| 作用域 | 子网 / 交换机级别，一个子网关联一个 ACL |
|---|---|
| 状态 | 无状态：入站与出站分别配置，返回流量需单独放行 |
| 规则 | 有序规则，逐条匹配，未匹配即拒绝 |
| 定位 | 粗粒度隔离；精细控制交给安全组完成 |
子网级最小暴露示例
子网级最小暴露示例
为「数据库子网」绑定专用 ACL：
入站：允许源自 10.10.0.0/16 的 TCP 3306
出站：允许目的 10.10.0.0/16 的 TCP 1024-65535（返回流量端口段）
其余流量：默认拒绝无状态意味着「只放行入站」不够：出方向也要放行回包所用的端口范围。