涉及网元

无需其他网元配合。

License支持

基于ACL的简化流策略是交换机的基本特性，无需获得License许可即可应用此功能。

V200R019C10版本特性支持情况

S2720, S5700, S6700系列交换机中所有款型均支持基于ACL的简化流策略。

如需了解交换机软件配套详细信息，请点击Info-Finder。

特性依赖和限制

• V200R012C00及后续版本的S5720-EI、S5720-HI、S5730-HI、S5731-H、S5731-H-K、S5731-S、S5731S-H、S5731S-S、S5732-H、S5732-H-K、S6720-EI、S6720-HI、S6720S-EI、S6730-H、S6730-H-K、S6730S-H、S6730-S和S6730S-S支持在VLANIF接口上配置基于ACL的简化流策略。

  • 在V200R019C10之前版本，只能在VLANIF接口的入方向配置基于ACL的简化流策略；从V200R019C10版本开始，支持在VLANIF接口的入方向和出方向配置基于ACL的简化流策略。

  • VLANIF接口对应的VLAN不能是Super-VLAN或MUX VLAN。

  • 对于S5720-EI、S6720-EI和S6720S-EI，应用在VLANIF接口上的基于ACL的简化流策略只对相应VLANIF下的单播报文及三层组播报文生效。

  • 对于S5720-HI、S5730-HI、S5731-H、S5731-H-K、S5731-S、S5731S-H、S5731S-S、S5732-H、S5732-H-K、S6720-HI、S6730-H、S6730-H-K、S6730S-H、S6730-S和S6730S-S，应用在VLANIF接口上的基于ACL的简化流策略只对相应VLANIF下的单播报文生效。

• 配置基于ACL的简化流策略时，

  • 当命令中指定name acl-name时，需要通过acl name或者acl ipv6 name命令创建对应的ACL，否则命令配置不成功。

  • 当命令中指定rule rule-id时，需要先创建ACL并且配置对应的rule，否则命令配置不成功。

• 配置的ACL6规则应用为硬件ACL时的约束请参见《S2720, S5700, S6700 V200R019C10 配置指南-安全配置》 ACL配置中的配置高级ACL6。
• 配置traffic-limit 、traffic-redirect 、traffic-remark、traffic-statistic或traffic-mirror时，无论报文命中ACL的是permit规则还是deny规则，设备都会按照配置的简化流策略对报文执行相应动作。如果希望设备能过滤掉命中deny规则的报文，则必须同时配置traffic-filter或traffic-secure。
• V200R013C00及之前版本同一接口、VLAN或全局下配置多条基于ACL的简化流策略，如果其中一条基于ACL的流策略引用的ACL规则发生变化，会导致此视图所有已配置的基于ACL的简化流策略短暂失效。
• 如果配置traffic-redirect（接口视图）或traffic-redirect（系统视图）命令将流量重定向到接口时，建议ACL规则匹配二层流量。
• 当S2720-EI、S2750-EI、S5700-LI、S5700S-LI、S5710-X-LI、S5720I-SI、S5720-LI、S5720S-LI、S5720S-SI、S5720-SI、S5730S-EI、S5730-SI、S6720-LI、S6720S-LI、S6720S-SI和S6720-SI上同时做如下配置时，接口出方向基于ACL的报文过滤、流量监管、重标记或流量统计功能不生效：
  • 出方向配置了基于ACL的报文过滤、流量监管、重标记或流量统计功能，ACL规则是基于VLAN ID。
  • 接口上配置了VLAN Mapping功能，且映射后的VLAN ID与ACL规则中的VLAN ID相同。
• S5730-HI、S5731-H、S5731-H-K、S6720-HI、S6730-H、S6730-H-K、S6730S-H、S5731-S、S5731S-S、S6730-S、S6730S-S、S5731S-H、S5732-H、S5732-H-K、V200R011C00及后续版本的S5720-HI支持基于用户自定义ACL的简化流策略。
• 如果ACL规则匹配了报文的VPN实例名称，则基于ACL的简化流策略下发不成功。

• 匹配同一个ACL的MQC流策略和基于ACL的简化流策略应用到同一对象时，基于ACL的简化流策略优先生效。以下情况例外：使用traffic-secure命令配置基于ACL的报文过滤，可以与匹配同一个ACL的MQC流策略同时生效。

