| 特点 | 无状态：入方向放行后出方向返回流量需单独放行 |
|---|---|
| 规则 | 按编号从小到大匹配，命中即结束；末尾默认拒绝 |
| 场景 | 子网级兜底隔离、多租户环境、合规要求双层控制 |
| 粒度 | 比安全组粗，比安全组稳（子网级不易被误改） |
子网 ACL 规则示例（文本）
子网 ACL 规则示例（文本）
编号 100：入 允许 TCP 443 来自 0.0.0.0/0
编号 110：入 允许 TCP 22 来自 203.0.113.0/24
编号 120：入 允许 TCP 1024-65535 来自内网（返回流量）
编号 * ：入 拒绝 全部
出方向同理对称配置安全组已能覆盖大多数场景；加 ACL 前想清楚『谁来维护、多久审计』，否则规则腐烂比没有更糟。