路由器故障：ACL反掩码配置错误 策略路由失效

ACL是路由器和交换机接口的指令列表，用来控制端口进出的数据包  。ACL反掩码配置错误导致策略路由失效的故障排除方法如下：

网络环境

如图所示，10.40.0.0/27网段的PC访问10.20.3.0/29网段时需要通过Ethernet2/0/0口向外发送报文，而访问其他网段时通过Tunnel1/0/0向外发送报文  。

案例组网图

配置完成后，发现10.40.0.0/27网段的PC发出的报文都由接口Tunnel1/0/0向外发送，发往10.20.3.0网段的报文无法到达  。

故障分析

步骤 1     在RouterA上执行display current-configuration命令，查看路由的配置情况，发现接口Ethernet2/0/0上应用的策略路由中，ACL的反掩码配置错误，如下：

<RouterA> display current-configuration  
 
#  
 
acl 3090  
 
rule 5 deny ip source 10.40.0.0 0.0.31.255 destination 10.20.3.0 0.0.0.0  
 
rule 5 permit ip source 10.40.0.0 0.0.31.255 destination any  
 
rule 5 deny ip source any destination any  
 
policy-based-route IPtraffic permit node 10  
 
if-match acl 3090  
 
apply output-interface Tunnel1/0/0  
 
interface ethernet2/0/0  
 
ip policy-based-route IPtraffic 

其中10.20.3.0所对应的反掩码为0.0.0.0，匹配的是主机路由  。因此，PC访问任何网段都不会匹配该rule规则，导致所有发自10.40.0.0网段的流量都流向Tunnel接口  。

----结束

处理步骤

在路由器RouterA执行以下命令：

步骤 1     执行system-view命令，进入系统视图  。

步骤 2     执行acl acl-number命令，进入ACL视图  。

步骤 3     执行命令rule 5 deny ip source 10.40.0.0 0.0.31.255 destination 10.20.3.0 0.0.0.7，将目的网段设置成10.20.3.0/29网段  。

----结束

执行完上面的命令后，10.40.0.0/27网段的PC访问10.20.3.0/29网段时都通过Ethernet2/0/0口向外发送报文  。

案例总结

配置ACL时必须仔细检查反掩码是否对应相应的网段  。