华为交换机ACL业务模块的处理机制（转自华为官方社区）

ACL业务模块的处理机制

各类ACL应用的业务模块对命中/未命中ACL的处理机制是各不相同的。

目前设备支持的ACL，有以下两种实现方式。

·         软件ACL：针对与本机交互的报文（必须上送CPU处理的报文），由软件实现来过滤报文的ACL，比如FTP、TFTP、Telnet、SNMP、HTTP、路由协议、组播协议中引用的ACL。

·         硬件ACL：针对所有报文（一般是针对转发的数据报文），通过下发ACL资源到硬件来过滤报文的ACL，比如流策略、基于ACL的简化流策略、自反ACL、用户组以及为接口收到的报文添加外层Tag功能中引用的ACL。

两者主要区别在于：

·         过滤的报文类型不同：软件ACL用来过滤与本机交互的报文（必须上送CPU处理的报文），硬件ACL可以用来过滤所有报文（一般是针对转发的数据报文）。

·         报文过滤方式不同：软件ACL是被上层软件（即应用层服务）引用来实现报文的过滤；通过软件ACL过滤报文时，会消耗CPU资源。

·         硬件ACL是被下发到硬件来实现报文的过滤。通过硬件ACL过滤报文时，则会占用硬件资源。通过硬件ACL过滤报文的速度更快。

对不匹配ACL的报文的处理动作不同：

当使用软件ACL时，如果报文未匹配上ACL中的规则，设备对该报文采取的动作为deny，即拒绝报文通过；

当使用硬件ACL时，如果报文未匹配上ACL中的规则，设备对该报文采取的动作为permit，即允许报文通过。

例如，在流策略中应用ACL时，如果ACL中存在规则但报文未匹配上，该报文仍可以正常通过；但在Telnet中应用ACL，这种情况下，该报文就无法正常通过了。

再如，在黑名单中应用ACL时，无论ACL规则配置成permit还是deny，只要报文命中了规则，该报文都会被系统丢弃，其他模块却不存在这种情况。

所以，大家在配置ACL规则并应用到业务模块中时，一定要格外小心。

常用ACL业务模块的处理机制整理：

为了方便大家查阅，本文转自华为官方特地整理的常用ACL业务模块的处理机制。