首页/新闻资讯/正文详情

ACL详解:访问控制列表原理与配置

发布时间:2026/11/2 15:28:01 来源:云帆数科 栏目:资讯中心
ACL详解:访问控制列表原理与配置
ACL全称 Access Control List访问控制列表。一句话概括网络设备上一组有序的匹配规则用来给流量“分类”。它本身不决定放行还是丢弃真正执行动作的是引用它的模块接口过滤、NAT、路由策略等。这篇把 ACL 的原理、通配符计算和配置思路一次讲清楚。1. 什么是 ACLACL 就是一组按顺序排列的规则每条规则描述一种流量特征源地址、目的地址、端口、协议等报文进来后跟这些规则逐条比对命中哪条就按哪条处理。它只负责“匹配”不负责“执行”。同一份 ACL 被不同模块引用规则的含义还不一样接口流量过滤traffic-filterpermit放行deny丢弃QoS 流策略traffic classifierpermit分类成功进队列打标记路由策略route-policy / filter-policypermit/deny 只是匹配条件动作在模块里另配NATnat outboundpermit允许做地址转换2. 为什么需要 ACL企业网络里对流量做管控ACL 基本是唯一选择主要解决三件事安全管控只让某些网段访问服务器其他一律拒绝防止内网横向渗透节省带宽比如视频流量只在上班时间放行非工作时间直接拦掉配合其他模块NAT 要转换哪些地址、QoS 要识别哪类流量都要靠 ACL 先“圈”出来华为设备上ACL 属于 HCIA 必考内容也是日常排障绕不开的工具。3. 匹配流程逐条、命中即停报文进设备后ACL 从编号最小的规则开始逐条比对一旦命中立即停止后面的规则不再检查。三个关键点规则顺序由编号决定rule 5、rule 10不是配置先后没命中任何规则时动作取决于引用模块的默认策略接口过滤默认放行路由策略默认不放行所以高级 ACL 末尾几乎都要加一条 deny ip 兜底把规则外的流量显式拒绝否则会被默认放行漏过去4. 通配符到底怎么算通配符是 32 位反掩码0必须匹配1可以忽略跟子网掩码逻辑正好相反。最常用的换算通配符 255.255.255.255 - 子网掩码。匹配 /24 网段掩码 255.255.255.0通配符 0.0.0.255精确匹配一台主机通配符 0.0.0.0也可以直接写 host 10.0.0.10匹配所有地址通配符 255.255.255.255等价于 any进阶通配符可以不连续。0.0.0.254 最后一位是 0 必须匹配、倒数第二位是 1 忽略所以它匹配所有“末位为 0”的 IP也就是偶数地址。排障偶尔能见到理解原理就行。5. ACL 的分类选对编号段华为设备按编号段区分 ACL 类型配置前先想清楚要匹配什么基本 ACL 2000-2999只匹配源 IP够用但不精细高级 ACL 3000-3999匹配五元组 TCP 标志位 时间范围绝大多数场景用它二层 ACL 4000-4999匹配 MAC、802.1p 优先级二层流量控制用记法只限源网段用基本涉及目的、端口、协议一律高级做 MAC 管控用二层。高级 ACL 还能用 tcp-flag 匹配 TCP 标志位比如只放行带 SYN 标志的报文考试常考。6. 配置实操一个完整场景场景生产区 192.168.10.0/24 只允许访问服务器 10.0.0.10 的 80、443 端口其余流量全拒而且只在上班时间周一至周五 08:00-18:00开放。system-view acl number3000rule5permit tcpsource192.168.10.00.0.0.255 destination10.0.0.100.0.0.0 destination-port eq80rule10permit tcpsource192.168.10.00.0.0.255 destination10.0.0.100.0.0.0 destination-port eq443rule15denyipquit time-range work-time 08:00 to18:00 working-day acl number3001rule5permit tcpsource192.168.10.00.0.0.255 destination10.0.0.100.0.0.0 destination-port eq80time-range work-time quit interface GigabitEthernet0/0/1 traffic-filter inbound acl3000quit四个要点destination-port 用 eq 表示精确端口支持 range 做端口段比如 1000 to 2000rule 15 deny ip 是兜底永远别省——没有它规则外的流量默认放行time-range 是独立对象先用 time-range 命令定义再在规则里引用接口挂 ACL 的方向选 inbound从生产区进来的流量先过 ACL回包走 outbound 一般不用再配同一份 ACL 还能给 NAT 用nat outbound3000address-group1在 NAT 里ACL 3000 的 permit 含义变成“允许做地址转换”一份 ACL 多处引用各模块各取所需。7. 实验思路实验里就是标准的“创建高级 ACL 接口挂 traffic-filter time-range 限时 NAT 复用”套路。做实验时重点验证规则外流量被 deny ip 兜底拦掉通配符写反的网段放不出去非工作时段流量被 time-range 拦掉或者用 undo time-range 验证放开同一份 ACL 挂到 NAT 后 permit 变成地址转换不挂 ACL 的网段不做转换8. 结尾ACL 是 HCIA 里性价比很高的一块原理不深但项目基本上都会用。踩过最多的坑就是通配符和掩码填反、忘了末尾 deny 兜底、ACL 没挂到接口上。先记住“ACL 只匹配、动作在模块”就不会乱。后面可以把 ACL 配合 NAT、DHCP 一起看那才是完整的园区网。

