扫码获取 VIP 码
添加管理员微信获取 VIP 码
访问控制列表这个词，几乎每个考网络工程师的考生都背过，但一到选择题就栽。栽的点往往不在"ACL是什么"，而在通配符掩码怎么算、基本ACL和高级ACL到底差在哪、最后那条隐式拒绝的规则是不是真的会咬人。这篇文章不打算再给你重复一遍教材上那几句干巴巴的定义，而是把ACL从底层的匹配机制一路拆到命题人最爱挖的坑，让你看完之后不仅能做对选择题，还能在真实路由器上写出不出错的配置。
先把术语钉死。ACL 是 Access Control List 的缩写，中文译作访问控制列表。在软考网络工程师的考纲语境里，它指的是一组由路由器、交换机等网络设备执行的、用于识别并控制数据包的规则集合。这里要特别注意两个字：识别。ACL 的核心能力首先是"挑出哪些包"，其次才是"对挑出来的包做什么"。
教材上对 ACL 的标准定义通常表述为：访问控制列表是由一组有序的条件语句组成的规则集，设备按照规则的先后顺序对经过的数据包逐条匹配，根据匹配结果执行允许或拒绝动作。这句话信息量其实很大，但它把三个最关键的点藏在里面了，很多考生只记住了"允许或拒绝"四个字，却丢掉了"有序""逐条"和"条件语句"。
所谓有序，是指 ACL 中的规则不是平等的，而是严格按编号从小到大、按配置先后依次执行的。设备拿到一个数据包，从第一条规则开始比对，一旦命中某条规则，立即执行该规则规定的动作，后面的规则不再继续匹配。这个"一旦命中即停止"的特性，是整个 ACL 机制里最容易被忽略、也最容易被命题人拿来做文章的。
所谓条件语句，是指每条规则本质上是一个布尔判断，判断的内容包括源地址、目的地址、协议类型、端口号、TCP 标志位等字段。设备把这些字段从数据包头部抽取出来，与规则中定义的值做比较，比较的结果只有两个：匹配或不匹配。ACL 本身不直接"过滤"流量，它只是生产一个"这个包符合不符合条件"的判定结果，真正的放行或丢弃动作，是由调用 ACL 的功能模块去执行的。
理解 ACL 的第二个关键，是搞清楚它在哪一层、靠什么字段工作。基本 ACL 工作在网络层，它匹配的依据是数据包 IP 头部的源地址，因此只能做"来源是谁"这一维度的判断。高级 ACL 则同时覆盖网络层和传输层，除了源地址、目的地址之外，还能匹配协议类型、源端口、目的端口乃至 TCP 标志位，因此能精确到"谁在用什么协议访问谁的什么服务"这样的粒度。
这里要特别澄清一个常见误解：ACL 虽然是"访问控制"的一种手段，但它本身并不是一个独立的协议，也不是单独运行在某一层的实体。它是寄生在数据转发路径上的一套判定逻辑，设备在转发数据包之前或之后，调用 ACL 对数据包做一次筛查，再决定放行还是丢弃。所以 ACL 的"位置"取决于它被应用在哪个方向、哪个接口上，而不是它自己固定待在某一层。这个理解直接决定了下文要讲的入方向、出方向问题。
概念层面讲完了，我们下潜到机制层面。ACL 之所以能把网络流量管理得井井有条，靠的是三个底层机制：通配符掩码、顺序匹配、以及方向选择。这三个机制任何一个没吃透，选择题都容易翻车。
通配符掩码是 ACL 里最反直觉、最容易算错的东西，没有之一。它长得像子网掩码，比如 0.0.0.255，但它的含义和子网掩码恰好相反。子网掩码里写 1 的位置代表网络位，写 0 的位置代表主机位；而通配符掩码里，写 0 的位置代表"必须精确匹配"，写 1 的位置代表"忽略，即这一位是什么都无所谓"。
换句话说，通配符掩码是一张"关心与否"的位图。0 表示这一位我要严格比对，1 表示这一位我不管。举个例子，规则里写源地址 10.1.1.0，通配符掩码 0.0.0.255，表示的是：前 24 位必须严格等于 10.1.1，最后 8 位任意，也就是匹配整个 10.1.1.0 到 10.1.1.255 这个网段。如果把通配符掩码写成 0.0.0.0，那就表示 32 位全部要精确匹配，只匹配 10.1.1.0 这一个主机地址。
这里有一个软考命题人屡试不爽的陷阱：通配符掩码和子网掩码在数值上存在"互补"关系。对于连续的子网掩码，通配符掩码等于反掩码，即 255.255.255.0 对应的通配符掩码是 0.0.0.255，255.255.0.0 对应 0.0.255.255。很多考生会直接把子网掩码当通配符掩码填进去，结果匹配范围完全错误。命题人正是利用这个思维惯性，在选项里同时给出"255.255.255.0"和"0.0.0.255"，让你在两者之间犹豫。
更深一层，通配符掩码的每一位是独立判断的，它并不要求 1 和 0 连续分布。理论上你完全可以写出 0.0.3.255 这样的掩码，用来匹配那些第三段末尾两位任意的地址。这种"非连续"掩码在实际工程里很少用，但理解它的独立性，有助于你真正吃透通配符掩码的本质：它不是网段划分工具，而是逐位的"关心开关"。
