低端交换机通过traffic-policy引用acl因配置错误导致过滤报文失败

低端交换机通过traffic-policy引用acl因配置错误导致过
滤报文失败
现象描述：
在CMNET接入交换机上希望利用traffic-policy，来对用户的上网行为进行管理，仅允许10.1.1.2的用户能ping通10.1.1.1。

测试了三种配置均失败，以下是在S5300上做的几次测试的结果及配置：
1）10.1.1.2发给10.1.1.1的icmp报文被过滤，其他任何类型业务正常
vlan 1
traffic-policy test inbound
#
acl number 3001
rule 10 permit icmp source 10.1.1.2 0 destination 10.1.1.1 0
#
traffic classifier test
if-match acl 3001
#
traffic behavior test
deny
#
traffic policy test
classifier test behavior test
#
interface Vlanif1
ip address 10.1.1.1 255.255.252.0
2）所有的icmp报文被过滤
vlan 1
traffic-policy test inbound
#
acl number 3001
rule 10 permit icmp source 10.1.1.2 0 destination 10.1.1.1 0 rule 20 deny icmp
#
traffic classifier test
if-match acl 3001
#
traffic behavior test
deny
#
traffic policy test
classifier test behavior test
#
interface Vlanif1
ip address 10.1.1.1 255.255.252.0
3）所有类型报文均被放行：
vlan 1
traffic-policy test inbound
#
acl number 3001
rule 10 permit icmp source 10.1.1.2 0 destination 10.1.1.1 0 rule 20 deny icmp
#
traffic classifier test
if-match acl 3001
#
traffic behavior test
permit
#
traffic policy test
classifier test behavior test
#
interface Vlanif1
ip address 10.1.1.1 255.255.252.0
原因分析：
流程图：
在低端交换机上通过traffic-policy引用acl场景中，低端交换机acl的rule里面的permit/deny是不生效的，一切取决于traffic-behaviour中的配置
本次测试所作操作失败的原因在于：
1）匹配rule 10 的报文被deny(rule中permit无效)，其他没有匹配rule 10的报文默认permit
2）匹配rule 10和20 的报文被deny，即丢弃所有icmp，报文默认permit 3）匹配rule 10和20 的报文被permit，即丢弃所有icmp，报文默认permit
解决措施：
正确的配置：
在一个policy中配两个classifier behavior对，前面一个允许特定icmp流量通过，后面一个禁止其它icmp流量
acl number 3001
rule 10 permit icmp source 10.1.1.2 0 destination 10.1.1.1 0 #
acl number 3002
rule 20 deny icmp
#
traffic classifier mgt
if-match acl 3001
#
traffic classifier mgt2
if-match acl 3002
#
traffic behavior mgt
permit
#
traffic behavior mgt2
deny
#
traffic policy test
classifier mgt behavior mgt
classifier mgt2 behavior mgt2
建议与总结：
高端交换机S9300的ACL中rule定义的permit/deny是生效的，结合behaviour中的permit/deny共同作用，两个中有一个deny结果就是deny。