acl在三層交換機上用的時候，隻能用到虛擬vlanif接口上嗎？

你物理口需要方向對應的vlan信息

物理口,全局,虛接口都可以

1.9  應用ACL進行報文過濾

1.9.1  功能簡介

ACL最基本的應用就是進行報文過濾。例如，將ACL規則應用到指定接口的入或出方向上，從而對該接口收到或發出的報文進行過濾。

1.9.2  全局應用ACL進行報文過濾

1. 配置限製和指導

全局在一個方向上最多可應用3個ACL進行報文過濾，包括一個IPv4 ACL（IPv4基本ACL或IPv4高級ACL）、一個IPv6 ACL（IPv6基本ACL或IPv6高級ACL）以及一個二層ACL。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     全局應用ACL進行報文過濾。

packet-filter [ ipv6 | mac ] { acl-number | name acl-name } global { inbound | outbound } [ hardware-count ]

缺省情況下，未配置全局的報文過濾。

1.9.3  在接口上應用ACL進行報文過濾

1. 配置限製和指導

一個接口在一個方向上最多可應用3個ACL進行報文過濾，包括一個IPv4 ACL、一個IPv6 ACL以及一個二層ACL。

設備不支持在VLAN接口上應用配置了vpn-instance參數的IPv4 ACL規則進行報文過濾。

接口入方向應用ACL進行報文過濾時，不能匹配IPv4 VXLAN報文的目的MAC地址字段和Customer VLAN內的字段。

三層以太接口/子接口、三層聚合接口/子接口上的IPv4包過濾，不支持引用配置了vpn-instance的ACL規則。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     進入接口視圖。

interface interface-type interface-number

(3)     在接口上應用ACL進行報文過濾。

packet-filter [ ipv6 | mac ] { acl-number | name acl-name } { inbound | outbound } [ hardware-count ]

缺省情況下，未配置接口的報文過濾。

1.9.4  配置報文過濾在VLAN接口的生效範圍

1. 功能簡介

在VLAN接口下應用ACL進行報文過濾時，可以通過本功能指定報文過濾的生效範圍：

·     僅對三層轉發的報文生效。

·     對所有報文生效，即通過VLAN接口進行三層轉發的報文和通過VLAN接口對應的物理接口進行二層轉發的報文均生效。

2. 配置步驟

(1)     進入係統視圖。

system-view

(2)     進入已創建的VLAN接口視圖。

interface vlan-interface vlan-interface-id

(3)     配置報文過濾的生效範圍。

packet-filter filter [ route | all ]

缺省情況下，報文過濾對通過VLAN接口進行三層轉發的報文生效。