规则示例（数据库子网 ACL）
| 序号 | 方向 | 规则内容 | 说明 |
|---|---|---|---|
| 10 | 入站 | 允许 TCP 3306 源自 10.10.0.0/16 | 应用层访问数据库 |
| 20 | 入站 | 允许 TCP 1-65535 源自 10.10.0.0/16 | 内网管理端口 |
| 100 | 入站 | 拒绝 全部 | 兜底显式拒绝 |
| 10 | 出站 | 允许 TCP 1024-65535 目的 10.10.0.0/16 | 返回流量端口段 |
| 100 | 出站 | 拒绝 全部 | 兜底 |
验证双向流量
验证双向流量
sudo tcpdump -ni any 'host 10.10.1.10 and tcp port 3306' -c 20
# 双向都有包但业务异常：问题多半不在 ACLACL 变更影响整个子网的所有实例，影响面大于安全组，变更窗口与留档更严格。