相关推荐

3条红线,240亿市场,AI漫剧洗牌开始了
3条红线,240亿市场,AI漫剧洗牌开始了

大家好,我是羊仔。4月1日,广电总局 AI 漫剧新规正式执行,这是整个AI漫剧行业的转折点。你的所有作品可能一夜之间全部下架,而且,不可恢复。1. 新规到底说了什么?总结起来就是三条红线,条条致命。… · 2026/11/2 15:28:01

MySQL 索引为什么用 B+ 树?从 B 树、Hash、红黑树讲起
MySQL 索引为什么用 B+ 树?从 B 树、Hash、红黑树讲起

先给结论因为磁盘。索引结构的所有设计权衡最后都归结到一件事:怎么把一次查询需要的磁盘 IO 次数压到最低。理解了这条,B 树的每个设计点都能自己推出来。如果把数据全放进内存,B 树未必是最优解。Redis 的有序集合用的是跳表,没… · 2026/11/2 15:28:01

官方扩展被投毒11小时:5000台开发机装上SSH后门,自动更新与主机取证怎么补
官方扩展被投毒11小时:5000台开发机装上SSH后门,自动更新与主机取证怎么补

11 小时窗口:官方 ID、官方渠道、官方签名2026 年 10 月 29 日,Cursor 在自己的扩展市场里发现了一件不该发生的事:Anthropic.claude-code 的 2.1.312 与 2.1.313 两个版本被人改过,装进去的是一套持久化 SSH 后门。恶意版本从当天… · 2026/11/2 15:27:00

物理世界与场景树的同步机制解析
物理世界与场景树的同步机制解析

1. 项目概述:物理世界与场景树的平行宇宙 "物理世界与场景树——两个平行宇宙的故事"这个标题揭示了计算机图形学中一个深刻的技术隐喻。在三维图形开发领域(如游戏引擎、虚拟现实系统),开发者需要同时管理两种截然不同… · 2026/11/3 13:57:48

MySQL 9.0 Windows安装配置全指南
MySQL 9.0 Windows安装配置全指南

1. MySQL 9.0 Windows安装概述 MySQL作为全球最流行的开源关系型数据库管理系统,其9.0版本带来了诸多性能优化和新特性。在Windows平台上的安装过程虽然简单,但需要注意几个关键环节才能确保数据库服务的稳定运行。本文将基于官方文档和多年DBA经验&… · 2026/11/3 13:57:48

DeepSeek本地化部署指南:Ollama与Chatbox实战
DeepSeek本地化部署指南:Ollama与Chatbox实战

简介:这份PDF资料面向希望在个人电脑上离线运行DeepSeek模型的开发者与AI爱好者,聚焦本地化部署这一实操场景,兼顾入门与进阶需求。内容围绕Ollama框架展开,涵盖从官网下载安装、按显存与内存条件选择1.5B至671B不同参数规模模型&… · 2026/11/3 13:57:48

本地部署Whisper语音转文字工具:Buzz安装配置与实战调优
本地部署Whisper语音转文字工具:Buzz安装配置与实战调优

1. 项目核心场景与选型思路 1.1 为什么要自己部署一个音频转写工具 先说个实际场景。上个月我在整理一批历史访谈录音,大概有二十多个小时,需要把里面的内容全部转成文字存档。试了几款在线工具,要么限制单次时长,要么上传后要等… · 2026/11/3 13:57:48

DeepSeek R1 vs OpenAI o1:技术路径、基准测试与选型指南
DeepSeek R1 vs OpenAI o1:技术路径、基准测试与选型指南

简介:这份文档面向人工智能研究人员、从业者及关注大模型竞争格局的团队,系统梳理DeepSeek与OpenAI在技术路线、应用场景与市场定位上的异同,可用于学术对比研究或企业战略规划参考。内容从两家公司的成立背景与愿景切入,重点比较… · 2026/11/3 13:57:48

数字孪生与AI如何重塑现代农业
数字孪生与AI如何重塑现代农业

1. 数字孪生与AI如何重塑稻米产业在浙江平湖的稻田里,一场静悄悄的技术革命正在进行。传统农业正通过数字孪生和人工智能技术实现质的飞跃——这不是简单的数字化改造,而是从育种到餐桌的完整产业链重构。作为深耕农业科技领域多年的从业者,我… · 2026/11/3 13:56:48

