精细到协议与端口的过滤
华为高级 ACL 编号 3000 到 3999，一条规则可以同时匹配协议类型、源与目的地址、源与目的端口、TCP 标志以及时间范围，是接口流量过滤的主力。规则从上到下逐条匹配，命中即生效，因此每条规则的先后顺序本身就是配置逻辑的一部分。默认规则号步长为 5，留出空号便于后续在中间插入更精细的规则。
基本信息
| 适用平台 | 华为 VRP 路由器与交换机 |
|---|---|
| 编号范围 | 高级 ACL 3000 到 3999，命名高级 ACL 类型关键字为 advance |
| 匹配条件 | 协议、源目地址、源目端口、TCP 标志、时间范围 |
| 规则号 | 默认步长 5，可插入与重排 |
| 应用命令 | 接口下 traffic-filter inbound 或 outbound 引用编号 |
典型使用场景
- 按端口限制访问：只允许访问服务器的 443 端口
- 阻断高危端口横向传播，例如 445 与 3389
- 限制特定网段访问外部，同时保留必要的业务端口
- 配合时间范围做时段管控，非工作时段收紧权限
- 为 NAT 或策略路由提供带端口条件的匹配基础
华为 VRP
华为 VRP
acl number 3000
rule 5 permit tcp source 192.168.10.0 0.0.0.255 destination 10.1.1.10 0 destination-port eq 80
rule 10 deny tcp destination-port eq 445 # 阻断高危端口
rule 15 permit ip # 兜底放行，业务不受影响
display acl 3000 # 查看规则与命中计数
interface GigabitEthernet0/0/1
traffic-filter inbound acl 3000思科 IOS
思科 IOS
ip access-list extended 100
permit tcp 192.168.10.0 0.0.0.255 host 10.1.1.10 eq 80
deny tcp any any eq 445
permit ip any any
show access-lists 100
interface GigabitEthernet0/1
ip access-group 100 inH3C Comware
H3C Comware
acl advanced 3000
rule 5 permit tcp source 192.168.10.0 0.0.0.255 destination 10.1.1.10 0 destination-port eq 80
rule 10 deny tcp destination-port eq 445
rule 15 permit ip
interface GigabitEthernet1/0/1
packet-filter 3000 inbound规则语法逐段读法
| 片段 | 含义 | 注意事项 |
|---|---|---|
| rule 5 | 规则序号，数值小的先匹配 | 步长 5 便于插入，插不进去说明空号已用完 |
| permit 或 deny | 命中后的动作，命中即停止继续匹配 | 顺序错误会得到完全不同的过滤结果 |
| tcp 或 udp 或 icmp | 匹配的协议类型 | 省略协议时用 ip 表示匹配所有协议 |
| source 与 destination | 源与目的地址加通配符，单位主机写地址加 0 | 目的地址写错是规则不命中的常见原因 |
| destination-port eq 80 | 目的端口条件，可用 eq lt gt range 等写法 | 只写端口不写协议会导致规则语义变化 |
| 末尾 permit ip | 兜底放行其余流量 | 不写兜底会连正常业务流量一起丢弃 |
工程要点
- 先放行必要业务再拒绝高危端口，顺序颠倒会把正常流量挡在外面
- 规则尽量精确：源、目的、协议、端口都给全，避免一条 deny 覆盖过大范围
- 始终显式写末尾兜底规则，不依赖设备缺省行为，跨设备复制时才有一致预期
- 上线前用命中计数验证关键规则确实被匹配，避免规则写了但永远不会命中
- 变更前导出原 ACL 文本，出现业务异常时能快速回退
与其他特性的配合
- 与 NAT 的分工：地址转换的源选择通常使用只匹配源地址的 ACL，高级 ACL 更多用于接口流量过滤
- 与时间范围配合：规则可引用时间范围实现按时段放行，切换时段时行为自动变化，不需要人工改配置
- 与流量统计配合：规则计数可以粗粒度观察流量，但不能替代专门的流量分析手段
- 与接口方向的配合：同一接口同一方向通常只引用一个 ACL，多套策略要么合并，要么分布到不同接口
- 与安全特性的顺序：ACL 与端口安全、地址绑定等特性作用的层次不同，互不替代，需要一起规划
三厂规则骨架一致：动作加协议加条件，区别主要在地址与掩码写法——华为与 H3C 的地址后必须跟通配符，单主机写地址加 0，思科用 host 关键字或地址加 0.0.0.0。
谨慎使用带 log 或日志功能的拒绝规则：被拦截的报文量大时会产生大量日志，占用设备 CPU 并淹没真正有价值的告警，建议只对关键规则开启。