华为/思科 ACL 配置实战：3个典型场景下的规则设计与接口应用方向

华为/思科 ACL 配置实战：3个典型场景下的规则设计与接口应用方向

在网络设备管理中，访问控制列表（ACL）是保障网络安全的核心技术之一。本文将深入探讨华为和思科设备上ACL的实战配置，通过三个典型业务场景，帮助网络工程师掌握ACL规则的设计逻辑与接口应用方向的选择技巧。

1. ACL基础与多厂商配置差异

ACL作为网络流量的"守门人"，通过定义一系列规则来控制数据包的通过与否。华为和思科在ACL实现上存在一些关键差异：

华为ACL配置示例：

# 创建基本ACL acl number 2000 rule 5 deny source 192.168.1.1 0 rule 10 permit source 192.168.1.0 0.0.0.255

思科ACL配置示例：

# 创建标准ACL access-list 10 deny host 192.168.1.1 access-list 10 permit 192.168.1.0 0.0.0.255

提示：华为ACL规则编号具有自动递增特性，而思科ACL规则是严格按配置顺序执行的。

2. 场景一：服务器访问控制

在园区网环境中，财务服务器通常需要严格限制访问来源。我们通过以下拓扑实现访问控制：

[研发部] ---- [市场部] ---- [核心交换机] ---- [财务服务器]

需求：

• 仅允许总裁办公室(192.168.10.0/24)访问财务服务器(10.1.1.100)
• 禁止其他所有部门访问

华为配置：

# 高级ACL acl number 3000 rule 5 permit ip source 192.168.10.0 0.0.0.255 destination 10.1.1.100 0 rule 10 deny ip destination 10.1.1.100 0 # 应用在接口 interface GigabitEthernet0/0/1 traffic-filter inbound acl 3000

思科配置：

# 扩展ACL access-list 101 permit ip 192.168.10.0 0.0.0.255 host 10.1.1.100 access-list 101 deny ip any host 10.1.1.100 # 应用在接口 interface FastEthernet0/1 ip access-group 101 in

接口方向选择要点：

• 当过滤目标是特定服务器时，建议在离目标最近的接口入方向(inbound)应用ACL
• 这种配置方式能减少不必要的网络流量传输

3. 场景二：部门网络隔离

在数据中心网络中，不同部门间有时需要实现网络隔离。考虑以下拓扑：

[研发部] ---- [核心交换机] ---- [市场部] | [数据中心出口]

需求：

• 禁止研发部(192.168.20.0/24)与市场部(192.168.30.0/24)互访
• 允许两部门访问互联网

华为配置：

# 高级ACL acl number 3001 rule 5 deny ip source 192.168.20.0 0.0.0.255 destination 192.168.30.0 0.0.0.255 rule 10 deny ip source 192.168.30.0 0.0.0.255 destination 192.168.20.0 0.0.0.255 rule 15 permit ip any any # 应用在VLAN接口 interface Vlanif10 traffic-filter inbound acl 3001

思科配置：

# 扩展命名ACL ip access-list extended DEPT_ISOLATION deny ip 192.168.20.0 0.0.0.255 192.168.30.0 0.0.0.255 deny ip 192.168.30.0 0.0.0.255 192.168.20.0 0.0.0.255 permit ip any any # 应用在SVI接口 interface Vlan10 ip access-group DEPT_ISOLATION in

最佳实践：

• 使用高级ACL实现精细控制
• 在部门网关接口入方向应用ACL效率最高
• 最后一条permit any any确保不影响其他流量

4. 场景三：外网访问控制

在企业网络出口，需要严格控制内外网访问。典型拓扑如下：

[内部网络] ---- [防火墙] ---- [路由器] ---- [互联网]

需求：

• 只允许内网(10.0.0.0/16)访问外网HTTP/HTTPS(80,443)
• 禁止外网主动访问内网
• 允许特定外网IP(203.0.113.5)访问内网服务器(10.0.1.100)

华为配置：

# 出站ACL acl number 3002 rule 5 permit tcp source 10.0.0.0 0.0.255.255 destination-port eq 80 rule 10 permit tcp source 10.0.0.0 0.0.255.255 destination-port eq 443 rule 15 deny ip source any destination 10.0.0.0 0.0.255.255 # 入站ACL acl number 3003 rule 5 permit tcp source 203.0.113.5 0 destination 10.0.1.100 0 rule 10 deny ip source any destination 10.0.0.0 0.0.255.255 # 应用ACL interface GigabitEthernet0/0/1 # 内网接口 traffic-filter outbound acl 3002 interface GigabitEthernet0/0/2 # 外网接口 traffic-filter inbound acl 3003

思科配置：

# 出站ACL ip access-list extended OUTBOUND_FILTER permit tcp 10.0.0.0 0.0.255.255 any eq 80 permit tcp 10.0.0.0 0.0.255.255 any eq 443 deny ip any 10.0.0.0 0.0.255.255 # 入站ACL ip access-list extended INBOUND_FILTER permit tcp host 203.0.113.5 host 10.0.1.100 deny ip any 10.0.0.0 0.0.255.255 # 应用ACL interface FastEthernet0/1 # 内网接口 ip access-group OUTBOUND_FILTER out interface FastEthernet0/0 # 外网接口 ip access-group INBOUND_FILTER in

关键注意事项：

1. 出站(outbound)ACL控制内网访问外网的流量
2. 入站(inbound)ACL控制外网访问内网的流量
3. 状态化防火墙配合ACL使用效果更佳
4. 定期审查ACL规则，移除不再需要的条目

5. ACL优化与排错技巧

在实际网络运维中，ACL的管理和优化同样重要。以下是一些实用技巧：

ACL优化原则：

• 将最频繁匹配的规则放在前面
• 合并相似规则减少条目数量
• 使用命名ACL便于管理
• 定期清理不再使用的规则

常见排错命令：

性能考量：

• 避免在高速接口上应用过多ACL规则
• 考虑使用硬件加速的ACL功能
• 在大型网络中，使用策略路由替代复杂ACL

在实际项目中，我曾遇到一个ACL导致网络延迟增加的案例。通过将50条规则优化为15条关键规则，不仅解决了性能问题，还使管理更加简便。这提醒我们，ACL不是越多越好，精准和简洁才是关键。