华三ACL配置命令的核心流程是三步：创建ACL、编写匹配规则、在接口或业务模块中调用，常用命令为acl basic、rule和packet-filter。配置本身并不复杂，但方向、通配符、规则顺序这些细节一旦搞错，服务就起不来，这篇围绕实际运维场景,把常用命令和排查思路一次说透。
华三ACL配置命令详解：基础概念与语法格式
ACL（访问控制列表）的本质是一套匹配规则，设备根据你定义的permit（允许）或deny（拒绝）来决定流量是放行还是丢弃，华三设备上，先创建列表，再写规则,最后应用到接口或服务上。
基本ACL和高级ACL怎么选
华三ACL按编号范围区分类型，常用的就三种,其余类型在中高端框式设备上才会涉及：
- 基本ACL（编号2000-2999）：只匹配源IP地址，用于纯粹按来源限制的场景,比如拒绝某个网段访问设备。
- 高级ACL（编号3000-3999）：匹配协议、源地址、目的地址、端口号、ICMP类型等，绝大多数生产环境用这一种,控制粒度更细。
- 二层ACL（编号4000-4999）：匹配MAC地址、VLAN ID，常用于接入层防私接、按MAC放行特定终端。
| ACL类型 | 编号范围 | 匹配能力 | 典型用途 |
|---|---|---|---|
| 基本ACL | 2000-2999 | 源IP | 限制访问来源，调用NAT |
| 高级ACL | 3000-3999 | 协议、五元组 | 端口管控、服务级过滤 |
| 二层ACL | 4000-4999 | MAC、VLAN | 终端准入、防MAC欺骗 |
业内专家指出，实际项目中高级ACL的使用比例远高于基本ACL，因为它能同时限定源和目的,避免规则被绕过。
通配符掩码是配置的分水岭
华三ACL规则里写地址时，后面跟的是通配符掩码（wildcard mask），不是子网掩码，0.0.0.255表示前面24位必须匹配，最后8位任意,对比一下：
- 子网掩码写法：255.255.255.0
- 通配符掩码写法：0.0.0.255
很多新手直接把子网掩码抄过来，结果规则匹配不到任何流量，记住一个规律：
通配符掩码中0代表必须一致，255代表可以忽略。
华三ACL配置实例：从创建到应用全流程
这里用一个最常见的场景演示完整配置过程：办公网段192.168.10.0/24可以访问服务器，但测试网段192.168.20.0/24禁止访问服务器的Web服务（端口80）,其他服务不受影响。
第一步：创建高级ACL并编写规则
system-view acl advanced 3000 rule 5 permit tcp source 192.168.10.0 0.0.0.255 destination 192.168.30.10 0 destination-port eq 80 rule 10 deny tcp source 192.168.20.0 0.0.0.255 destination 192.168.30.10 0 destination-port eq 80 rule 15 permit ip
最后一条rule 15非常重要，ACL末尾有一条隐含的拒绝规则，如果只写前两条，其余所有流量都会被丢弃，加上permit ip兜底,才能保证不影响其他服务。
第二步：在接口上调用ACL
ACL本身不产生作用，必须调用后才生效,在连接服务器的接口或服务器所在VLAN的虚接口上应用：
interface GigabitEthernet1/0/1 packet-filter 3000 inbound
这里的方向是inbound，流量从电脑发往服务器，进入服务器的接口时被检查，所以是入方向，如果加在连接核心交换机的上联口，就需要根据实际流量走向判断这是最容易出错的环节,方向搞反规则直接不生效。
第三步：验证配置是否生效
配置完不必重启设备,用查看命令确认：
display acl 3000 display packet-filter interface GigabitEthernet1/0/1
第一条显示规则内容和命中次数，第二条显示接口上绑定的ACL和方向，命中次数一直为0，说明流量根本没走到这条ACL,需要检查接口方向或通配符。
华三ACL配置常见场景与命令组合
不同业务场景对ACL的需求差异很大，下面按具体场景给出可直接套用的命令逻辑,涵盖了大部分较常见的配置场景。
限制内网地址段访问外网
出口路由器上控制哪些内网地址能上网,通常配合NAT调用：
acl basic 2000 rule 5 permit source 192.168.10.0 0.0.0.255 rule 10 deny source any
