只放行已建立的连接
ACL 里用 established（思科 IOS）或 TCP 标志位匹配（华为 VRP 与 H3C Comware 的 tcp-flag）可以只放行「看起来属于已建立连接」的返回报文，用于实现「内网可主动访问外部、外部不能主动发起」的粗粒度方向控制。要注意思科的 established 实际匹配的是 TCP 报文中 ACK 或 RST 位置 1 的报文，属于无状态匹配，并不是真正的会话检测。
基本信息
| 适用平台 | 思科 IOS / 华为 VRP / H3C Comware |
|---|---|
| 思科写法 | permit tcp any any established |
| 华为与 H3C 写法 | rule permit tcp tcp-flag ack / rst |
| 语义本质 | 匹配 TCP 标志位，无会话状态，不能替代状态防火墙 |
典型使用场景
- 出口方向只放行内网发起的会话返回报文，减少逐端口放行条目
- 区域之间做粗粒度访问方向控制，先拦住由外向内发起的连接
- 精简 ACL 条目数量，降低维护与审计成本
- 与状态防火墙分工：边界仍应由状态化的设备承担
- 排查「连接能建立但后续报文被拦」这类方向策略问题
思科 IOS
思科 IOS
SW-CORE-01(config)# access-list 101 permit tcp any any established
SW-CORE-01(config)# access-list 101 deny ip any any
SW-CORE-01(config-if)# ip access-group 101 out
SW-CORE-01# show ip access-lists 101 # 各条命中计数是判定生效的关键华为 VRP
华为 VRP
[Huawei] acl number 3000
[Huawei-acl-adv-3000] rule 5 permit tcp tcp-flag ack
[Huawei-acl-adv-3000] rule 10 permit tcp tcp-flag rst
[Huawei-acl-adv-3000] rule 15 deny ip
[Huawei-GigabitEthernet0/0/1] traffic-filter inbound acl 3000
<Huawei> display acl 3000H3C Comware
H3C Comware
[H3C] acl advanced 3000
[H3C-acl-ipv4-adv-3000] rule 5 permit tcp tcp-flag ack
[H3C-acl-ipv4-adv-3000] rule 10 permit tcp tcp-flag rst
[H3C-acl-ipv4-adv-3000] rule 15 deny ip
[H3C-GigabitEthernet1/0/1] packet-filter 3000 inbound
<H3C> display acl 3000写法与语义对照
| 来源 | 写法 | 匹配对象 | 注意点 |
|---|---|---|---|
| 思科 IOS | permit tcp any any established | TCP 头部 ACK 或 RST 置 1 | 无法判断是否真属于已有会话 |
| 华为 VRP | rule permit tcp tcp-flag ack | ACK 置位的 TCP 报文 | 关键字写法随版本，用 ? 补全确认 |
| H3C Comware | rule permit tcp tcp-flag ack | ACK 置位的 TCP 报文 | 需使用高级 ACL 并指明 tcp 协议 |
| 状态化设备 | 会话表检测 | 按已建立的会话表判定 | 能力更强，网络边界应优先使用 |
established 与 tcp-flag 都是粗粒度匹配：外部只需构造带 ACK 标志的报文就能穿过，无法区分是否属于真实会话。真正需要方向控制的网络边界应交给具有会话表的防火墙，ACL 只作为轻量补充。
这类规则只有在正确的方向上才有意义：通常放在出方向，用于放行内网主动发起会话的返回报文。若误挂在入方向，内网发起的会话返回流量会被丢弃，表现是能连上却收不到响应。