华为交换机配置ACL怎么设置？华为交换机ACL配置命令详解

华为交换机ACL配置是网络安全的第一道闸门，掌握“先规划后配置、先匹配后动作”的逻辑，即可精准管控流量

在园区网络、数据中心以及混合云环境中，华为交换机（如S5700、S12700、CE系列）的ACL（访问控制列表）是所有安全策略的基础，绝大多数网络故障与安全事件，都源于ACL配置混乱、顺序错误或缺少反向控制，配置ACL的核心不在于记住命令，而在于清晰理解“匹配顺序、通配符掩码、时间域、流行为”之间的关系，只要遵循本文提供的分层配置方法论，即便面对复杂业务,也能在十分钟内完成一次无差错的安全策略下发。

ACL的基本原理与配置前的三大必知

ACL匹配顺序：配置顺序优先，还是自动排序？

• 华为交换机ACL支持配置顺序（config-mode）与自动排序（auto-mode）两种匹配模式，默认是配置顺序,即先配置的规则先匹配。
• 关键建议： 在多业务混跑时，必须显式指定rule 5 permit ...、rule 10 deny ...等步长，以便后期在中间插入规则，不要依赖自动排序，否则会出现“允许在前、拒绝在后”的穿透风险。

通配符掩码：反掩码不等于子网掩码必须精确

• ACL使用的通配符掩码中，0表示严格匹配，1表示忽略，例如168.1.0 0.0.0.255只匹配前24位。
• 常见误区： 为了限制单台主机，很多人写成168.1.10 0.0.0.0，这是对的；但限制整个网段时，容易把反掩码写成255.255.0，这会导致匹配不到任何流量。必须用0.0.255。

时间域：让安全策略分时生效

• 使用

  

  time-range可以定义上班时间或业务高峰期，配合rule ... time-range可实现上班开放、下班关闭,减少攻击暴露面。

华为交换机ACL配置的五步方法论

以“仅允许192.168.10.0/24访问服务器的TCP 80/443端口，拒绝其他所有访问”为例：

1. 创建ACL并进入视图：
   acl number 3001（3000-3999为高级ACL,支持四层端口）
2. 编写规则（注意顺序）：
   • rule 5 permit tcp source 192.168.10.0 0.0.0.255 destination 10.1.1.0 0.0.0.255 destination-port eq 80
   • rule 10 permit tcp source 192.168.10.0 0.0.0.255 destination 10.1.1.0 0.0.0.255 destination-port eq 443
   • rule 15 deny ip（拒绝其他所有IP流量）
3. 绑定到接口或VLAN：
   • 接口视图下：traffic-filter inbound acl 3001
   • 或VLAN视图下：traffic-filter vlan 10 inbound acl 3001
     注意： 入方向与出方向的选择是成败关键，对服务器而言，建议在服务器接入交换机上使用入方向控制,防止非法源IP直接进入服务器网段。
4. 验证与排错：
   • 使用display acl 3001查看规则命中计数，若命中计数持续增长，说明ACL正在生效。
   • 使用display traffic-filter applied-record确认接口绑定状态。

深度避坑：ACL高级策略与常见生产事故

隐含的“拒绝所有”陷阱

华为ACL末尾默认存在deny ip，但仅对已经匹配到ACL的流量生效，当你只写了permit规则，未写deny时，未匹配流量会被丢弃这是设计逻辑，但很多人误以为“没拒绝就是允许”。

在ACL末尾必须显式写rule deny ip，并配合日志记录rule deny ip logging，便于审计。

分片报文处理

如果不希望放行非初始分片（避免分片攻击），可以加rule deny ip fragment，但在正常业务中，不建议直接丢弃所有分片，否则会导致大包业务（如NFS、数据库备份）中断。

与流策略（Traffic Policy）协同

ACL本身只能过滤，不能做限速或重定向，要执行QoS动作,需将ACL绑定到流分类：

• traffic classifier c1 → if-match acl 3001
• traffic behavior b1 → car cir 1000
• traffic policy p1 → classifier c1 behavior b1
• 最后在接口应用traffic-policy p1 inbound

酷番云实战经验案例：混合云场景下的ACL协同管理

在实际运维中，很多企业采用华为交换机+云VPC混合架构，本地ACL与云安全组容易“各自为政”，导致访问控制出现漏洞。我们曾服务过一个制造企业，其生产网段访问云端ERP时，本地交换机只放行了80端口，但云安全组却放行全部端口，最终导致核心数据库暴露。

解决方案：

• 在本地华为交换机上按最小化原则只放行ERP所需端口（TCP 443、1521）,并在出方向绑定ACL。
• 在酷番云控制台的安全组中，设置同样的源IP与端口白名单，形成双向收敛。
• 同时利用酷番云的云监控对ACL命中计数进行周期性采集，若发现异常高位（如拒绝次数突增），自动触发告警,并联动交换机日志分析攻击源。

体验总结： 不要只盯着路由器或交换机，在混合云场景中，本地ACL与云安全组必须同步管理，否则相当于“前门锁死、后门大开”，酷番云支持与华为交换机通过display acl结果API化对接，实现策略一致性巡检,减少人工比对成本。

相关问答模块

问题1：华为交换机ACL配置后不生效，最可能的原因是什么？

解答： 最常见原因有两个：一是ACL未绑定到正确的方向，比如你想阻止外网访问内网，却把ACL绑定在了出方向（outbound），导致内网主动访问外网的流量被错误过滤，或外网进来的流量根本没被匹配；二是通配符掩码写错，例如把0.0.255写成255.255.0，请先用display acl查看规则，并用display traffic-filter applied-record确认接口,再测试源IP与目的IP是否落在掩码范围内。

问题2：如何在不重启交换机的情况下，临时放行一个IP？

解答： 可以在原ACL中插入一条高优先级规则，假设原ACL步长为5，你可以在rule 5 permit ...之前插入rule 3 permit ip source x.x.x.x 0，规则序号越小越先匹配，插入后立即生效，不需要重启，若需要短暂放行，还可以结合time-range设定时间窗口，到期自动失效,避免忘记移除。

欢迎交流

华为交换机ACL配置看似基础，但细节暗藏风险。如果你正在规划网络策略，或遇到了“ACL不生效”“日志不记录”等问题，欢迎在评论区留言描述你的拓扑和配置需求，我们将基于真实案例给出针对性建议，关注我,获取更多关于华为数通与云网络协同的实战运维干货。