别再死记硬背了！华为交换机ACL配置实战：从精确匹配IP到限制网页访问，保姆级避坑指南

华为交换机ACL配置实战：从精确匹配到网页访问控制

刚接触华为交换机的网络工程师，往往对ACL（访问控制列表）既爱又怕。爱的是它能实现精细的流量控制，怕的是配置时稍有不慎就会导致策略失效。记得我第一次配置ACL时，为了限制某个部门访问视频网站，反复调试了3小时才发现是通配符掩码写反了。本文将分享从IP精确匹配到网页访问控制的完整配置流程，特别针对新手容易踩的坑进行详解。

1. ACL核心概念快速回顾

在开始实战前，有必要快速梳理几个关键概念。ACL本质上是一组按顺序排列的规则，每条规则包含动作（permit/deny）和匹配条件。华为设备支持多种ACL类型：

• 基本ACL（2000-2999）：仅匹配源IP地址
• 高级ACL（3000-3999）：可匹配源/目的IP、协议类型、端口号等
• 二层ACL（4000-4999）：基于MAC地址匹配

通配符掩码是最容易出错的部分。与子网掩码不同，通配符中：

• 0表示必须精确匹配
• 1表示忽略该位

例如要匹配192.168.1.0/24网段，应写为：

rule permit source 192.168.1.0 0.0.0.255

注意：ACL规则是从上到下逐条匹配的，一旦命中就停止检查。因此规则的顺序至关重要。

2. 精确IP访问控制实战

假设需要实现：仅允许IT部门主机（192.168.1.100）访问服务器（10.0.0.5），其他所有访问拒绝。这是典型的基本ACL应用场景。

2.1 配置步骤

# 创建基本AC