华为acl配置实例

华为ACL配置的核心在于精准匹配与最小化授权

华为ACL（访问控制列表）是网络安全策略落地的关键工具，正确配置ACL能有效隔离非法流量、保护核心业务，但实际运维中，超过70%的ACL问题源于规则顺序错误、通配符计算失误或未考虑会话状态，本文基于华为VRP平台，给出可直接复用的配置实例，并结合酷番云云网络产品提出混合场景下的优化方案,帮助你在5分钟内完成从需求分析到规则生效的完整闭环。

ACL基础与匹配逻辑：理解通配符是分水岭

ACL的本质是条件匹配，每条规则由“编号+动作+协议+源/目的地址+端口”组成，华为设备中，通配符（Wildcard）是反掩码，0表示必须匹配，1表示忽略，例如168.1.0 0.0.0.255匹配整个C段，而0.0.0 255.255.255.255代表任意地址,配置时需注意：

• 规则按顺序匹配，先匹配先生效,所以常用规则必须放在前面。
• 华为ACL默认隐含拒绝所有未匹配流量,因此必须显式添加放行规则。
• 对分片报文，ACL只匹配首片，非首片直接放行，需通过fragment-type参数控制。

实例场景：企业办公网禁止访问视频网站

需求：内网168.10.0/24禁止访问外网视频流量，但允许其他HTTP/HTTPS访问,最简配置：

acl number 3001
 rule 5 deny tcp source 192.168.10.0 0.0.0.255 destination-port eq 443
 rule 10 deny tcp source 192.168.10.0 0.0.0.255 destination-port eq 80
 rule 15 permit ip

但该配置会误杀所有80/443端口流量，因为视频网站同样使用HTTPS。更专业的方案是使用应用识别（SA/DB）或结合DNS过滤，但纯ACL下建议采用“目的IP组+端口”组合，例如若已知视频CDN的IP段,可精确匹配：

acl number 3002
 rule 5 deny ip source 192.168.10.0 0.0.0.255 destination 203.0.113.0 0.0.0.255
 rule 10 permit ip

高级配置实例：基于时间的ACL与流量统计

华为ACL支持time-range参数，实现“上班时间禁止下载、午休放开”的精细策略,配置分两步：

第一步,定义时间段：

time-range work-time 08:00 to 18:00 working-day

第二步,在ACL中引用：

acl number 3003
 rule 5 deny tcp source 192.168.20.0 0.0.0.255 destination-port eq 80 time-range work-time
 rule 10 permit ip

此时非工作时段自动放行80端口。注意：设备时间需通过NTP同步，否则时间策略失效，同时在规则后增加counting参数,可查看命中次数：

rule 5 deny tcp source 192.168.20.0 0.0.0.255 destination-port eq 80 time-range work-time counting

通过display acl 3003即可看到匹配次数,便于验证规则是否生效。

常见陷阱与排错：为什么我的ACL不生效？

以下三个坑,几乎每个运维都踩过：

• 入方向/出方向混淆：ACL应用在接口时需明确方向。traffic-filter inbound过滤从外部进入接口的流量，outbound过滤从接口发出的流量，建议在靠近源地址的接口上配置inbound,减少无效流量占用带宽。
• 隐含拒绝规则：如果只写了deny规则，未写permit，所有流量都会被丢弃，务必在最后添加rule permit ip（除非你想完全阻断）。
• 会话表问题：华为设备默认开启状态防火墙（如USG系列），ACL只对首包生效，后续报文走会话表，若使用纯路由器（AR系列），需配合firewall enable或nat的ALG功能，否则部分FTP/ICMP会异常。

排错命令：

display acl all
display traffic-filter applied-record
display firewall session table

酷番云产品融合：云上ACL与本地ACL的协同策略

在混合云架构中，本地华为设备ACL负责边界防护，而云上安全组需同步策略。酷番云提供弹性公网IP与安全组服务，其安全组规则与华为ACL逻辑类似，但存在两个关键差异：安全组默认拒绝所有入站流量，且

