AP有线口也要按规矩放行流量？华为简化流策略一条ACL搞定

本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。

AP有线口为什么要用简化流策略？

AP的下挂口接的设备越来越杂：办公打印机、门店收银、仓库采集器，各有各的该去和不该去。传统的MQC流策略模块多、配置长，到了AP有线口这种小场景显得笨重。华为给AP有线口准备了简化流策略——把一条ACL规则和动作直接挂在有线口模板上，匹配的报文要么过滤掉、要么改标记，短平快。

规则前置：ACL怎么写才生效？

先把规则写好。简化流策略匹配的是ACL，源IP、目的IP、端口号、源MAC、分片标记这些条件都在ACL里定义，AP有线口模板只负责引用。两点前置要注意：如果用IPv6规则，除了建ACL6，还要在WLAN视图下执行sta-ipv6-service enable打开设备处理终端IPv6业务的功能，否则规则配了也不生效。

过滤和重标记怎么挂上口？

然后在有线口模板上挂动作，一共两类。过滤用traffic-filter { inbound | outbound } { ipv4 | ipv6 | l2 } acl引用对应地址族的ACL，方向分入和出，二层报文用l2关键字匹配——比如只允许收银机访问收银服务器的地址段，其余从这个口进的报文直接丢弃。重标记用traffic-remark { inbound | outbound } { ipv4 | ipv6 | l2 } acl加动作参数，把匹配报文的优先级改写：内网方向改标记dot1p值，出方向改标记dscp值，让打印数据、收银数据在上行排队时拿到该有的待遇，不至于和大流量抢一条道。

配完建议顺手开统计：traffic-filter statistics enable打开过滤统计功能，之后在AP上用display traffic-filter statistics interface按接口、按方向查命中计数。规则是否真的在拦、拦了多少条，一目了然，也省得业务投诉时两眼一抹黑。

依据：华为官方典型配置案例（2026-11 版）。

模板落位和验收怎么走？

这套配置落在一个wired-port-profile创建的有线口模板里，模板在AP组或AP下引用生效；如果上行口用了Eth-Trunk捆绑，记住给捆绑口单独建模板配root模式，下行口的策略才不会张冠李戴。

验收两步走：合法设备的业务应照常通行，测试终端访问被禁目标应立刻不通；再看过滤统计的命中数在增长。每个口都有规矩，内网才少意外。末端接入的精细化管控，欢迎搜索关注贵州诚鑫致达科技，我们按设备角色把规则一条条立好。