给 ACL 写说明书
ACL 是设备上最容易被后来人读错的东西：编号、网段、端口叠在一起，几个月后连作者自己都要重新推演一遍。三厂都提供了给 ACL 加描述的能力（华为与 H3C 用 description，思科用 remark），写上用途、责任人与关联工单号，交接与排障时的价值远超多花的那一分钟。备注只是注释，不参与匹配，也不会占用规则编号。
基本信息
| 适用平台 | 华为 VRP、思科 IOS、H3C Comware |
|---|---|
| 华为命令 | ACL 视图下 description 文本 |
| 思科命令 | 命名 ACL 视图下 remark 文本；编号 ACL 用 access-list <编号> remark 文本 |
| H3C 命令 | ACL 视图下 description 文本 |
| 生效方式 | 备注不参与匹配，增删改备注不会改变过滤行为 |
| 字符限制 | 各平台长度上限不同，建议控制在 30 个字符以内 |
典型使用场景
- 交接与审计：接手的人先看备注就能知道这条 ACL 的业务用途
- 变更管理：备注里写工单号，事后追溯某次变更有据可查
- 临时策略标注：写明有效期，到期后按备注清理，避免临时规则长期留存
- 多部门共享设备：注明责任部门与联系人，故障时找得到人
- 合规检查：基线检查要求 ACL 具备用途说明，未写备注会被记为不符合项
华为 VRP
华为 VRP
[Huawei] acl number 3000
[Huawei-acl-adv-3000] description deny-445-for-office # 用途说明写在这里
[Huawei-acl-adv-3000] rule 5 deny tcp destination-port eq 445
<Huawei> display acl 3000 # 输出中可见 description 行
<Huawei> display current-configuration | include description思科 IOS
思科 IOS
SW-CORE-01(config)# access-list 100 remark Web access for sales # 编号 ACL 的备注
SW-CORE-01(config)# ip access-list extended WEB
SW-CORE-01(config-ext-nacl)# remark MGMT segment only # 命名 ACL 内直接用 remark
SW-CORE-01(config-ext-nacl)# permit tcp 10.1.1.0 0.0.0.255 any eq 443
SW-CORE-01# show ip access-lists WEB
SW-CORE-01# show running-config | include remarkH3C Comware
H3C Comware
[H3C] acl advanced 3000
[H3C-acl-ipv4-adv-3000] description deny-445-for-office
[H3C-acl-ipv4-adv-3000] rule 5 deny tcp destination-port eq 445
<H3C> display acl 3000
! 二层 ACL 与 IPv6 ACL 在各自视图下同样支持 description三厂备注写法
| 平台 | 命令位置 | 示例 |
|---|---|---|
| 华为 VRP | ACL 视图内 | description deny-445-for-office |
| 思科 IOS（命名） | 命名 ACL 视图内 | remark MGMT segment only |
| 思科 IOS（编号） | 全局命令 | access-list 100 remark Web access |
| H3C Comware | ACL 视图内 | description deny-445-for-office |
备注内容建议用英文或拼音缩写：部分版本的设备对中文备注显示会乱码，跨平台备份与比对时也会出问题。备注里别写敏感信息，例如口令或内部地址规划细节。
思科编号 ACL 的 remark 是一条独立命令，写在 ACL 规则之前的行上；命名 ACL 则进入对应视图后直接写 remark。两种写法的位置不同，混用时会提示语法错误，接手别人配置时先确认是哪种 ACL 类型。