acl是防火墙上做还是在交换机上做?

防火墙和交换机都能做ACL，但功能不同。防火墙的ACL更强大，能处理复杂策略，比如限制特定IP访问或过滤恶意流量。交换机的ACL主要用于二层或三层，比如阻止某个端口通信或限制VLAN间访问。企业环境里，防火墙常做全网ACL，交换机负责局部控制。

实际部署要看需求。核心交换机可能做基础ACL，防火墙做深度检测。小型网络可能只在交换机上做简单ACL，节省成本。大型网络两者结合，防火墙管进出，交换机管内部流量。这样分层管理更灵活，安全性和效率都能兼顾。