ACL规则优先级与反掩码详解
ACL（访问控制列表）的规则优先级遵循“越小越优先”原则，规则ID（rule-id）越小，优先级越高，越先被匹配和执行。其掩码采用反掩码（Wildcard Mask），与子网掩码逻辑相反，其中0表示需要精确匹配，1表示忽略匹配。ACL主要分为基本ACL和高级ACL，高级ACL在匹配源/目的IP的基础上，还能控制协议类型、端口号等更精细的流量。
一、 ACL规则优先级与匹配机制
ACL的匹配过程是顺序执行、首次匹配。设备从规则ID最小的规则开始逐条检查，一旦数据包匹配某条规则，则立即执行该规则的“permit”（允许）或“deny”（拒绝）动作，并停止后续规则的检查。因此，高优先级的规则（小ID）应放置在前面。
| 特性 | 说明 |
|---|---|
| 优先级原则 | 规则ID越小，优先级越高。 |
| 匹配流程 | 顺序匹配，首次命中即执行动作并停止。 |
| 默认规则 | 所有ACL末尾隐含一条“deny any”规则，拒绝所有未明确允许的流量。 |
二、 反掩码（Wildcard Mask）详解
反掩码用于在ACL规则中定义IP地址的匹配范围，其格式与IP地址相同，但含义与子网掩码相反。
| 反掩码位 | 含义 | 示例 |
|---|---|---|
| 0 | 必须精确匹配对应IP地址位。 | 若规则为 ` |
192.168.1.0 0.0.0.255，则前24位（ | ||
| 192.168.1`）必须严格匹配。 | ||
| 1 | 忽略（不关心）对应IP地址位。 | 上例中反掩码最后8位为1，表示主机位（0-255）任意均可。 |
示例：控制特定网段
# 允许来自 192.168.10.0/24 网段的所有流量 rule 5 permit source 192.168.10.0 0.0.0.255此规则中，反掩码0.0.0.255表示前24位必须精确匹配192.168.10，最后8位任意。
三、 基本ACL与高级ACL功能对比
基本ACL仅基于源IP地址进行控制，而高级ACL可基于五元组（源IP、目的IP、协议、源端口、目的端口）进行更精细的控制。
| ACL类型 | 编号范围 | 匹配依据 | 典型应用场景 |
|---|---|---|---|
| 基本ACL | 2000-2999 | 仅源IP地址。 | 限制特定主机或网段的访问权限。 |
| 高级ACL | 3000-3999 | 源IP、目的IP、协议类型、源端口、目的端口等。 | 实现基于服务的精细控制，如禁止访问某个服务器的特定端口。 |
四、 高级ACL对服务和端口的控制
高级ACL的核心优势在于能识别传输层协议（如TCP/UDP）及端口号，从而实现对具体网络服务（如Web、FTP、DNS）的访问控制。
1. 控制协议类型
在规则中通过protocol关键字指定协议，如tcp,udp,icmp,ip（代表所有IP协议）。
2. 控制端口号
对于TCP/UDP协议，可使用source-port（源端口）或destination-port（目的端口）参数，并配合比较运算符（eq-等于,gt-大于,lt-小于,range-范围）来定义端口条件。
配置示例：禁止内网访问外部Web服务（TCP 80端口）
# 创建高级ACL 3000 acl number 3000 # 规则5：拒绝来自192.168.1.0/24网段，去往任何目的IP的TCP 80端口流量 rule 5 deny tcp source 192.168.1.0 0.0.0.255 destination any destination-port eq 80 # 规则10：允许其他所有IP流量（注意：此允许规则需在拒绝规则之后，因优先级顺序匹配） rule 10 permit ip source any destination any配置解析：
rule 5: 使用高级ACL，协议为tcp，源IP为192.168.1.0/24（反掩码定义），目的IP为任意（any），并指定目的端口等于（eq）80。rule 10: 允许所有其他IP流量，避免因末尾的隐含拒绝规则而阻断所有网络。
3. 控制ICMP协议特定类型
对于网络层协议如ICMP，可以控制具体的报文类型。
# 禁止所有主机 ping (ICMP Echo-Request) 目标服务器 10.1.1.1 rule 15 deny icmp source any destination 10.1.1.1 0 icmp-type echo-request五、 综合应用场景与配置要点
场景：某企业网络需实现以下安全策略：
- 禁止财务部网段（10.10.10.0/24）访问互联网。
- 允许研发部网段（10.10.20.0/24）访问外部Web服务（80端口）和DNS服务（UDP 53端口），但禁止其他所有互联网访问。
- 允许所有内部网络互访。
配置思路：
- 使用基本ACL实现简单的源IP过滤（场景1）。
- 使用高级ACL实现基于服务的精细控制（场景2）。
- 注意规则顺序，将范围更精确、限制更严格的规则放在前面（小ID）。
示例配置：
! 配置基本ACL 2000， 实现场景1 acl number 2000 rule 5 deny source 10.10.10.0 0.0.0.255 ! 禁止财务部出站 rule 10 permit source any ! 允许其他所有源IP（注意顺序） ! 配置高级ACL 3000， 实现场景2 acl number 3000 ! 允许研发部访问外部DNS（UDP 53） rule 5 permit udp source 10.10.20.0 0.0.0.255 destination any destination-port eq 53 ! 允许研发部访问外部Web（TCP 80） rule 10 permit tcp source 10.10.20.0 0.0.0.255 destination any destination-port eq 80 ! 禁止研发部进行其他所有互联网访问 rule 15 deny ip source 10.10.20.0 0.0.0.255 destination any ! 允许其他所有流量（非研发部） rule 20 permit ip source any destination any ! 将ACL应用到接口的入方向或出方向 interface GigabitEthernet 0/0/1 traffic-filter outbound acl 2000 ! 在出方向应用ACL 2000 traffic-filter outbound acl 3000 ! 在出方向应用ACL 3000， 设备会按ACL编号顺序检查关键要点：
- 规则顺序至关重要：
rule 15拒绝研发部其他流量必须放在rule 20允许所有流量之前，否则rule 20会先被匹配，导致rule 15失效。 - 应用方向：
outbound表示对从该接口发出的流量进行过滤。需根据实际网络拓扑和数据流方向决定应用在接口的inbound（进入）或outbound（发出）方向。 - 反掩码使用：
0.0.0.255精确匹配前24位，是定义/24网段的常用写法。
通过结合基本ACL的简单源控制和高级ACL的精细服务控制，并严格遵守“越小越优先”的匹配顺序及正确使用反掩码，可以构建出强大且灵活的网络访问控制策略。
参考来源
- 这50道数通高频题，我终于拿到了大厂offer！
- 软考网络工程师笔记