說實話我剛接觸華為數(shù)通的時候也干過一件特別蠢的事把PC和服務(wù)器規(guī)劃在同一個子網(wǎng)里然后費盡心思在VLANIF上寫ACL想控制誰可以訪問服務(wù)器誰不能訪問。結(jié)果抓包抓了一個下午ACL一條都沒命中規(guī)則就像在空氣里生效一樣。后來才徹底搞明白同一個網(wǎng)段內(nèi)的互訪流量本質(zhì)上就是二層轉(zhuǎn)發(fā)壓根不會經(jīng)過VLANIF這個三層口你把ACL貼在VLANIF上等于把保安安排在一間根本沒人經(jīng)過的房間里。這篇文章就專門說說華為數(shù)通里“同網(wǎng)段互訪”這個場景下Hybrid接口和ACL到底該怎么配合。我會把為什么會配錯、正確怎么做、華為命令行長什么樣、以及我在現(xiàn)場踩過哪些坑一次性講清楚。適合正在學HCIA/HCIP的朋友也適合被這類問題折磨過的運維兄弟們參考。1. 為什么“同網(wǎng)段互訪”的ACL總是不生效1.1 經(jīng)典的“三層ACL思維”陷阱很多人在學?；蛘吲嘤栒n上接觸ACL的時候用的拓撲幾乎都是“不同VLAN、不同網(wǎng)段、通過VLANIF三層轉(zhuǎn)發(fā)”所以下意識覺得ACL就是綁在接口上、用來控制跨網(wǎng)段訪問的。比如在VLANIF 10上掛一個ACL限制192.168.1.0/24訪問192.168.2.0/24這個思路本身沒錯因為跨網(wǎng)段流量確實會經(jīng)過三層接口。但一旦把場景換成“同一個網(wǎng)段里的PC1要訪問同一個網(wǎng)段里的服務(wù)器”很多人還是條件反射式地往VLANIF上掛ACL這就出大問題了。同網(wǎng)段互通走的是二層交換數(shù)據(jù)幀在交換機內(nèi)部直接從一個端口轉(zhuǎn)發(fā)到另一個端口根本不送上CPU也不做三層路由查詢自然也就不會去匹配VLANIF上綁定的ACL規(guī)則。規(guī)則建了但永遠不會被觸發(fā)這就是最常見的配置錯誤。1.2 二層轉(zhuǎn)發(fā)路徑與三層路由路徑的本質(zhì)區(qū)別回過頭來看一下數(shù)據(jù)包到底是怎么走的。假設(shè)PC1的IP是192.168.1.1服務(wù)器是192.168.1.100子網(wǎng)掩碼都是255.255.255.0它們又在同一個VLAN里。PC1想訪問服務(wù)器它第一步會去查自己的路由表發(fā)現(xiàn)目標地址192.168.1.100和自己在同一個網(wǎng)段于是直接發(fā)ARP廣播找服務(wù)器的MAC。拿到MAC后PC1會封裝一個以太網(wǎng)幀目的MAC是服務(wù)器的MAC源MAC是自己的MAC然后把這個幀發(fā)給交換機。交換機拿到這個幀后只做二層查表根據(jù)目的MAC在MAC地址表里找到對應端口然后把幀從那個端口轉(zhuǎn)發(fā)出去完事。這中間沒有任何三層處理ACL如果掛在一個三層接口上根本不會被匹配。這也是為什么有些人在訪問控制配置完成后檢查ACL命中計數(shù)發(fā)現(xiàn)count始終是0。不是ACL寫錯了而是你把ACL放錯了地方比如放到VLANIF、放到loopback口或者放到一個這三層接口下根本就不會有流量經(jīng)過的位置。1.3 華為接口類型里Hybrid為何總被忽略華為交換機上常見的接口類型有三種Access、Trunk、Hybrid。Access口基本只屬于一個VLANTrunk口常用于交換機之間透傳多個帶標簽的VLAN而Hybrid最靈活它既可以像Access一樣把某個VLAN的幀剝成無標簽也可以像Trunk一樣承載多個帶標簽的VLAN還能同一個接口下同時放行“無標簽的多個VLAN”和“帶標簽的多個VLAN”。但實際項目里Hybrid的使用率反而不如Access和Trunk高很多網(wǎng)絡(luò)工程師習慣了Access接電腦、Trunk接交換機遇到需要同網(wǎng)段控制訪問的時候第一反應還是“把ACL掛在VLANIF上”完全沒想到可以利用Hybrid接口可以靈活進出標簽的特性配合ACL做到精確過濾。說白了Hybrid并不是一個花哨的擺設(shè)在“同網(wǎng)段二層互訪”這種場景下你真正能把ACL生效的位置往往就在這些二層物理接口上而Hybrid的PVID、untagged、tagged屬性會直接影響ACL在接口上是“看得見”還是“看不見”流量。2. 正確姿勢把ACL“貼”到數(shù)據(jù)真正經(jīng)過的地方2.1 設(shè)計思路在物理端口上應用traffic-filter既然同網(wǎng)段互訪的流量只在二層物理接口之間穿梭那ACL就該貼在物理接口上。