在备考实操中，通配符掩码的计算可以归纳成一条固定的推导路径。第一步，先判断要匹配的是单个主机地址还是一个网段。单个主机地址对应的通配符掩码固定是 0.0.0.0，因为它要求 32 位全部精确比对。第二步，如果是网段，先算出这个网段对应的子网掩码，再用 255.255.255.255 逐位减去子网掩码，得到的差值就是通配符掩码。以网段 172.16.0.0 的子网掩码 255.255.0.0 为例，用 255.255.255.255 减去它，结果是 0.0.255.255，这就是该网段对应的通配符掩码。第三步，把地址和算出来的通配符掩码一起写进规则，再逐位核对 0 位是否严格匹配。这条"先定单主机还是网段、再取反掩码、最后逐位核对"的三步法，能避免绝大多数因为手滑算错的低级失误，也是考场上最可靠的验算手段。
第二条底层机制是顺序匹配。ACL 中的规则按顺序执行，第一条命中即终止后续匹配。这意味着规则书写的先后顺序直接决定最终结果，同样的两条规则，顺序颠倒，效果可能完全相反。
以最经典的情况为例：如果你想放行 10.1.1.0 网段，但拒绝其中的 10.1.1.100 这台主机，正确的写法必须是先写拒绝 10.1.1.100 的规则，再写放行 10.1.1.0 网段的规则。如果顺序写反，数据包到达时先命中"放行整个网段"这条规则，就永远不会走到后面那条拒绝规则，10.1.1.100 照样被放行。这个"先特例后一般"的顺序原则，是工程配置里的常识，也是软考选择题里的高频考点。
与顺序匹配绑定的，是那条让人又爱又恨的隐式拒绝规则。每一条 ACL 的末尾，都隐含一条"拒绝所有"的规则，即凡是前面所有规则都没匹配上的数据包，一律丢弃。这条规则不显式显示在配置里，却实实在在起作用。它带来两个直接后果：其一，当你写了一条"放行某网段"的 ACL 却没有写任何拒绝规则时，其他所有流量都会被隐式拒绝，很多人配置完 ACL 后发现全网不通，罪魁祸首就是这条隐藏规则；其二，命题人特别喜欢考"某条 ACL 末尾是否需要显式写 deny any"，标准答案往往是"不需要，因为已隐式存在"，但如果你要放行其他流量，就必须在末尾显式加 permit any 来覆盖隐式拒绝。
第三条机制是方向选择。ACL 应用在接口上时必须指定方向，分入方向和出方向两种。入方向指数据包进入该接口时进行匹配，出方向指数据包离开该接口时进行匹配。同一个 ACL，应用在不同方向，效果截然不同。
理解方向的关键在于抓住数据包在路由器内部的完整路径：数据包从某个接口进入路由器，先做入方向检查，再查路由表确定出接口，最后在出接口做出方向检查。基本 ACL 通常建议配置在离目的地近的出方向，而高级 ACL 通常建议配置在离源地址近的入方向，这样可以在流量进入网络之初就将其拦截，节省后续的转发开销。这条"基本 ACL 靠近目标、高级 ACL 靠近源"的工程原则，也是软考里常考的一句结论。
分类这部分是软考网络工程师的绝对重点。ACL 的分类维度有两个：一是按规则定义方式分为编号 ACL 和命名 ACL，二是按匹配能力分为基本 ACL 和高级 ACL。两个维度经常交叉出现，考生务必分清。
按定义方式，ACL 分为编号 ACL 和命名 ACL。传统上，ACL 用编号来标识，不同的编号段对应不同的类型：基本 ACL 的编号范围是 2000 到 2999，高级 ACL 的编号范围是 3000 到 3999，二层 ACL 使用 4000 到 4999，用户自定义 ACL 使用 5000 到 5999。编号 ACL 的规则在配置后如需修改，只能整条删除重建，灵活性较差。
命名 ACL 则用字符串名字代替编号，它最大的优势是支持在已有规则列表中插入或删除单条规则，维护更方便。软考命题人经常在这里设考点：问某条规则的编号是否合法、某编号段对应的是基本还是高级 ACL。考生只需记住 2000 到 2999 对应基本 ACL、3000 到 3999 对应高级 ACL 这两个核心区间即可，二层和用户自定义 ACL 在网工考试中出现频率较低。
基本 ACL 和高级 ACL 的区别，是整个 ACL 知识体系的枢纽。基本 ACL 只能依据数据包的源 IP 地址做判断，编号范围 2000 到 2999，它的匹配能力只有"来自哪里"这一维。高级 ACL 则能同时匹配源地址、目的地址、协议类型、源端口、目的端口以及 TCP 标志位，编号范围 3000 到 3999，匹配粒度细到"来自哪台机器、访问哪台机器的哪个端口、用什么协议"。
从考试角度，这个区别最直接
本篇完！