TCP established 与 TCP 标志位匹配

思科的 established 关键字用于放行“已建立连接的返回流量”，华为/H3C 没有该关键字，要用 TCP 标志位（tcp-flag）近似实现。

场景	只放行内网发起会话的返回流量
适用	三厂
语义	思科 established 匹配 TCP 的 ACK 或 RST 位置 1 的报文

思科 IOS

access-list 101 permit tcp any any established
access-list 101 deny ip any any
show ip access-lists 101

acl number 3000
 rule 5 permit tcp tcp-flag ack
 rule 10 permit tcp tcp-flag rst
 rule 15 deny ip

acl advanced 3000
 rule 5 permit tcp tcp-flag ack
 rule 10 permit tcp tcp-flag rst
 rule 15 deny ip

差异：华为/H3C 的 tcp-flag 关键字写法各版本略有差异，配置前先输入 ? 补全确认；established/tcp-flag 都是粗粒度过滤，不能当状态防火墙用。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