華為交換機的做法是在接口視圖下調(diào)用traffic-filter通過入方向或出方向的流量過濾來匹配經(jīng)過這個端口的數(shù)據(jù)幀。比如我現(xiàn)在要做這樣一個控制服務(wù)器在192.168.1.100PC1的IP是192.168.1.1PC2的IP是192.168.1.2三者都在同一個VLAN里?？蛻粢笾挥蠵C1能訪問服務(wù)器PC2不允許訪問服務(wù)器但PC2訪問外網(wǎng)和其他機器不受影響。正確的思路就是在連接服務(wù)器的那個交換機端口上做入方向流量過濾來自PC2、發(fā)往服務(wù)器的IP報文全部丟棄其余報文正常放行。因為PC2訪問服務(wù)器時最終數(shù)據(jù)幀是從服務(wù)器端口進入交換機的在這個端口上做入方向過濾正好可以卡住所有真正想要訪問服務(wù)器的流量。這個思路并不復雜但實際工作中很少有人往這個方向想原因就在于大家已經(jīng)被“VLANIF掛ACL”的慣性思維鎖死了。2.2 入方向還是出方向千萬別搞反在接口上做traffic-filter方向和語義非常關(guān)鍵也是現(xiàn)場最容易翻車的點。華為接口上的traffic-filter inbound是指對這個接口接收到的流量進行過濾。拿上面的例子來說如果在服務(wù)器所接的端口G0/0/3上做inbound過濾那么所有從PC1、PC2或者其他設(shè)備送到服務(wù)器端口的數(shù)據(jù)包一進交換機就會被ACL檢查。PC2訪問服務(wù)器的流量源IP是192.168.1.2目的IP是192.168.1.100一匹配就直接丟棄這個效果是最直接的。如果反過來做成outbound語義就變成了檢查從這個端口發(fā)出去的流量。也就是說所有從交換機發(fā)往服務(wù)器的報文都會經(jīng)過檢查。這樣也能實現(xiàn)“服務(wù)器被訪問”的控制但你需要注意方向判斷非常容易亂尤其在有多臺設(shè)備同時訪問服務(wù)器的場景下越搞越頭暈。我的經(jīng)驗是控制“誰能訪問某臺服務(wù)器”首選服務(wù)器端口的inbound方向控制“誰能從某個終端出去訪問其他主機”首選終端端口的inbound方向。還有一點要提醒接口上的inbound和outbound過濾會疊加。也就是說如果入方向和出方向都配置了ACL兩個方向的ACL都會被檢查不是“誰后配誰生效”而是兩個方向同時起作用。別到時候配了半天發(fā)現(xiàn)兩條方向都生效了懷疑自己哪里寫錯。2.3 為什么這里強調(diào)“Hybrid ACL 配合”可能有人會問既然Access口也能用ACL為什么非得扯上Hybrid因為華為交換機的默認端口類型本來就是Hybrid很多人在實際配置的時候雖然沒有顯式改端口類型但端口其實已經(jīng)是Hybrid了。Hybrid的PVID和untagged參數(shù)如果配得不對就會直接影響ACL的匹配效果。舉個例子你新建了一個VLAN 10然后把端口默認VLAN設(shè)成了10但沒有把VLAN 10加入到untagged列表里。此時如果終端發(fā)過來的是無標簽幀交換機會根據(jù)PVID把幀劃分到VLAN 10但在某些轉(zhuǎn)發(fā)路徑上幀可能是帶著VLAN Tag出去的。如果你在接口上掛了一個基于二層MAC或VLAN ID來匹配的ACL那ACL能不能正確命中就得看這個幀到底帶沒帶標簽。用Hybrid時你可以非常清楚地指定哪些VLAN的幀從哪個口出去時剝標簽、哪些保留標簽這樣ACL的匹配條件和你對數(shù)據(jù)幀的實際預期才是一致的。如果只圖省事把端口改成Access也能用ACL控制同一VLAN內(nèi)的互訪但Hybrid能覆蓋更多復雜場景。特別是當你需要在一個接口上同時允許多個VLAN的終端訪問一臺服務(wù)器同時對其中某些IP做精細化限制時Access口就不夠靈活了而Hybrid卻可以游刃有余。3. 華為數(shù)通實戰(zhàn)配置Hybrid ACL 控制同網(wǎng)段互訪3.1 拓撲與IP規(guī)劃我們用一個非常經(jīng)典的測試環(huán)境來演示設(shè)備可以是真機也可以是ENSP里的S5700交換機。