经典拦端口策略
把只允许某网段访问某服务器的 80 端口、封掉其他所有 80、其余流量放行这条经典策略按三厂完整写出，是核对 ACL 语法与顺序的实用练习。三家的规则骨架几乎一致，差别在挂载动词与单主机写法上。
基本信息
| 适用平台 | 三厂高级 ACL / 扩展 ACL |
|---|---|
| 策略内容 | 放行 192.168.10.0/24 到 10.1.1.10 的 80 端口，拒绝其余 80，其他流量放行 |
| 华为写法 | 单主机写 10.1.1.10 0，也可用 host 关键字 |
| 思科写法 | host 10.1.1.10 |
| H3C 写法 | 与华为同构 |
| 顺序要求 | 放行规则必须排在拒绝规则之前 |
典型使用场景
- 服务器端口最小化放行
- 限制特定网段访问管理或业务服务
- 编写可复用的接口过滤模板
- 排查该放行的没放、该拦的没拦
- 跨厂迁移时的语法与顺序对照练习
华为 VRP
华为 VRP
acl number 3001
rule 5 permit tcp source 192.168.10.0 0.0.0.255 destination 10.1.1.10 0 destination-port eq 80
rule 10 deny tcp destination-port eq 80 # 拒绝其余目的 80
rule 15 permit ip # 其他流量放行
interface GigabitEthernet0/0/1
traffic-filter inbound acl 3001
display acl 3001 # 核对顺序与匹配计数思科 IOS 与 H3C
思科 IOS 与 H3C
access-list 101 permit tcp 192.168.10.0 0.0.0.255 host 10.1.1.10 eq 80
access-list 101 deny tcp any any eq 80
access-list 101 permit ip any any
interface GigabitEthernet0/1
ip access-group 101 in
show ip access-lists 101
# H3C Comware
acl advanced 3001
rule 5 permit tcp source 192.168.10.0 0.0.0.255 destination 10.1.1.10 0 destination-port eq 80
rule 10 deny tcp destination-port eq 80
rule 15 permit ip
interface GigabitEthernet1/0/1
packet-filter 3001 inbound三厂写法对照
| 环节 | 华为 VRP | 思科 IOS | H3C Comware |
|---|---|---|---|
| 放行规则 | rule 5 permit tcp source ... destination ... | access-list 101 permit tcp ... host ... | rule 5 permit tcp source ... destination ... |
| 单主机写法 | 10.1.1.10 0（或 host） | host 10.1.1.10 | 10.1.1.10 0 |
| 兜底放行 | rule 15 permit ip | permit ip any any | rule 15 permit ip |
| 接口挂载 | traffic-filter inbound acl | ip access-group in | packet-filter inbound |
这类策略的关键在顺序：先放行特定源到特定服务的流量，再拒绝同一端口的其余流量，最后放行其他协议。任何一条提前或延后，语义都会明显改变，写完要用 display acl 逐条复读一遍。
在接口入方向挂载拦截 80 的 ACL 前，确认管理流量不受影响。规则范围写得太宽（例如直接拒绝全部 TCP）会让远程运维会话立刻中断，只能到现场或走带外通道恢复。
验证要用实际流量而不是只看配置文本：从规划中允许与不允许的两个源分别测试，观察匹配计数是否落在预期的那条规则上，两边都符合才算真正配好。
这类策略通常配在靠近服务器侧的交换机入方向。若服务器与终端跨网段，还要考虑回程流量是否需要对称放行：只拦去程时终端能发出请求却收不到响应，容易被误判为 ACL 没生效而反复改规则。