关于3750x ACL 失效问题<问题已经解决>

[fitwate]

本帖最后由 fitwate 于 2014-5-13 13:04 编辑
3750x版本如下
Switch Ports Model SW Version SW Image
------ ----- ----- ---------- ----------
* 1 30 WS-C3750X-24 12.2(55)SE5 C3750E-UNIVERSALK9-M
遇到问题，我做了一个访问控制列表如下
ip access-list extended acl_6
deny ip any 192.168.0.0 0.0.255.255
deny ip any 172.16.0.0 0.15.255.255
deny tcp any 192.168.0.0 0.0.255.255
deny tcp any 172.16.0.0 0.15.255.255
deny udp any 192.168.0.0 0.0.255.255
deny udp any 172.16.0.0 0.15.255.255
deny tcp any any eq 22
deny tcp any any eq telnet
permit ip any any
应用到vlan6
interface Vlan6
ip access-group acl_6 in
no ip redirects
no ip unreachables
no ip proxy-arp
实现目标，vlan 6的主机 无法访问192.168.0.0 整段地址，
最近发现vlna6 主机不能ping通 核心37网关，但是能访问其他192.168.段 80端口服务，没有起到控制的作用，有遇到的吗？

[fitwate]

本帖最后由 fitwate 于 2014-5-13 14:20 编辑
问题已经解决。最笨的办法，分块删除最近的配置，发现删除mac 访问控制列表后，访问控制列表恢复正常。初步判断mac访问控制和ip访问控制列表 同时应用到一个数据流，mac acl permit后，ip acl 就不会审计了，关于ip acl 和mac acl 同时配置，暂时没有查到理论支持，有了解的 请大家发表意见，谢谢！
找到一个相关评论

You can filter both types of traffic using a VACL for MAC ACL filtering under the access map you just have specify "match mac address" instead of "match ip address"

链接
https://supportforums.cisco.com/discussion/10530096/vacls-mac-access-lists

[Yanli Sun]

fitwate 发表于 2014-5-13 13:03
问题已经解决。最笨的办法，分块删除最近的配置，发现删除mac 访问控制列表后，访问控制列表恢复正常。初步 ...

楼上真是勤奋好学、乐于分享的好同学，赞一个 :handshake