設(shè)備接口IP地址所屬VLAN說明PC1Eth0/0/1192.168.1.1/24VLAN 10允許訪問服務(wù)器PC2Eth0/0/2192.168.1.2/24VLAN 10禁止訪問服務(wù)器ServerEth0/0/3192.168.1.100/24VLAN 10被保護對象上行網(wǎng)關(guān)GE0/0/24192.168.1.254/24VLAN 10出口路由器三臺終端和服務(wù)器IP都在192.168.1.0/24這個網(wǎng)段里對應VLAN也是同一個VLAN 10這是真正意義上的同網(wǎng)段二層互訪。我們要做的核心控制是PC1能訪問服務(wù)器PC2訪問服務(wù)器時丟包但PC2去訪問PC1、去訪問外網(wǎng)都正常。3.2 交換機Hybrid接口基礎(chǔ)配置先把交換機基礎(chǔ)環(huán)境建起來。在華為設(shè)備上VLAN和接口配置如下Huawei system-view [Huawei] sysname SW1 [SW1] vlan batch 10 [SW1] interface GigabitEthernet0/0/1 [SW1-GigabitEthernet0/0/1] port link-type hybrid [SW1-GigabitEthernet0/0/1] port hybrid pvid vlan 10 [SW1-GigabitEthernet0/0/1] port hybrid untagged vlan 10 [SW1-GigabitEthernet0/0/1] quit這里有兩個關(guān)鍵點。一是port hybrid pvid vlan 10它決定收到無標簽幀時把這個幀劃分到哪個VLAN里。如果不設(shè)置默認PVID是VLAN 1終端發(fā)過來的無標簽幀會被統(tǒng)統(tǒng)劃進VLAN 1那你后面建VLAN 10就白建了。二是port hybrid untagged vlan 10它告訴交換機從該接口出去的VLAN 10幀不攜帶標簽。終端網(wǎng)卡一般不認識帶標簽的幀所以必須剝掉否則終端會直接丟棄。同樣的配置給另外三個端口都做一遍[SW1] interface GigabitEthernet0/0/2 [SW1-GigabitEthernet0/0/2] port link-type hybrid [SW1-GigabitEthernet0/0/2] port hybrid pvid vlan 10 [SW1-GigabitEthernet0/0/2] port hybrid untagged vlan 10 [SW1-GigabitEthernet0/0/2] quit [SW1] interface GigabitEthernet0/0/3 [SW1-GigabitEthernet0/0/3] port link-type hybrid [SW1-GigabitEthernet0/0/3] port hybrid pvid vlan 10 [SW1-GigabitEthernet0/0/3] port hybrid untagged vlan 10 [SW1-GigabitEthernet0/0/3] quit [SW1] interface GigabitEthernet0/0/24 [SW1-GigabitEthernet0/0/24] port link-type hybrid [SW1-GigabitEthernet0/0/24] port hybrid pvid vlan 10 [SW1-GigabitEthernet0/0/24] port hybrid untagged vlan 10 [SW1-GigabitEthernet0/0/24] quit配置完成后可以用一條命令檢查一下端口狀態(tài)[SW1] display port vlan正常情況下四個端口都會顯示PVID為10并且untagged VLAN也包含10。如果哪一個端口沒配上后面終端之間必然通信異常ACL再對也白搭。3.3 高級ACL配置與調(diào)用接下來是核心部分配置ACL并把它掛到服務(wù)器端口上。我使用高級ACL高級ACL的編號范圍是3000到3999。規(guī)則要特別注意順序華為ACL默認是從第一條開始向下匹配沒被匹配到的就繼續(xù)走下一條。所以我們把需要阻斷的語句放在前面放行語句放在后面最后再用一條permit ip兜底防止把關(guān)鍵流量誤傷。[SW1] acl number 3001 [SW1-acl-adv-3001] rule 5 deny ip source 192.168.1.2 0 destination 192.168.1.100 0 [SW1-acl-adv-3001] rule 10 permit ip [SW1-acl-adv-3001] quit這里source 192.168.1.2 0后面的0表示通配符掩碼為0也就是嚴格匹配主機地址一點都不能差。