ACL配置问题导致用户业务不正常的故障解决方法如下：
网络环境
如图所示，用户通过接入设备连接到RouterA。
图案例组网图
配置完毕后，发现用户可以正常拨号，但无法打开客户端程序。
故障分析
步骤 1 在RouterA上执行display current-configuration命令，查看路由的配置情况，发现接ACL的配置错误，如下：
- <RouterA> display current-configuration
- #
- acl number 3000
- description GSR-TO-NE80E-IN
- rule 5 deny tcp destination-port lt ftp-data
- rule 10 deny udp destination-port lt 20
对于用户，发送的数据，在传输过程中有可能被分片。而端口号只在UDP，TCP的首部，即只包含在第1个数据分片中，后续分片将不携带端口信息。
由于进行了如下配置：
- rule 5 deny tcp destination-port lt ftp-data
- rule 10 deny udp destination-port lt 20
将端口号小于20的数据分片全部deny掉了，导致应用程序不正常。
----结束
处理步骤
在路由器RouterA执行以下命令：
步骤 1 执行system-view命令，进入系统视图。
步骤 2 执行acl 3000命令，进入ACL视图。
步骤 3 执行命令undo rule 10，将该ACL规则删除。
----结束
执行完上面的命令后，用户可以正常打开客户端。
案例总结
因为小端口号一般为系统保留使用，建议在配置针对小端口的ACL时尽量做到精确匹配，以免造成对特殊业务应用的影响。
【编辑推荐】
- 路由器故障：链路不稳定
- 路由器故障：链路丢包严重
- 路由器故障：广域网故障处理分析
- 路由器故障：网段冲突导致部分业务不通
- 路由器故障：ATM接口做备份接口链路层无法Up
- 路由器故障：ACL做路由过滤未过滤掉一条聚合路由
