ну с примером конфига полным вряд ли помогу, т.к. как конфиг для циски у нас генерируется биллингом(т.к. разным клиентам нужны разные конфиги)в итоге получается что-то типа такого:
interface Virtual-Access32
ip vrf forwarding PPPoE
ip unnumbered Loopback0
ip information-reply
no ip unreachables
ip flow ingress <- навешивается через радиус
ip flow egress <- навешивается через радиус
rate-limit input 128000 16000 24000 conform-action transmit exceed-action drop <- навешивается через радиус
rate-limit output 128000 16000 24000 conform-action transmit exceed-action drop <- навешивается через радиус
в твоём случае через VSA должны приходить политики(а не ACL) -это я прогнал. Уже внутри полиси и match-ится трафик по ACL например.
выглядит это когда уходит с биллинга на циску как-то так(Cisco-AVPair) - это так у нас
"attribute";"value";"op"
"Framed-IP-Address";"10.64.0.19";"="
"Framed-IP-Netmask";"255.255.255.255";"="
"Session-Timeout";"43200";"="
"Cisco-AVPair";"lcp:interface-config#1=rate-limit output 128000 16000 24000 conform-action transmit exceed-action drop";"="
"Cisco-AVPair";"lcp:interface-config#2=rate-limit input 128000 16000 24000 conform-action transmit exceed-action drop";"+="
"Cisco-AVPair";"lcp:interface-config#3=ip flow ingress";"+="
"Cisco-AVPair";"lcp:interface-config#4=ip flow egress";"+="
вот как раз в Cisco-AVPair и передаются всякие полиси и/или ACL на интерфейс
в твоём случае должно приходить типа
"Cisco-AVPair";"lcp:interface-config#1=service-policy input Shape";"+="
где Shape - это уже название policy-map - в котором и режется трафик.