destination 192.168.1.100 0同理嚴格匹配服務(wù)器地址。ACL建好后到服務(wù)器所連接的端口G0/0/3上以入方向調(diào)用[SW1] interface GigabitEthernet0/0/3 [SW1-GigabitEthernet0/0/3] traffic-filter inbound acl 3001 [SW1-GigabitEthernet0/0/3] quit這個命令就相當于在服務(wù)器的門口放了一個保安所有想進服務(wù)器的數(shù)據(jù)幀只要是從這個端口進入交換機的都必須接受檢查。如果我想控制得更細比如只限制PC2通過ICMP訪問服務(wù)器但允許PC2用遠程桌面或數(shù)據(jù)庫端口訪問服務(wù)器就可以把高級ACL寫得更細[SW1] acl number 3002 [SW1-acl-adv-3002] rule 5 deny icmp source 192.168.1.2 0 destination 192.168.1.100 0 [SW1-acl-adv-3002] rule 10 permit tcp source 192.168.1.2 0 destination 192.168.1.100 0 destination-port eq 3389 [SW1-acl-adv-3002] rule 15 permit ip [SW1-acl-adv-3002] quit這種五元組控制在實際項目中非常實用因為客戶有時候不是一刀切地說“禁止訪問”而是“你可以ping通它但你不能遠程桌面連它”這類精細化需求。3.4 驗證與實測效果配置做完后我先在PC1上ping服務(wù)器C:\Users\PC1 ping 192.168.1.100正常情況下PC1可以ping通服務(wù)器因為ACL只拒絕了源IP為192.168.1.2的流量PC1不在阻斷范圍內(nèi)。接著在PC2上ping服務(wù)器C:\Users\PC2 ping 192.168.1.100這次會直接超時因為ICMP請求報文一到交換機的G0/0/3端口就被ACL規(guī)則匹配并丟棄。如果需要確認ACL是否真的在生效可以查看ACL命中計數(shù)[SW1] display acl 3001輸出里會顯示每條規(guī)則的Matched計數(shù)。如果PC2確實ping過服務(wù)器那條deny規(guī)則的計數(shù)會持續(xù)增加。這是排查配置是否生效最直接的手段比看終端丟包還要直觀。再看一下接口上的流量過濾調(diào)用情況[SW1] display traffic-filter applied-record這個命令會清晰地告訴你哪個ACL被應用到了哪個接口、哪個方向適合在多人維護的交換機上快速確認配置狀態(tài)。4. 99%的人都會在這里“配錯”的細節(jié)清單4.1 把ACL掛在VLANIF上等于白配前面反復強調(diào)同網(wǎng)段二層互訪的流量不經(jīng)過VLANIF。所以如果你在一個VLANIF下寫了traffic-filter inbound acl xxx大概率是沒有任何效果的。這個錯誤在現(xiàn)場出現(xiàn)頻率極高我甚至見過一個項目里工程師在同一臺交換機上把ACL同時掛到了VLANIF和物理口結(jié)果排查了三個小時才發(fā)現(xiàn)真正生效的是物理口上那條VLANIF那條從頭到尾就沒起過作用。正確的思路是同網(wǎng)段控制老老實實放到物理接口或者VLAN視圖下的traffic-filter里跨網(wǎng)段控制放到VLANIF或三層接口上。4.2 方向搞混該inbound寫成outbound再強調(diào)一次入站和出站的區(qū)別。traffic-filter inbound過濾的是從接口進入交換機的流量traffic-filter outbound過濾的是從交換機從接口發(fā)出去的流量。以服務(wù)器端口G0/0/3為例如果你想控制“別的機器訪問服務(wù)器”用inbound方向最直觀因為訪問流量最終是從這個接口進入交換機的。如果你寫成outbound那就變成了檢查從服務(wù)器端口出去的流量也就是服務(wù)器對外發(fā)起的訪問那和你想要的控制完全是兩碼事。