在出接口调用时，ACL不仅做过滤,还能作为NAT转换的匹配条件：
interface GigabitEthernet0/0/2 nat outbound 2000
这样只有ACL 2000里permit的网段会被转换上网,其余网段直接丢弃。
华三ACL允许ping怎么配
允许ping实际是放行ICMP协议，如果使用的是基本ACL，因为无法匹配协议，只能按源地址控制,此时需要在ACL里明确放行ICMP：
acl advanced 3000 rule 5 permit icmp source 192.168.10.0 0.0.0.255 destination any rule 10 deny ip
注意，ICMP类型也分echo request和echo reply，如果需要双向ping通，入方向和出方向都可能需要放行，在两台设备间做测试时，若发现ping不通但其他服务正常,优先检查ICMP规则是否同时覆盖了两个方向。
保护远程管理端口
运维设备（交换机/路由器）本身的SSH远程管理端口,建议限定只允许管理网段访问：
acl advanced 3001 rule 5 permit tcp source 192.168.100.0 0.0.0.255 destination 192.168.100.10 0 destination-port eq 22 rule 10 deny tcp destination-port eq 22
然后在VLAN虚接口或物理接口上应用：
interface Vlan-interface 10 packet-filter 3001 inbound
防止内网IP欺骗
接入层交换机上，防止用户私改IP后冒充其他网段访问服务器,在用户接入端口上应用：
acl basic 2002 rule 5 permit source 192.168.10.0 0.0.0.255 interface GigabitEthernet1/0/2 packet-filter 2002 inbound
用户从该端口进入的流量，源地址必须属于192.168.10.0/24，否则直接丢弃,这是接入层防欺骗的效果比较好的手段。
华三ACL配置常见错误排查
即使命令写得完全正确，ACL不生效的情况依然经常出现，行业共识认为，ACL排障的核心思路是按数据流方向逐台设备排查,而不是只盯着配置本身。
方向判断错误
inbound检查进入接口的流量，outbound检查离开接口的流量,以服务器接入交换机为例：
- 普通终端访问服务器，服务器接口上应使用inbound
- 服务器主动访问终端，需要检查outbound方向
方向错误的表现是：display acl中的命中计数一直为0，流量看似走了接口,但规则完全没被匹配到。
通配符掩码与子网掩码混用
这是最常见的手误，很多维保人员抄命令时把192.168.10.0 0.0.0.255写成了192.168.10.0 255.255.255.0，导致地址段匹配异常，配置完成后，建议用display acl检查规则里的掩码是否正常显示为逆掩码格式。
规则顺序影响匹配结果
华三ACL默认按配置顺序匹配，如果规则5写的是deny ip，规则10写的是permit tcp，那么所有流量在规则5就被丢弃了，根本走不到后面的permit，需要调整顺序时，可以用rule move命令调整规则编号顺序,或者删除重写。
rule move 10 before 5
此命令将编号10的规则移到编号5之前,避免覆盖范围大的规则把精确规则挡住。
Q&A：华三ACL配置常见疑问
华三ACL配置完需要重启设备才能生效吗？
不需要，接口上执行packet-filter后规则立即生效，但若想让设备重启后配置仍保留，必须执行save命令保存配置,否则断电后ACL配置会丢失。
基本ACL和高级ACL在调用方式上有区别吗？
没有区别，无论基本ACL还是高级ACL，调用方式都是packet-filter（三层接口）或traffic-filter（部分二层场景），只是规则能匹配的参数范围不同，基本ACL只能匹配源IP，高级ACL可以匹配协议、端口和目的地址,选择哪种取决于业务控制粒度。
如何查看ACL被哪个接口调用以及匹配次数？
使用display acl 3000查看规则的匹配次数（显示为Matches字段），使用display packet-filter interface查看接口绑定的ACL和方向，若匹配次数为0，说明流量没有经过该接口的对应方向,优先排查数据转发路径。