一、基本概念
1、概念：ACL即访问控制列表，是一种基于包过滤的访问控制技术。由一条或多条规则组成的集合，通过定义动作来确保哪些数据包可以通过，哪些需要被阻止。
2、基本原理：ACL 通过规则对数据包分类，规则定义了源地址、目的地址、端口号等匹配条件。设备依据这些规则匹配报文，再根据应用 ACL 的业务模块的处理策略，决定允许或阻止报文通过。
3、作用：用于匹配指定流量或路由，可以针对控制层面进行匹配也可以针对转发层面进行匹配。
二、ACL分类
| ACL 类型 | 编号范围 | 匹配依据 | 应用场景 |
|---|---|---|---|
| 基本 ACL | 2000 - 2999 | 根据报文的源 IP 地址进行过滤 | 对特定网段或特定 IP 进行整体控制，如限制某个部门访问外部网络 |
| 高级 ACL | 3000 - 3999 | 根据报文的源 IP /目的 IP 地址、协议（TCP、UDP、ICMP 等）、源目端口号等进行过滤 | 适用于精细控制场景，如特定 IP 访问服务器特定端口或限制协议流量 |
| 二层 ACL | 4000 - 4999 | 根据源 MAC 地址、目的 MAC 地址和以太帧协议类型等二层信息对报文进行过滤 | 在交换网络中，控制不同 MAC 地址设备间的通信，防止非法 MAC 地址设备接入网络 |
| 用户自定义 ACL | 5000 - 5999 | 允许用户根据需求定义特定匹配规则，可结合多种条件灵活配置 | 基本、高级和二层 ACL 无法满足特殊访问控制需求时使用 |
| 用户 ACL | 6000 - 6999 | 基于 IP 地址、端口号、协议类型等网络和传输层信息过滤数据包，用户身份识别与认证，依据用户身份、角色、权限决定其对网络资源的访问权限。 | 基本、高级和二层 ACL 无法满足特殊访问控制需求时使用 |
三、ACL的组成
①规则编号：标识规则的顺序，设备按照规则编号从小到大的顺序依次匹配规则。规则编号可以手动指定，也可以由系统自动分配，默认步长等于5。
②动作：分为允许（permit）和拒绝（deny）两种，决定了匹配该规则的数据包是可以通过还是被阻止。
③匹配条件：主要是源/目的 IP 地址、协议类型、端口号等。
四、ACL匹配机制
1、匹配规则
①顺序匹配：设备按规则编号从小到大的顺序，依次将数据包与 ACL 规则进行匹配。
②一旦匹配即停止：当数据包与某条规则相匹配时，设备会立刻依据该规则的动作（允许或拒绝）处理数据包，不再对后续规则进行匹配。
2、常用匹配项
①生效时间段：所有 ACL 都能依据生效时间段对报文进行过滤，实现不同时间段设置不同访问策略。
②协议：高级 ACL 可基于协议类型过滤报文，常见协议如 ICMP、TCP、UDP、GRE、IGMP 等。
③源 / 目的 IP 地址及其通配符掩码：用于明确允许或拒绝访问的源和目的 IP 地址范围。
通配符：可以出现0或者1的间隔，长度为32bit，点分十进制标识；用于指示IP地址中，那些比特需要严格匹配，哪些比特不需要匹配。“0”表示匹配，’1‘表示随机分配
五、应用位置
1、接口：可以将 ACL 应用到设备的物理接口或逻辑接口的入方向（inbound）或出方向（outbound），对经过该接口的数据包进行过滤。
2、VLAN：在交换机上，可以将 ACL 应用到 VLAN，控制不同 VLAN 之间的通信。
3、路由协议：用于控制路由信息的接收和发布
六、注意事项
1、规则顺序：由于 ACL 是按照规则编号顺序匹配的，因此规则的顺序非常重要。不合理的规则顺序会导致某些规则无法生效。
2、默认规则：在 ACL 的最后通常有一条隐含的拒绝所有规则（deny any），如果前面的规则都不匹配，数据包将被拒绝。华为设备ACL匹配流量默认放行，匹配路由默认拒绝所有。