我曾經(jīng)在一個客戶現(xiàn)場見過這樣的配置工程師在服務(wù)器端口上做了outbound過濾結(jié)果外面的終端無論怎么訪問服務(wù)器都正常反而是服務(wù)器主動去ping別的機器時丟包當時所有人都以為是網(wǎng)線問題最后看了一眼traffic-filter applied-record才發(fā)現(xiàn)方向搞反了。4.3 Hybrid的PVID和untagged沒配對ACL“看不見”流量華為交換機的端口默認是Hybrid很多人建了VLAN但沒把端口的PVID改成這個VLAN導致終端發(fā)過來的無標簽幀被劃到了VLAN 1里。這時候ACL配置卻是在VLAN 10的場景下設(shè)計的雖然L3報文匹配可能不一定受VLAN影響但一旦數(shù)據(jù)幀在交換機內(nèi)部被錯誤劃分到別的VLAN整個轉(zhuǎn)發(fā)行為都會變得詭異可能一會兒通一會兒不通ACL的計數(shù)要么永遠為0要么莫名其妙地把不該擋的流量也擋了。配置Hybrid口時請務(wù)必檢查三件事PVID是否已經(jīng)改成了目標VLANuntagged列表是否包含了目標VLAN上行口和下行口的VLAN劃分是否一致用display port vlan命令看一眼幾秒鐘就能發(fā)現(xiàn)問題。4.4 ACL規(guī)則順序與隱含拒絕別把辦公網(wǎng)配成“全網(wǎng)癱瘓”華為ACL是順序匹配的規(guī)則編號越小越靠前。寫ACL時一定要把最精確的deny規(guī)則放在前面permit放后面。還有一個特別容易踩的坑高級ACL默認只匹配IP報文。如果你用rule deny ip寫了阻斷規(guī)則然后沒有加rule permit ip兜底那么其他所有未匹配到的IP報文都會被放行這是華為ACL的默認行為和思科的“隱含拒絕所有”不一樣。但如果你用的是二層ACL也就是編號4000到4999的ACL情況就不一樣了。二層ACL匹配的是MAC地址、以太網(wǎng)類型這些字段一旦你寫rule deny source-mac xxxx后面如果不記得放行ARP報文PC可能會因為學不到網(wǎng)關(guān)MAC地址而直接“失聯(lián)”。解決辦法是在ACL里顯式加一條放行ARP的規(guī)則比如[SW1] acl number 4001 [SW1-acl-L2-4001] rule 5 permit ethernet-type arp [SW1-acl-L2-4001] rule 10 deny source-mac 00e0-fc00-0001 dest-mac 00e0-fc00-0002 [SW1-acl-L2-4001] rule 20 permit4.5 只寫“禁止訪問服務(wù)器”把DNS、網(wǎng)關(guān)等關(guān)鍵流量也誤傷同網(wǎng)段互訪場景里終端除了要訪問服務(wù)器還要訪問外網(wǎng)、要解析DNS。如果你在接入端口上做過于寬泛的過濾很容易把正常業(yè)務(wù)也擋掉。比如你有兩個DHCP地址池網(wǎng)關(guān)在192.168.1.254PC2被ACL禁止訪問服務(wù)器后如果ACL忘了放行到網(wǎng)關(guān)的流量PC2可能連外網(wǎng)也上不了。解決方法是先梳理清楚這臺PC需要訪問哪些目標把合法流量在前面的permit規(guī)則中顯式列出來再加deny最后加兜底permit或deny按需設(shè)計。我通常會在配置ACL之前畫一個簡單的矩陣列出源IP目的IP協(xié)議端口動作放置位置和方向畫完矩陣再寫規(guī)則基本不會亂。5. 擴展雙向隔離、多VLAN聯(lián)動與替代方案對比5.1 同網(wǎng)段雙向隔離怎么配上面例子只做了單向控制PC2不能訪問服務(wù)器但服務(wù)器主動訪問PC2是不受影響的。如果客戶要求雙向隔離比如PC1和PC2之間不能互相訪問無論誰先發(fā)起都不行那就要在雙方的接入端口上同時做入向過濾。假設(shè)PC1在G0/0/1PC2在G0/0/2。