网友解答

,S5560在VLAN上使用packet_filter调用ACL不生效