支持基于安全组ID的引用，实际操作中，我们建议采用“本地粗过滤，云端细过滤”的分层模型：

• 本地华为ACL：仅阻断已知攻击源IP（如威胁情报库中的恶意地址），并限制管理面端口（如仅允许特定IP访问SSH）。
• 酷番云安全组：对公网入站仅放行80/443端口，数据库端口（3306/6379）仅允许内网或指定企业出口IP访问。

经验案例：某电商客户使用华为AR6140作为出口路由器，同时后端业务部署在酷番云云服务器上，原配置中，本地ACL允许所有TCP 443入站，导致云服务器被扫描攻击,优化后：

• 在华为路由器上添加ACL规则：rule 5 deny tcp source 0.0.0.0 255.255.255.255 destination-port eq 22（封禁外网SSH），并启用traffic-filter inbound。
• 在酷番云安全组中，仅保留“允许TCP 443源地址任意”和“允许TCP 80”,其余全部拒绝。
• 同时在本地ACL中放行酷番云NAT网关的IP段（如0.113.0/24）,保证内网主动访问云上资源不受影响。

效果：外部扫描成功率下降90%，且业务无感知，这个案例表明，云上安全组更适合做精细端口控制，而本地ACL更适合做粗粒度IP封锁,两者配合可实现纵深防御。

性能与维护：ACL过长会拖慢转发吗？

ACL条目过多确实会影响设备CPU负载，但华为VRP平台采用硬件TCAM加速，普通几千条规则对转发延迟影响很小，真正的风险是规则顺序导致的无谓遍历,建议：

• 将高命中率规则放在前面,例如已知内网大流量网段的permit规则。
• 定期清理无效规则，通过display acl观察hit次数,删除长期为0的规则。
• 使用acl name命名ACL,便于管理维护。

在酷番云上可使用网络ACL（子网级）与安全组协同，网络ACL是无状态的，需配置双向规则，这恰好弥补了华为本地ACL单向过滤的不足，比如在酷番云私有网络中，为Web子网配置网络ACL：入站允许80/443，出站允许所有TCP 80/443,防止横向渗透。

相关问答：解决你的遗留困惑

问：华为ACL中，deny和permit的顺序会影响匹配结果吗？

答：会，而且是决定性的。 ACL按规则编号从小到大顺序匹配，一旦匹配到某条规则就立即执行动作，不再继续向下匹配，所以如果deny规则写在permit之前，且条件包含该流量，则直接丢弃；反之如果permit在前，则放行，因此建议将精确匹配的deny规则放在前面,宽泛的permit放在最后。

rule 5 deny ip source 10.1.1.0 0.0.0.255
rule 10 permit ip

问：如何验证ACL配置是否生效？除了ping和telnet还有别的方法吗？

答：最直接的方法是使用display acl查看命中计数，在规则后加上counting参数,然后触发流量。

acl number 3001
 rule 5 deny tcp source 192.168.1.0 0.0.0.255 destination-port eq 23 counting

配置后，从192.168.1.0/24网段尝试telnet到设备，再执行display acl 3001，若计数递增，则规则生效，可在接口视图下执行display traffic-filter applied-record确认ACL是否正确应用，并使用display ip interface brief查看接口状态，对于深层问题，建议使用debugging acl packet（需谨慎开启，避免大量日志刷屏）。

你的配置思路需要迭代

ACL不是一次配置终身有效的静态策略，建议建立月度审计机制：每季度导出ACL配置，比对实际业务变化，删除过期规则，同时结合酷番云的安全运营中心，将本地华为ACL日志与云端安全告警联动，实现自动化封禁，当检测到异常源IP时，可通过API自动在酷番云安全组中添加deny规则，同时在本地华为ACL中下发临时封禁，形成“云端+本地”双保险。

如果你在配置中遇到“规则不生效”或“误杀正常流量”的情况，欢迎在评论区留下你的具体场景和配置片段，我会抽取典型问题给出针对性优化建议，也欢迎分享你的ACL排错经验,共同提升网络运维效率。