先配一條ACL限制源IP為PC1、目標IP為PC2的流量[SW1] acl number 3003 [SW1-acl-adv-3003] rule 5 deny ip source 192.168.1.1 0 destination 192.168.1.2 0 [SW1-acl-adv-3003] rule 10 permit ip [SW1-acl-adv-3003] quit [SW1] interface GigabitEthernet0/0/2 [SW1-GigabitEthernet0/0/2] traffic-filter inbound acl 3003再配一條ACL限制源IP為PC2、目標IP為PC1的流量[SW1] acl number 3004 [SW1-acl-adv-3004] rule 5 deny ip source 192.168.1.2 0 destination 192.168.1.1 0 [SW1-acl-adv-3004] rule 10 permit ip [SW1-acl-adv-3004] quit [SW1] interface GigabitEthernet0/0/1 [SW1-GigabitEthernet0/0/1] traffic-filter inbound acl 3004這樣PC1和PC2之間的雙向訪問都被禁止了但PC1和PC2訪問其他設(shè)備完全不受影響。注意別漏掉ARP如果同VLAN內(nèi)兩臺機器需要互通但被雙向ACL阻斷了IP流量ARP卻仍然能通這時候終端會發(fā)現(xiàn)“鄰居MAC可學到但ping不通”這種半通狀態(tài)比全不通還難排查。5.2 和端口隔離、MUX VLAN的對比同網(wǎng)段互訪控制除了ACL華為交換機上還有端口隔離和MUX VLAN這兩種常見手段。手段隔離粒度能否按IP/協(xié)議細分配置復雜度適用場景端口隔離端口級同組端口互不相通不能低同一VLAN內(nèi)徹底隔離主機MUX VLAN主VLAN與從VLAN之間的復用與隔離較弱中一臺服務(wù)器多客戶接入的隔離Hybrid ACL可基于源IP、目的IP、協(xié)議、端口精確控制能中精細化訪問控制、等保需求如果你的需求只是“同VLAN內(nèi)的所有PC之間都不許互訪但都能訪問上聯(lián)網(wǎng)關(guān)”用端口隔離最省事。但如果你需要“A能訪問BC不能訪問BD只能訪問B的80端口”端口隔離就無能為力必須用Hybrid加ACL來做。MUX VLAN在服務(wù)器多租戶接入場景里很有用主VLAN里的服務(wù)器可以被多個從VLAN訪問從VLAN之間的主機默認隔離。它的缺點是策略不夠靈活想按IP放行某些特定主機時配置會繞一些。如果你的客戶需求里包含“同一個網(wǎng)段下既要有部分隔離又要允許某些特定IP互通”那ACL方案一定比MUX VLAN順手。5.3 割接建議先在ENSP模擬再上真機無論你是學習還是做現(xiàn)網(wǎng)割接我都建議先把整套配置在ENSP里模擬一遍。ENSP里的S5700、CE6800之類的設(shè)備型號對Hybrid、ACL、traffic-filter的支持和真機非常接近足夠用來驗證思路。我自己的習慣是先搭一個最小拓撲把PC1、PC2、Server和一臺交換機組起來。然后用命令行把VLAN、Hybrid口、ACL全部配好再做ping測試和抓包驗證。最后用display acl看命中計數(shù)確認預期效果。全部驗證通過后再把ACL和接口配置翻譯成腳本拿到現(xiàn)場去執(zhí)行。真機上有一點和ENSP不同就是ACL的生效可能會有硬件表項下發(fā)過程配置完成后如果想立刻生效可能需要清一下對應接口的流量表項。大多數(shù)情況下華為交換機配置ACL后是即時生效的但如果遇到配置下發(fā)后規(guī)則沒生效的情況先檢查一下系統(tǒng)日志里有沒有ACL資源不足的提示再考慮重啟或調(diào)整ACL條目順序。最后再說點我的體會我在實際項目里配置這類同網(wǎng)段互訪控制時最大的感觸是ACL本身并不難難的是搞清楚流量到底走哪條路。很多問題排查到最后往往不是ACL規(guī)則寫錯了而是把ACL放到了流量根本不經(jīng)過的位置。你只有把“二層轉(zhuǎn)發(fā)”“VLANIF三層訪問”“Hybrid接口的標簽處理”這一整條鏈路想明白才能做到人肉抓包級精確預判哪個包會去哪哪個包會在哪被攔下來。另外也建議你在交付配完之后務(wù)必保留一份ACL命中計數(shù)的截圖或者把display acl的輸出存檔。我遇到過不少次過了幾個月客戶反饋“服務(wù)器被訪問延遲變高”查到最后發(fā)現(xiàn)是后來同事調(diào)整ACL時把規(guī)則順序改了原本的deny被提前匹配導致部分流量被丟棄。沒有基線記錄的話這種問題排查起來非常痛苦。下次再有人說“同一個網(wǎng)段的互訪不能用ACL控制”的時候你可以把這篇文章甩給他然后告訴他不是不能用是99%的人把它配在了ACL永遠看不見的地方。把ACL貼到物理接口入口用對Hybrid的PVID和untagged同網(wǎng)段互訪的精細化控制其實一點也不玄乎。