三厂 ACL 总对照
三厂 ACL 的匹配逻辑一致：从上到下逐条比对，命中即执行动作并停止向下匹配。差异集中在编号体系与应用命令上——华为与 H3C 的编号段一致，基本 ACL 用 2000 到 2999、高级 ACL 用 3000 到 3999，H3C 还要显式写 basic 或 advanced 关键字；思科沿用经典的 1 到 99 与 100 到 199，另有扩展编号段。通配符掩码三厂写法相同，是唯一可以原样照搬的部分。
基本信息
| 适用平台 | 华为 VRP、思科 IOS、H3C Comware |
|---|---|
| 匹配顺序 | 从上到下，命中即停止，规则顺序决定行为 |
| 编号差异 | 华为与 H3C 一致，思科自成一套 |
| 应用命令 | traffic-filter、packet-filter、access-group |
| 缺省行为 | 思科末尾隐式拒绝，华为与 H3C 建议显式写兜底 |
典型使用场景
- 设备替换或厂商迁移时重写现有 ACL
- 多厂商混合网络里统一策略表述与编号规划
- 培训与交接时提供一张可查的对照表
- 排查跨厂设备的过滤不生效问题
- 审计时把各厂配置统一翻译成同一套语义描述
三厂 ACL 总对照
| 维度 | 华为 VRP | 思科 IOS | H3C Comware |
|---|---|---|---|
| 源地址过滤 | 基本 ACL 编号 2000 到 2999 | 标准 ACL 编号 1 到 99 与 1300 到 1999 | acl basic 编号 2000 到 2999 |
| 协议端口过滤 | 高级 ACL 编号 3000 到 3999 | 扩展 ACL 编号 100 到 199 与 2000 到 2699 | acl advanced 编号 3000 到 3999 |
| 二层帧过滤 | 二层 ACL 编号 4000 到 4999 | 需具体特性支持 | acl mac 编号 4000 到 4999 |
| 命名 ACL | acl name 名称 advance | ip access-list extended 名称 | acl name 名称 advanced |
| 接口应用 | traffic-filter inbound acl 编号 | ip access-group 编号 in | packet-filter 编号 inbound |
| 线路应用 | user-interface 下 acl 编号 inbound | line vty 下 access-class 编号 in | line vty 下 acl 编号 inbound |
| 缺省动作 | 需显式写兜底规则 | 末尾隐式拒绝全部 | 需显式写兜底规则 |
华为 VRP
华为 VRP
acl number 2000
rule 5 permit source 10.1.1.0 0.0.0.255
acl number 3000
rule 10 deny tcp destination-port eq 445
rule 15 permit ip
interface GigabitEthernet0/0/1
traffic-filter inbound acl 3000思科 IOS
思科 IOS
ip access-list standard 10
permit 10.1.1.0 0.0.0.255
ip access-list extended 100
deny tcp any any eq 445
permit ip any any
interface GigabitEthernet0/1
ip access-group 100 inH3C Comware
H3C Comware
acl basic 2000
rule 5 permit source 10.1.1.0 0.0.0.255
acl advanced 3000
rule 10 deny tcp destination-port eq 445
rule 15 permit ip
interface GigabitEthernet1/0/1
packet-filter 3000 inbound迁移与核对要点
- 编号要整体重排：把思科的编号直接搬到其他设备上，可能落在类型不对的编号段里
- 规则顺序逐条核对：一条拒绝放在放行之前与之后结果完全不同，迁移后必须复读一遍顺序
- 缺省动作要显式化：思科的隐式拒绝在其他平台不存在，末尾补上兜底规则才能保持一致语义
- 通配符掩码可以直接沿用，但单位主机与任意地址的简写方式需要按目标平台改写
- 应用位置同样要核对：接口过滤、线路限制与地址转换引用是三种不同场景，缺省行为可能不同
- 迁移完成后用命中计数与测试流量双重验证，不要只看配置文本
常见疑问
- 为什么规则写了不生效：先看是否被引用，再看规则顺序与缺省动作
- 编号 ACL 能插入规则吗：思科编号 ACL 不支持按条插入删除，建议改用命名 ACL
- 接口过滤能挡住本机访问吗：不能，本机流量需要线路或控制平面策略
- 通配符要重新算吗：三厂写法一致，只有单位主机与任意地址的简写不同
掌握三张表的对应关系比记住所有命令更有用：类型对应、编号对应、应用位置对应，遇到具体命令时按这三层去找，基本不会出错。
ACL 迁移属于高风险变更：一个方向写反或一条顺序错位就能造成大面积业务中断。迁移在维护窗口进行，先在小范围设备验证，再全量推广。