H3C 高级 ACL 是什么
H3C 的高级 ACL 用 acl advanced 3000 创建（号码段 3000-3999），支持按源地址与目的地址加反掩码匹配，还能指定协议、端口与 TCP 标志位，并可用 logging 关键字记录规则命中。华为对应 acl number 3000，思科用编号扩展 ACL 或命名扩展 ACL。规则按序号从小到大匹配，命中即停止，末尾隐含拒绝全部。
基本信息
| 适用设备 | H3C Comware 交换机/路由器（对照华为 VRP、思科 IOS） |
|---|---|
| 号段 | 3000-3999 高级 ACL；2000-2999 为基础 ACL |
| 匹配要素 | 源/目的地址 + 反掩码、协议、端口、TCP 标志位 |
| 日志关键字 | 华为/H3C 用 logging；思科用 log 或 log-input |
| 隐含规则 | 末尾隐含拒绝全部，未显式放行的流量会被丢弃 |
| 应用方式 | 接口下 packet-filter 或 traffic-filter 引用 |
典型使用场景
- 精细化包过滤：按「源网段 + 目的端口」控制谁能访问哪个服务
- 收敛管理面访问：只放行运维网段到设备的特定端口
- 与流分类/策略路由配合：先用 ACL 命中流量再执行动作
- 排障期临时过滤并观察命中计数，验证流量路径判断
- 安全审计：把拒绝规则写成显式条目并留档，便于举证
H3C Comware
H3C Comware
acl advanced 3000
rule 5 permit tcp source 192.168.10.0 0.0.0.255 destination-port eq 22
rule 10 deny ip source 10.2.0.0 0.0.255.255 logging
rule 15 permit ip
display acl 3000
# 应用到接口：packet-filter 3000 inbound华为 VRP
华为 VRP
acl number 3000
rule 5 permit tcp source 192.168.10.0 0.0.0.255 destination-port eq 22
rule 10 deny ip source 10.2.0.0 0.0.255.255 logging
rule 15 permit ip
display acl 3000
# 应用到接口：traffic-filter inbound acl 3000思科 IOS
思科 IOS
access-list 100 permit tcp 192.168.10.0 0.0.0.255 any eq 22
access-list 100 deny ip 10.2.0.0 0.0.255.255 any log
access-list 100 permit ip any any
show ip access-lists 100
! 应用到接口：ip access-group 100 in三厂高级 ACL 对照
| 操作 | H3C Comware | 华为 VRP | 思科 IOS |
|---|---|---|---|
| 创建 | acl advanced 3000 | acl number 3000 | access-list 100（编号）或 ip access-list extended NAME |
| 放行规则 | rule 5 permit tcp source A B destination-port eq 22 | rule 5 permit tcp source A B destination-port eq 22 | permit tcp A B any eq 22 |
| 带日志的拒绝 | rule 10 deny ip source A B logging | rule 10 deny ip source A B logging | deny ip A B any log |
| 查看 | display acl 3000 | display acl 3000 | show ip access-lists 100 |
| 应用到接口 | packet-filter 3000 inbound | traffic-filter inbound acl 3000 | ip access-group 100 in |
反掩码（通配符掩码）写法三家一致：0 表示该位必须匹配，1 表示任意。它与子网掩码语义相反，是配置 ACL 时最容易写错的细节。
规则日志只对关键规则开启：高频命中的规则一旦开 logging，日志缓冲区会被迅速刷满，设备 CPU 也会被抬高，还会挤掉真正需要留存的日志。