路由器故障：ACL反掩码配置错误 策略路由失效

ACL是路由器和交换机接口的指令列表，用来控制端口进出的数据包。ACL反掩码配置错误导致策略路由失效的故障排除方法如下：

网络环境

如图所示，10.40.0.0/27网段的PC访问10.20.3.0/29网段时需要通过Ethernet2/0/0口向外发送报文，而访问其他网段时通过Tunnel1/0/0向外发送报文。

案例组网图

配置完成后，发现10.40.0.0/27网段的PC发出的报文都由接口Tunnel1/0/0向外发送，发往10.20.3.0网段的报文无法到达。

故障分析

步骤 1 在RouterA上执行display current-configuration命令，查看路由的配置情况，发现接口Ethernet2/0/0上应用的策略路由中，ACL的反掩码配置错误，如下：

<RouterA>displaycurrent-configuration 

# 

acl3090 

rule5denyipsource10.40.0.00.0.31.255destination10.20.3.00.0.0.0 

rule5permitipsource10.40.0.00.0.31.255destinationany 

rule5denyipsourceanydestinationany 

policy-based-routeIPtrafficpermitnode10 

if-matchacl3090 

applyoutput-interfaceTunnel1/0/0 

interfaceethernet2/0/0 

ippolicy-based-routeIPtraffic

其中10.20.3.0所对应的反掩码为0.0.0.0，匹配的是主机路由。因此，PC访问任何网段都不会匹配该rule规则，导致所有发自10.40.0.0网段的流量都流向Tunnel接口。

—-结束

处理步骤

在路由器RouterA执行以下命令：

步骤 1 执行system-view命令，进入系统视图。

步骤 2 执行acl acl-number命令，进入ACL视图。

步骤 3 执行命令rule 5 deny ip source 10.40.0.0 0.0.31.255 destination 10.20.3.0 0.0.0.7，将目的网段设置成10.20.3.0/29网段。

—-结束

执行完上面的命令后，10.40.0.0/27网段的PC访问10.20.3.0/29网段时都通过Ethernet2/0/0口向外发送报文。

案例总结

配置ACL时必须仔细检查反掩码是否对应相应的网段。