网硕互联帮助中心网络基础 | 基本 ACL：只认「从哪来」的流量闸门
一句话理解：基本 ACL（编号 2000–2999）只匹配报文的源 IP 地址，干一件事——「这个源来的流量，放行还是丢弃」。它看不到目的 IP、端口、协议，所以部署时要靠近目的端，避免误杀。
1. ACL 是什么 & 两种类型速查
ACL（访问控制列表）是一条条「规则」按顺序组成的过滤器，挂在接口或 vty 上对流经流量做 permit/deny。
| 基本 ACL | 2000–2999 | 仅源 IP | 按来源拦流量、限制远程登录来源 |
| 高级 ACL | 3000–3999 | 源 IP + 目的 IP + 协议 + 端口 | 精细控制（如禁 FTP、禁访问某服务器） |
关键区别：基本 ACL 只认「谁发的」，高级 ACL 还能认「发给谁、用什么协议、哪个端口」。本篇只讲基本 ACL。
2. 通配符掩码（反掩码）先搞懂
基本 ACL 的 source 后面跟的是通配符掩码，不是子网掩码：
| 0 | 严格匹配这一位 |
| 1 | 忽略这一位（通配） |
| 192.168.1.10 0.0.0.0 | 全 0 | 精确匹配单台主机 |
| 192.168.1.0 0.0.0.255 | 末位 1 | 匹配整个 /24 网段 |
| any（= 0.0.0.0 0） | 全 1 | 匹配所有 IP |
3. 实验拓扑（基于源 IP 拒绝 PC1）
基本 ACL 2000 过滤
outbound · acl 2000
PC1 · 1.10
被拒绝
PC2 · 1.20
允许
AR1
Server
192.168.2.10
acl 2000
rule 5 deny source 192.168.1.10 0
rule 10 permit source any
上图：AR1 在连 Server 的口出方向挂 ACL 2000——源是 PC1(1.10) 的流量被 deny，其余 permit。注意 ACL 只看源 IP，并不知道要去 Server 还是别处。
4. 完整配置（华为 VRP）
4.1 定义基本 ACL
system-view
acl 2000
rule 5 deny source 192.168.1.10 0.0.0.0 # 拒绝 PC1（0.0.0.0 = 精确匹配单 IP）
rule 10 permit source any # 放行其余所有（any = 0.0.0.0 0）
4.2 在接口调用（本例：拦去 Server 的流量）
interface GigabitEthernet 0/0/1 # 连接 Server 的接口
traffic-filter outbound acl 2000 # 出方向挂 ACL
4.3 进阶：限制远程登录来源（vty 调用）
acl 2000
rule 5 permit source 192.168.1.0 0.0.0.255 # 只允许内网管理段登录
user-interface vty 0 4
acl 2000 inbound # 注意 vty 用 inbound
5. 验证命令
display acl 2000 # 看规则 + 命中计数（matches 字段）
display traffic-filter applied-record # 看 ACL 挂在哪个接口、哪个方向
PC1 ping 192.168.2.10 不通、PC2 能通即生效；display acl 2000 里对应 rule 的 matches 数会增长。
6. 基本 ACL vs 高级 ACL 对比表
| 匹配字段 | 仅源 IP | 源 IP + 目的 IP + 协议 + 源/目的端口 |
| 部署位置 | 靠近目的端 | 靠近源端 |
| 能否禁特定服务 | ❌ | ✅（如 deny tcp dst port 21） |
| 能否按目的拦截 | ❌ | ✅ |
| 语法复杂度 | 简单 | 较复杂 |
7. 八大踩坑表（最高频）
| 1 | 忘了隐含 deny any | 配了 deny 没配 permit，全不通 | ACL 末尾自动追加 rule deny，记得补 permit source any |
| 2 | rule 顺序错 | 想放行的被前面的 deny 拦死 | 规则从小到大匹配，精确 deny 放前面、permit 兜底放后面 |
| 3 | 方向配反 | 挂了但不生效 | 想拦出方向用 outbound，进方向用 inbound |
| 4 | 基本 ACL 部署太靠前 | 误杀其他目的流量 | 基本 ACL 只认源，尽量靠近目的端部署 |
| 5 | 想按目的 IP 拦 | 基本 ACL 做不到 | 改用高级 ACL 3000+ |
| 6 | 通配符当子网掩码 | 匹配范围错 | 反掩码：0匹配 1忽略，别写 255.255.255.0 |
| 7 | vty 调 ACL 用 outbound | 登录限制不生效 | vty 用 acl 2000 inbound |
| 8 | rule 编号冲突/跳号 | 插入规则困难 | 编号留间隔（5/10/15），方便后续插规则 |
8. 结语 & 下一步
基本 ACL 是「只看从哪来」的粗粒度闸门，部署时靠近目的端减少误杀，且永远记得隐含 deny + 补 permit。要按「发给谁、什么服务」精细管控，得上高级 ACL（3000+）——能匹配目的 IP、协议、端口。
下一篇预告：高级 ACL 配置——精确拦截「PC1 访问 Server 的 FTP（TCP 21）但允许 HTTP」，源/目的/端口全掌控。
续写命令（复制即用）：
# 拒绝 PC1 访问 Server，其余放行（接口出方向）
acl 2000
rule 5 deny source 192.168.1.10 0.0.0.0
rule 10 permit source any
interface GigabitEthernet 0/0/1
traffic-filter outbound acl 2000
评论前必须登录！
注册