ACL на коммутаторах L3
ACL на L3-коммутаторе удобны для сегментации VLAN-to-VLAN без отдельного МСЭ на каждый поток. Но направление (in/out) и место применения решают всё.
Правила проектирования
- Пишите ACL от частного к общему; в конце — явный deny/permit и комментарии.
- Фильтруйте ближе к источнику, если цель — уменьшить лишний трафик на ядре.
- Отдельно опишите доступ к mgmt VLAN: только jump-host / бастион.
Частые ошибки
Применили ACL на SVI «не той стороной»; забыли DNS/DHCP в permit; смешали object-group от старого вендора при миграции. Перед внедрением — окно обслуживания и план отката (no ip access-group).
Проверка
show ip access-lists show ip interface vlan <id> | include access show logging | include ACCESS
Если «интернет пропал только у бухгалтерии» — сравните counters ACL до и после и проверьте маршрут по умолчанию, а не только фильтр.