Bloquee los puertos usando ACL en la cadena de reenvío para filtrar el tráfico de reenvío a través del conmutador Huawei L3

Hola, la siguiente es mi topología de red: ISP 1-> HUAWEI L3 (BGP) -> HUAWEI-L3 (DISTRIBUCIÓN-INTERRUPTOR) -> CLIENTES

Quiero bloquear a todos los clientes que intentan acceder al puerto 81 hacia servidores arbitrarios que se ejecutan en Internet.

¿Cómo puedo hacer eso? He hecho lo siguiente:

---------

acl name ALLOW_PORT 3998

 rule 1 permit ip source 100.64.1.5 0

acl name BLOCK_PORT 3999

 rule 5 deny tcp source-port eq 81

#

traffic classifier tc1 operator and

 if-match acl BLOCK_PORT

traffic classifier tc2 operator and

 if-match acl ALLOW_PORT

#

traffic behavior tb1

 deny

traffic behavior tb2

 permit

#

traffic policy tp1 match-order config

 classifier tc2 behavior tb2

 classifier tc1 behavior tb1

-----------

interface GigabitEthernet0/0/2

 description "WAN-ISP1"

 port link-type trunk

 port trunk allow-pass vlan 2 to 4094

 traffic-policy tp1 outbound

Esto no está funcionando. ¿Qué estoy haciendo mal? ¿Cuál es el equivalente de la cadena Forward en comparación de IPtables con Huawei?