路由器上的ACL，就是访问控制列表，英文是Access Control List。它的核心作用，是给路由器提供一套可编排的流量选择规则。你告诉设备哪些源地址、目的地址、协议类型、端口号、接口方向应该按什么方式处理，设备就按这些规则匹配数据包，并把匹配结果交给转发、过滤、计数、重定向等模块执行。对普通用户来说，你可以把它理解成路由器内部的“通行选择表”，让网络按照业务需要有序处理通信。
一、ACL是什么
- • ACL是路由器内的规则集合。
- • 每条规则通常包含三个部分：匹配条件、处理动作、规则顺序。
- • 匹配条件包括：源IP、目的IP、协议类型、端口号、接口方向、时间段等。
- • 处理动作包括：允许通过、按指定策略处理、统计匹配数量、配合路由策略处理等。
- • 规则顺序很重要，设备通常从第一条开始匹配，命中一条后按该条规则处理。
二、路由器使用ACL的作用
- • 让不同业务流量按不同策略处理。
- • 让网络管理员用清晰规则表达业务意图。
- • 让设备能识别指定类型的访问，比如网页访问、远程管理、域名解析、文件传输等。
- • 为路由策略、NAT策略、流量统计、QoS策略提供匹配依据。
三、常见ACL类型
| 类型 | 常见匹配对象 | 适用场景 |
|---|---|---|
| 标准ACL | 主要匹配源IP地址 | 按网段或终端地址做粗粒度选择 |
| 扩展ACL | 匹配源IP、目的IP、协议、端口 | 按具体业务流量做细粒度选择 |
| 动态ACL | 结合认证、会话状态或临时规则 | 按用户认证后的临时策略处理 |
| 基于时间的ACL | 匹配日期、时间段 | 工作日、白天、夜间按不同规则处理 |
四、ACL在路由器中的工作方式
| 环节 | 说明 |
|---|---|
| 数据包到达接口 | 设备先判断数据包从哪个接口进入 |
| 读取绑定方向 | 设备查看ACL是绑定在入口、出口还是接口策略中 |
| 逐条匹配规则 | 设备按规则顺序比较源IP、目的IP、协议、端口等条件 |
| 执行命中规则 | 命中第一条匹配规则后，按该条规则的动作处理 |
| 未命中时处理 | 若未命中任何规则，设备按全局规则或默认策略继续处理 |
五、ACL配置流程（通用思路）
- 1、明确业务场景：先确定哪些用户、服务器、服务需要按规则处理。
- 2、选择ACL类型：根据业务需要选择标准ACL、扩展ACL、时间ACL或动态ACL。
- 3、编写匹配条件：填写源IP、目的IP、协议类型、端口号、接口方向等。
- 4、编排规则顺序：把更具体的规则放在前面，把更通用的规则放在后面。
- 5、设置处理动作：选择允许通过、按策略处理、统计计数或配合其他策略执行。
- 6、绑定到接口：把ACL关联到指定接口的入口或出口方向。
- 7、验证实际效果：通过业务流量测试、命中计数、策略查看等方式确认规则生效。
六、典型使用示例
| 场景 | 匹配条件 | 处理方式 |
|---|---|---|
| 办公室网页访问 | 源IP、目的端口80或443、协议TCP | 允许网页流量通过 |
| 服务器远程管理 | 指定源IP、指定目的IP、远程管理端口 | 按管理策略处理 |
| 网段流量统计 | 源IP地址范围、接口方向 | 统计匹配数量 |
| 时间段策略 | 工作日白天、指定源网段、指定服务端口 | 按时间启用规则 |
| 配合NAT处理 | 源IP、目的IP、协议、端口 | 为地址转换策略提供匹配依据 |
七、ACL常见理解方式
| 理解角度 | 说明 |
|---|---|
| 对管理员来说 | ACL是一套流量选择规则 |
| 对设备来说 | ACL是数据包匹配列表 |
| 对策略系统来说 | ACL是路由、NAT、QoS等策略的匹配依据 |
| 对网络运维来说 | ACL可以把业务规则表达得更清楚、更稳定 |
八、核心说明
路由器ACL就是访问控制列表。它用规则表达网络业务意图，让设备按条件选择流量。把场景、匹配条件、处理动作、规则顺序、接口绑定方向写清楚，路由器就能按你的业务规则工作。
免责声明：以上内容为技术概念说明，不同厂商的命令名称、界面入口和功能支持请以设备官方文档为准。
