ACL 命中日志
给关键规则加上日志选项，可以在设备日志里看到「谁在什么时候被拒绝」，是定位被拦截业务最快的手段。代价是高频命中的规则会持续刷日志，挤掉缓冲里的其他告警并抬高 CPU，因此只适合排障窗口期或命中量可控的规则。
基本信息
| 适用平台 | 华为 VRP、思科 IOS、H3C Comware |
|---|---|
| 华为与 H3C 关键字 | 规则后加 logging |
| 思科关键字 | log 与 log-input（后者额外记录入接口与源 MAC） |
| 查看位置 | 设备日志缓冲区，或转发到日志服务器 |
| 成本 | 日志输出占用 CPU 与缓冲区，高频规则慎用 |
三厂写法对照
| 功能 | 华为 VRP | H3C Comware | 思科 IOS |
|---|---|---|---|
| 规则加日志 | rule 5 deny ... logging | rule 5 deny ... logging | access-list 100 deny ... log |
| 带入接口信息 | 按版本支持情况确认 | 按版本支持情况确认 | log-input |
| 查看日志 | display logbuffer | display logbuffer | show logging |
| 送到服务器 | info-center 相关配置 | info-center 相关配置 | logging host |
典型使用场景
- 业务不通但怀疑被 ACL 拦，需要确认是否命中以及源地址
- 上线新策略前的验证阶段，观察命中情况再决定要不要收紧
- 安全事件排查：确认某些端口或网段是否被策略阻止
- 定位策略范围过宽：发现不该被拒的流量出现在日志中
- 收尾审计：确认策略无异常命中后移除日志选项，降低开销
- 排障交接：把命中记录导出作为证据，供后续复盘使用
华为 VRP 与 H3C Comware
华为 VRP 与 H3C Comware
acl number 3000 # 华为
rule 5 deny tcp destination-port eq 445 logging
display logbuffer | include ACL # 查看命中记录
acl advanced 3000 # H3C
rule 5 deny tcp destination-port eq 445 logging
display logbuffer思科 IOS
思科 IOS
access-list 100 deny tcp any any eq 445 log-input # 含入接口与源 MAC
access-list 100 permit ip any any # 别忘了兜底放行
show logging | include LIST # 过滤命中记录
logging host 10.1.1.200 # 转送到日志服务器
logging buffered 与日志级别按需调整，避免缓冲被冲掉思科的 log-input 会额外记录入接口与源 MAC，信息更全但开销更大。华为与 H3C 在高频规则上开 logging 要谨慎，建议只用于排障窗口期，问题定位后及时关闭。
对每秒上万次命中的拒绝规则开日志，会迅速冲掉日志缓冲区，有价值的硬件告警与协议告警一起被覆盖，排障时反而失去关键线索。规则命中量不确定时，先短时开启观察命中速率，再决定是否保留。