ACL 缺省动作与兜底规则

未命中任何规则时怎么处理，是三厂最需注意的差异点：思科明确隐式 deny any，华为/H3C 建议显式写兜底规则以免行为与预期不符。

场景	ACL 规则写完后确定默认行为
适用	三厂
结论	思科末尾隐式 deny any；华为/H3C 一律显式加兜底 rule（permit ip 或 deny ip）

华为 VRP

acl number 2000
 rule 5 permit source 192.168.1.0 0.0.0.255
 rule 100 deny source any      # 显式兜底，别依赖缺省

access-list 10 permit 192.168.1.0 0.0.0.255
! 其余流量被隐式 deny any 丢弃
show ip access-lists 10   # 可见每条 ACE 的 match 计数

acl basic 2000
 rule 5 permit source 192.168.1.0 0.0.0.255
 rule 100 deny source any      # 显式兜底

差异：三厂缺省动作随版本与引用场景（接口过滤 / NAT / 路由策略）不同，工程上统一在 ACL 末尾显式写一条兜底规则，是唯一稳妥做法。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