• V200R007C00版本及后续版本的S2750-EI、S5700-10P-LI-AC、S5700-10P-PWR-LI-AC以及V200R009C00和V200R010C00版本的S2720-EI，IPv4报文三层硬件转发功能处于未使能状态，必须执行命令assign forward-mode ipv4-hardware使能IPv4报文三层硬件转发功能，才能使基于ACL的简化流策略生效（V200R007C00之前的版本不支持使能IPv4报文三层硬件转发功能）。其他设备以及V200R010C00之后版本的S2720-EI默认使能IPv4报文三层硬件转发功能。
• 对于S5735-L、S5735S-L、S5735S-L-M、S5735-S、S5735-S-I、S5735S-S，当基于ACL的简化流策略应用在出方向时：
  • 不支持同时匹配报文的源IPv6地址和目的IPv6地址。
  • 不支持同时匹配报文的IPv4信息（IP地址、UDP端口号）和部分二层协议信息（目的MAC地址、源MAC地址以及除IPv4、IPv6和ARP以外的二层协议字段）。
  • 若两个基于ACL的简化流策略分别匹配报文的源IPv6地址和目的IPv6地址，动作冲突时匹配报文源IPv6地址的简化流策略生效，动作不冲突时两者都能生效。
  • 不支持ACL规则或ACL6规则中指定first-fragment参数。
• 对于S5700-EI、S5700-HI、S5710-EI、S5710-HI、S5720-EI、S6700-EI、S6720-EI、S6720S-EI、S5730-HI、S5731-H、S5731-H-K、S5731-S、S5731S-H、S5731S-S、S5732-H、S5732-H-K、S5735-L、S5735S-L、S5735S-L-M、S5735-S、S5735-S-I、S5735S-S、S6720-HI、S6730-H、S6730-H-K、S6730S-H、S6730-S和S6730S-S，若对入方向报文同时配置VLAN Mapping功能和基于ACL的重标记，且指定重标记报文的802.1p优先级或者VLAN编号，那么基于ACL的重标记匹配映射前VLAN ID。其他情况下，若对报文同时配置VLAN Mapping功能和基于ACL的简化流策略，那么基于ACL的简化流策略匹配映射后的VLAN ID。
• 目的IP是本机的报文会上送CPU，另外一些协议报文对应的功能使能后也会上送CPU，比如BGP、OSPF、LACP使能后也会上送CPU处理。上送CPU的报文同时匹配简化流策略所基于的ACL，如果CPCAR和基于ACL的简化流策略的动作冲突，CPCAR和基于ACL的简化流策略只有优先级高的生效。CPCAR和基于ACL的简化流策略的优先级关系如表10-1所示。
  表10-1 CPCAR和基于ACL的简化流策略的优先级关系

  形态	优先级顺序
  S2700-EI、S2710-SI、S2720-EI、S2750-EI、S3700、S5700-LI、S5700S-LI、S5710-C-LI、S5710-X-LI、S5700-SI、S5700-EI、S5710-EI、S5720-LI、S5720S-LI、S5720-SI、S5720S-SI、S5720I-SI、S5700-HI、S5710-HI、S5730-SI、S5730S-EI、S6700-EI、S6720-LI、S6720S-LI、S6720-SI、S6720S-SI	基于ACL的简化流策略优先级高于CPCAR。 说明： 对于DHCP以及NAC认证时需要上送的ARP协议报文优先级高于基于ACL的简化流策略。
  S6720-EI、S6720S-EI、S5720-EI、S5735-L、S5735S-L、S5735S-L-M、S5735-S、S5735S-S、S5735-S-I、S5720-HI、S5730-HI、S5731-H、S5731-H-K、S5731S-H、S5731-S、S5731S-S、S6720-HI、S5732-H、S5732-H-K、S6730-H、S6730-H-K、S6730S-H、S6730-S、S6730S-S	CPCAR优先级高于基于ACL的简化流策略。 说明： 对于S5720-EI，V200R007版本基于ACL的简化流策略优先级高于CPCAR，其他版本CPCAR优先级高于基于ACL的简化流策略。

• 对于S5720-HI、S5730-HI、S5731-H、S5731-H-K、S5731S-H、S5732-H、S5732-H-K、S5731-S、S5731S-S、S6720-HI、S6730-H、S6730-H-K、S6730S-H、S6730-S、S6730S-S中不支持配置扩展表项空间资源模式的设备，仅支持匹配ACL6规则中的协议号、源端口号、目的端口号、源IPv6地址和目的IPv6地址，且不支持将匹配这些内容的基于ACL6的简化流策略应用在VLANIF接口上。