双极步进电机控制实战:DRV8818PWPR与PIC18F86K22驱动调试
双极步进电机控制实战:DRV8818PWPR与PIC18F86K22驱动调试

/* MD / 富文本中的 .toc(含博客园搬家等嵌套结构);.toc-box 在侧栏,不受影响 */#content_views .toc,/* 编辑器常在目录前后插入空 p(:empty 仍占 20px),一并去掉避免顶空隙 */#content_views.markdown_views > p:empty:has(+ .toc),#content_views.markdown_views … · 2026/11/2 13:10:28

STM32F207ZG + DRV8818PWPR 步进电机驱动实战解析
STM32F207ZG + DRV8818PWPR 步进电机驱动实战解析

/* MD / 富文本中的 .toc(含博客园搬家等嵌套结构);.toc-box 在侧栏,不受影响 */#content_views .toc,/* 编辑器常在目录前后插入空 p(:empty 仍占 20px),一并去掉避免顶空隙 */#content_views.markdown_views > p:empty:has(+ .toc),#content_views.markdown_views … · 2026/11/3 6:04:24

DRV8818PWPR+dsPIC30F4013工业级双极步进电机控制方案
DRV8818PWPR+dsPIC30F4013工业级双极步进电机控制方案

/* MD / 富文本中的 .toc(含博客园搬家等嵌套结构);.toc-box 在侧栏,不受影响 */#content_views .toc,/* 编辑器常在目录前后插入空 p(:empty 仍占 20px),一并去掉避免顶空隙 */#content_views.markdown_views > p:empty:has(+ .toc),#content_views.markdown_views … · 2026/11/3 5:52:46

STM32F411RE与MAX14431实现SPI隔离:工业现场抗共模干扰实战
STM32F411RE与MAX14431实现SPI隔离:工业现场抗共模干扰实战

/* MD / 富文本中的 .toc(含博客园搬家等嵌套结构);.toc-box 在侧栏,不受影响 */#content_views .toc,/* 编辑器常在目录前后插入空 p(:empty 仍占 20px),一并去掉避免顶空隙 */#content_views.markdown_views > p:empty:has(+ .toc),#content_views.markdown_views … · 2026/11/3 1:01:59

ESP32+大模型AI硬件开发:从Demo到产品的8个工程问题
ESP32+大模型AI硬件开发:从Demo到产品的8个工程问题

/* MD / 富文本中的 .toc(含博客园搬家等嵌套结构);.toc-box 在侧栏,不受影响 */#content_views .toc,/* 编辑器常在目录前后插入空 p(:empty 仍占 20px),一并去掉避免顶空隙 */#content_views.markdown_views > p:empty:has(+ .toc),#content_views.markdown_views … · 2026/11/3 1:01:59

基于MAX14431BAEE+与PIC18F85J10的SPI隔离方案设计与实践
基于MAX14431BAEE+与PIC18F85J10的SPI隔离方案设计与实践

/* MD / 富文本中的 .toc(含博客园搬家等嵌套结构);.toc-box 在侧栏,不受影响 */#content_views .toc,/* 编辑器常在目录前后插入空 p(:empty 仍占 20px),一并去掉避免顶空隙 */#content_views.markdown_views > p:empty:has(+ .toc),#content_views.markdown_views … · 2026/11/3 1:01:59

双极步进电机控制实战:DRV8818PWPR与PIC18F86K22驱动调试
双极步进电机控制实战:DRV8818PWPR与PIC18F86K22驱动调试

/* MD / 富文本中的 .toc(含博客园搬家等嵌套结构);.toc-box 在侧栏,不受影响 */#content_views .toc,/* 编辑器常在目录前后插入空 p(:empty 仍占 20px),一并去掉避免顶空隙 */#content_views.markdown_views > p:empty:has(+ .toc),#content_views.markdown_views … · 2026/11/2 13:10:28

STM32F207ZG + DRV8818PWPR 步进电机驱动实战解析
STM32F207ZG + DRV8818PWPR 步进电机驱动实战解析

/* MD / 富文本中的 .toc(含博客园搬家等嵌套结构);.toc-box 在侧栏,不受影响 */#content_views .toc,/* 编辑器常在目录前后插入空 p(:empty 仍占 20px),一并去掉避免顶空隙 */#content_views.markdown_views > p:empty:has(+ .toc),#content_views.markdown_views … · 2026/11/3 6:04:24

DRV8818PWPR+dsPIC30F4013工业级双极步进电机控制方案
DRV8818PWPR+dsPIC30F4013工业级双极步进电机控制方案

/* MD / 富文本中的 .toc(含博客园搬家等嵌套结构);.toc-box 在侧栏,不受影响 */#content_views .toc,/* 编辑器常在目录前后插入空 p(:empty 仍占 20px),一并去掉避免顶空隙 */#content_views.markdown_views > p:empty:has(+ .toc),#content_views.markdown_views … · 2026/11/3 5:52:46

了解更多?预约专属演示

我们的顾问将为您一对一讲解产品与方案

企业微信二维码