ACL是路由器和交换机接口的指令列表，用来控制端口进出的数据包。ACL反掩码配置错误导致策略路由失效的故障排除方法如下：

网络环境

如图所示，10.40.0.0/27网段的PC访问10.20.3.0/29网段时需要通过Ethernet2/0/0口向外发送报文，而访问其他网段时通过Tunnel1/0/0向外发送报文。

案例组网图

配置完成后，发现10.40.0.0/27网段的PC发出的报文都由接口Tunnel1/0/0向外发送，发往10.20.3.0网段的报文无法到达。

故障分析

步骤 1     在RouterA上执行display current-configuration命令，查看路由的配置情况，发现接口Ethernet2/0/0上应用的策略路由中，ACL的反掩码配置错误，如下：

 display current-configuration  
 
#  
 
acl 3090  
 
rule 5 deny ip source 10.40.0.0 0.0.31.255 destination 10.20.3.0 0.0.0.0  
 
rule 5 permit ip source 10.40.0.0 0.0.31.255 destination any  
 
rule 5 deny ip source any destination any  
 
policy-based-route IPtraffic permit node 10  
 
if-match acl 3090  
 
apply output-interface Tunnel1/0/0  
 
interface ethernet2/0/0  
 
ip policy-based-route IPtraffic 

其中10.20.3.0所对应的反掩码为0.0.0.0，匹配的是主机路由。因此，PC访问任何网段都不会匹配该rule规则，导致所有发自10.40.0.0网段的流量都流向Tunnel接口。

----结束

处理步骤

在路由器RouterA执行以下命令：

步骤 1     执行system-view命令，进入系统视图。

步骤 2     执行acl acl-number命令，进入ACL视图。

步骤 3     执行命令rule 5 deny ip source 10.40.0.0 0.0.31.255 destination 10.20.3.0 0.0.0.7，将目的网段设置成10.20.3.0/29网段。

----结束

执行完上面的命令后，10.40.0.0/27网段的PC访问10.20.3.0/29网段时都通过Ethernet2/0/0口向外发送报文。

案例总结

配置ACL时必须仔细检查反掩码是否对应相应的网段。

【编辑推荐】

1. 路由器故障：链路不稳定
2. 路由器故障：CE1接口网速较慢
3. 路由器故障：POS口状态反复Up/Down
4. 路由器故障：POS接口修改MTU值无法生效 
5. 路由器故障：POS接口无法收到对端的报文
6. 路由器故障：POS链路不能Up：C2字节不匹配
7. 路由器故障：MP Group成员接口状态频繁Up/Down