在三层交换机上，支持多种类型的ACL，有支持IP的ACL还有支持MAC的Ethernet ACL。IP ACL只过滤IPv4流量，而Ethernet ACL过滤除IP之外的流量，也就是非IP流量。根据ACL不同的应用，可以分成三种：Port ACL，Router ACL，VLAN ACL（VLAN map）
Port ACL
是应用在二层接口上的，并没有任何特别之处，将任何ACL应用到二层接口后，就称为Port ACL，但在二层接口只支持in方向，一个接口只能使用一条ACL，IP或MAC的ACL都可以应用到二层接口（interface fa0/0...），但不不能在应用到EtherChannel。
Router ACL
和路由器接口上应用的ACL没有区别，将任何ACL应用到三层接口后，就称为Router ACL，但只能是IP ACL，不能是MAC ACL。Router ACL在in和out方向上都可以使用，每个接口每个方向只能使用一条ACL。
VLAN ACL（VLAN map）
是使用在VLAN与VLAN之间的ACL，相同VLAN也是可以过滤的，只要流量是进入或离开指定的VLAN，都会被过滤，可以同时控制二层与三层流量。准确地讲，VLAN ACL并不是一个ACL，只是一个能调用ACL到VLAN的技术，只要被调用的ACL支持什么功能，那么VLAN ACL就支持什么功能。当需要控制IPv4流量时，VLAN ACL需要调用IP ACL，而其它流量则需要靠调用MAC ACL。当应用VLAN ACL后，进入或离开VLAN的流量都会被检测，无论是通过二层转发的还是三层转发的。而VLAN ACL是不能定义方向的，所以所有经过指定VLAN的流都都会被过滤到。 VLAN ACL根据所调用的ACL匹配到的流量，来做出是转发还是丢弃的动作，当被调用的ACL匹配到流量后，默认动作是转发，可以改为丢弃，而没有被匹配到的流量，默认也全部丢弃。
以上三种方式的ACL可以同时使用，但Port ACL优先于任何ACL。
说明： ★Port ACL支持标准，扩展ACL和MAC ACL，也就是支持所有类型ACL。 ★接口上可同时应用IP和MAC ACL，而MAC ACL是不能过滤IP流量的。★Router ACL可用在SVI，三层接口，或3层EtherChannel，每个接口每个方向只能使用一个。 ★在配置IP ACL时，可以使用数字，也可以使用名字，而命名ACL的好处是可以删除单条ACL语句，而数字ACL则不可以，只能删除整条ACL。 ★交换机上不支持Dynamic ACL和 Reflexive ACL。 ★VLAN ACL是不能定义方向的，也就相当于会在两个方向上同时生效，所以在配置VLAN ACL时，所以请注意所写的ACL一定要考虑来回两个方向，否则只匹配到单向的流量，另外一方向可能被丢掉。★一个VLAN ACL可以用于多个VLAN，但一个VLAN只能使用一个VLAN ACL。 ★被ACL拒绝的ICMP，ACL将向源发送ICMP-unreachable。
