网络 ACL 是什么
网络 ACL 作用在子网维度，是无状态的访问控制：入站与出站两个方向都要显式配置，返回流量不会自动放行。它适合做子网级粗粒度隔离，例如整段数据库子网仅对内部网段开放。因为影响面覆盖整个子网，配置时需要比安全组更谨慎——一条规则写错，受影响的是一整段资源。
基本信息
| 作用域 | 子网 / 交换机级别，一个子网关联一个 ACL |
|---|---|
| 状态 | 无状态：入站与出站分别配置，返回流量需单独放行 |
| 规则 | 有序规则，逐条匹配，未匹配即拒绝 |
| 定位 | 粗粒度隔离；精细控制交给安全组完成 |
| 默认行为 | 未匹配规则即拒绝，可显式配置拒绝条目 |
| 变更影响面 | 整个子网内的资源同时受影响 |
典型使用场景
- 数据库子网整体只允许内部网段访问特定端口
- 为对外暴露的子网设置额外一层入站过滤
- 临时阻断某个网段对整段子网的访问，做应急封禁
- 配合安全组形成两层防护：ACL 粗筛、安全组精控
- 审计场景中按子网说明网络访问策略，便于合规复核
子网级最小暴露示例
子网级最小暴露示例
为「数据库子网」绑定专用 ACL：
入站：允许源自 10.10.0.0/16 的 TCP 3306
出站：允许目的 10.10.0.0/16 的 TCP 1024-65535（返回流量端口段）
其余流量：默认拒绝
改动前先确认该子网内所有业务的实际流量特征配置核对清单
| 核对项 | 说明 |
|---|---|
| 入站方向 | 是否放行了业务所需来源与端口 |
| 出站方向 | 是否放行了回包所需的端口范围 |
| 规则顺序 | 有序匹配，靠前的拒绝规则会先生效 |
| 关联子网 | 确认当前子网实际绑定的是哪张 ACL |
| 影响范围 | 变更前梳理该子网内的全部资源 |
无状态意味着「只放行入站」不够：出方向也要放行回包所用的端口范围，否则表现为请求能到达、响应被丢弃，排查时容易误判为应用无响应。
ACL 变更影响整个子网内的所有资源，紧急变更前先确认子网里没有正在执行的关键任务，避免影响面超出预期。