基本 ACL 与规则编号
H3C Comware V7 用 acl basic 2000 创建基本 ACL，只匹配源地址；规则按 rule ID 从小到大匹配，命中即停，默认步长 5。保留的间隔编号是专门留给后面插规则用的，规划编号时别把 0 到 100 一口气写满。
基本信息
| 适用平台 | H3C Comware V7/V5 交换机与路由器 |
|---|---|
| 创建命令 | acl basic 2000（编号范围 2000-2999） |
| 匹配对象 | 仅源地址，不区分目的地与端口 |
| 默认步长 | 5，可用 step 命令调整 |
| 接口引用 | packet-filter 2000 inbound | outbound |
| 地址写法 | 反掩码，如 0.0.0.255 对应 /24 |
典型使用场景
- 只允许特定源网段访问管理网
- 限制少量终端访问服务器网段
- 在接口入方向做简单的来源过滤
- 跨厂迁移时把华为 acl number 2000 的写法翻译成 H3C
- 排障时查看规则匹配计数，确认流量是否真的走到该规则
H3C Comware
H3C Comware
acl basic 2000
rule 0 permit source 192.168.10.0 0.0.0.255 # 反掩码写法，规则必须带动作
rule 5 deny source any # 未匹配的流量在此被拒绝
interface GigabitEthernet1/0/1
packet-filter 2000 inbound # 接口上真正生效的一步
display acl 2000 # 查看规则顺序与匹配计数华为 VRP 与思科 IOS
华为 VRP 与思科 IOS
# 华为 VRP
acl number 2000
rule 0 permit source 192.168.10.0 0.0.0.255
rule 5 deny source any
display acl 2000
# 思科 IOS
access-list 10 permit 192.168.10.0 0.0.0.255
! 思科编号 ACL 不需要写 deny any，末尾隐含拒绝其余
show ip access-lists 10三厂基本 ACL 对照
| 环节 | H3C Comware | 华为 VRP | 思科 IOS |
|---|---|---|---|
| 创建 | acl basic 2000 | acl number 2000 | access-list 10 |
| 规则写法 | rule 5 permit source ... | rule 5 permit source ... | permit 192.168.10.0 0.0.0.255 |
| 动作参数 | 必须显式带 permit/deny | 必须显式带 permit/deny | 由 permit/deny 关键字决定 |
| 末端处理 | 未匹配默认丢弃 | 未匹配默认丢弃 | 末尾隐含 deny any |
反掩码换算是最常出错的地方：0.0.0.255 对应 /24，写错一位匹配范围就完全不同。基本 ACL 只看源地址，需要按目的地址或端口做控制时必须换用高级 ACL，硬用基本 ACL 达不到策略目标。
只建 ACL 不等于生效，必须在接口上引用；而接口一旦引用，未显式放行的流量会被一并丢弃。上线前先把需要放行的规则写全，再挂到接口上，避免一刀切掉业务。
迁移时最容易出错的是末端处理：思科的编号 ACL 自带隐式拒绝，照抄到 H3C 或华为会漏掉显式拒绝语句，匹配结果与预期不一致。迁移后不要只看配置文本，用接口实际流量与匹配计数验证一遍才可靠。