顺序即优先级
ACL 从上到下逐条匹配、命中即停止，所以规则编号顺序等同于优先级。华为与 H3C 默认步长 5，留出的间隔专门用于后续插入规则；思科命名 ACL 有自动序号也可显式指定，编号 ACL 则只能整体删除后重建。
基本信息
| 适用平台 | 三厂设备 |
|---|---|
| 华为命令 | acl number 3000 下用 rule 编号 |
| 思科命令 | 命名 ACL 有 sequence 序号；编号 ACL 按配置顺序 |
| H3C 命令 | acl advanced 3000 下用 rule 编号 |
| 默认步长 | 华为与 H3C 为 5，可用 step 调整 |
| 末端处理 | 华为与 H3C 未匹配默认丢弃；思科末尾隐含拒绝 |
典型使用场景
- 调整规则优先级，把关键规则提前
- 在已有 ACL 中间插入新规则
- 排查策略不生效，多因被前序规则先命中
- 迁移 ACL 时核对两家的编号体系差异
- 巡检时核对规则顺序与匹配计数
华为 VRP
华为 VRP
acl number 3000
rule 5 permit tcp destination-port eq 80 # 先放行 Web
rule 6 deny tcp destination 10.1.1.10 0 destination-port eq 80 # 再拦截特定主机
rule 100 deny ip # 末端兜底
display acl 3000 # 按编号升序看匹配计数思科 IOS 与 H3C
思科 IOS 与 H3C
ip access-list extended WEB
5 permit tcp any any eq 80
6 deny tcp any host 10.1.1.10 eq 80
100 deny ip any any
show ip access-lists WEB # 查看序号与匹配计数
# H3C Comware
acl advanced 3000
rule 5 permit tcp destination-port eq 80
rule 6 deny tcp destination 10.1.1.10 0 destination-port eq 80
display acl 3000三厂编号体系
| 项目 | 华为与 H3C | 思科命名 ACL | 思科编号 ACL |
|---|---|---|---|
| 编号方式 | rule 编号，默认步长 5 | 自动序号，可显式指定 | 按配置顺序 |
| 插入规则 | 用中间编号插入 | 用中间序号插入 | 只能整体重建 |
| 匹配计数 | display acl 可见 | show ip access-lists 可见 | 可见 |
步长留白的价值在可维护性：编号 5、10、15 之间有空隙，后续插入不需要重排整段。规划时就把间隔预留出来，比事后重建整条 ACL 省事得多，风险也小得多。
调整顺序前要读完整段 ACL。华为与 H3C 的输出会提示未匹配的流量将被丢弃，思科则在末尾隐含拒绝；把兜底规则挪到前面，整条策略的语义会完全反转。
匹配计数是排查顺序问题最直接的证据：某条规则计数始终为零，说明报文在前面就被命中了，而不是这条规则本身写错。先看计数增长情况，再回头调整顺序，比反复改规则有效。