VRP = Versatile Routing Platform，通用路由平台
人话：华为路由器、交换机、防火墙的操作系统。 电脑用 Windows，手机用安卓 /iOS；华为网络设备用 VRP。 咱们刚才学的 ACL，就是在 VRP 系统里面敲命令配置的！
一、ACL 基础定义
ACL（Access Control List，访问控制列表）ACL 是一系列有序规则的集合，部署在路由器 / 交换机接口，检查数据包头部字段，匹配成功就执行permit（允许放行）或deny（丢弃拒绝），实现网络流量访问控制、过滤、基础安全防护。
人话：路由器的安检清单，数据包过安检，一条条对照，符合就放行，不符合扔掉。
✅ ACL 作用（选择题多选）
- 过滤 IP 报文，控制内网 / 外网访问权限
- 阻挡非法访问，基础抗攻击（拦截恶意 IP）
- 配合 QOS、NAT、策略路由做流量分类
- 限制 Telnet/SSH 登录设备（管理面防护，信息安全高频）
❌ 不能做：不能过滤经过路由器之后修改的报文内容（只能看二层 / 三层 / 四层头部，不检查报文载荷）
二、华为 ACL 完整分类表【选择题头号考点】
这是你刚才那道题的核心，必须背死编号 + 匹配条件
| ACL 类型 | 编号范围 | 匹配字段（核心！） | 推荐部署位置 |
|---|---|---|---|
| 基本 ACL（IPv4） | 2000～2999 | ✅仅源 IP 地址；附加：分片标记、时间段❌不能匹配目的 IP、端口、协议 | 靠近目的端（坑：只知道来源，不知道去哪，如果放靠近源端，容易误杀正常流量） |
| 高级 ACL（IPv4） | 3000～3999 | ✅ 源 IP、目的 IP、协议 (TCP/UDP/ICMP)、源端口、目的端口、时间段、分片 | 靠近源端精细匹配，在源头直接丢弃非法包，节省带宽 |
| 二层 ACL | 4000～4999 | 二层帧：源 MAC、目的 MAC、VLAN 号、二层协议（不看 IP） | 交换机接口（二层链路） |
| 用户 ACL（UCL） | 5000～5999 | 结合用户账号 + IP / 端口 | 认证接入场景（考的极少） |
口诀：基本 2000，只看源 IP；高级 3000，源目端口全都提；二层 4000，MACVLAN 来处理。
⚠️超级大坑：Cisco 标准 ACL 是 1~99，软考信息安全现在考华为！不要记 Cisco 编号！
三、ACL 匹配机制【必考，选择 + 案例简答】
1. 匹配顺序：规则编号从小到大依次匹配
数据包逐条比对规则，一旦匹配上某一条规则，立刻执行动作，后面所有规则不再继续匹配！👉 重点：精确、范围小的规则，编号要写在前面；宽泛规则放后面。
举例： rule 5 deny source 192.168.1.1 0.0.0.0 （禁止单台主机） rule 10 permit source 192.168.1.0 0.0.0.255（允许整个网段） 如果反过来，先允许整个网段，那么 192.168.1.1 这条 deny永远不会生效！
2. 隐含默认规则（地狱级坑点，每年必考）
所有 ACL 末尾自带一条隐藏规则：deny any
含义：数据包前面所有规则都没有匹配成功 → 直接拒绝丢弃。 ✅ 如果你想放行所有没匹配的流量，必须手动写一条
rule permit ip放在 ACL 最后。
3. 规则编号步长
华为默认步长 = 5：rule 5, rule10, rule15…… 留空隙，方便后续插入新规则，比如可以插入 rule 7。
四、反掩码（通配符掩码 wildcard mask）【计算题考点】
ACL 里面写的不是子网掩码！是反掩码，软考经常考解读。 反掩码 = 255.255.255.255 − 子网掩码
0：代表必须严格匹配这个位255：代表忽略，不检查这个位
例子：
- 主机 192.168.1.1：
192.168.1.1 0.0.0.0（0 代表每一位都要完全匹配） - 网段 192.168.1.0/24：
192.168.1.0 0.0.0.255 any=0.0.0.0 255.255.255.255所有 IP
选择题坑：把子网掩码直接当成 ACL 掩码，选项迷惑你。
五、接口应用方向：inbound /outbound（案例大题考点）
ACL 创建完成不会生效！必须绑定到接口，并且指定方向
- inbound（入方向）：数据包进入路由器 / 交换机接口之前过滤。包刚进设备就安检。
- outbound（出方向）：数据包离开接口之前过滤。包已经路由完成，准备送出设备的时候安检。
部署口诀：
- 高级 ACL 放源端接口 inbound，源头拦掉坏包，不浪费设备算力转发
- 基本 ACL 放目的端接口 outbound，因为基本 ACL 只看源 IP，如果在入方向拦，容易误拦截
六、华为基础配置命令（选择题、案例读代码必考，不用默写，但要看得懂）
① 创建基本 ACL（2000-2999）
acl number 2000 rule deny source 192.168.2.0 0.0.0.255 rule permit source any解读：ACL2000，拒绝 192.168.2.0 网段，允许其他所有源 IP。
② 创建高级 ACL（3000-3999，可匹配目的 IP + 端口）
acl number 3001 rule deny tcp source 192.168.1.0 0.0.0.255 destination 10.0.0.10 0 eq 80解读：拒绝 192.168.1.0 网段访问 10.0.0.10 的 TCP 80（http）端口。
③ 在接口上应用 ACL（生效关键！选择题常挖坑：创建 ACL 不绑定接口 = 完全无效）
interface GigabitEthernet 0/0/1 traffic-filter inbound acl 2000含义：在 G0/0/1 接口的入方向，应用 ACL2000。
坑点：ACL 只在绑定了的接口生效，其他接口不受影响！
七、高频坑点合集（错题本，软考 90% 丢分在这里）
- ❌ 基本 ACL 能匹配目的 IP / 端口？错！基本 ACL 只能匹配源 IP。
- ❌ ACL 匹配到一条规则后，继续往下匹配其他规则？错！命中即停止。
- ❌ ACL 创建好就自动生效？错！必须绑定接口 + 指定方向。
- ❌ 没有匹配任何规则的报文默认允许通过？错！隐含 deny any，全部丢弃。
- ❌ 基本 ACL 部署在靠近源主机接口？错！尽量放靠近目的。
- ❌ 高级 ACL 编号 2000-2999？错！高级 3000 起。
- ❌ ACL 可以检测病毒、检查报文里面的文件内容？错！ACL 只检查报文头部。
- ❌ 反掩码 = 子网掩码？错！反掩码是 255 减子网掩码。
八、题型分类 + 答题模板
✅ 题型 1：选择题（你刚才的那一类）
题干问：ACL 编号，能匹配什么字段，判断描述对错。
解题思路：先看编号 → 判断是基本 / 高级 / 二层，再看匹配条件。
✅ 题型 2：判断题
重点坑：匹配顺序、隐含 deny、基本 ACL 匹配条件。
✅ 题型 3：案例简答题（信息安全案例大题）
问题：简述 ACL 的工作原理
标准简答模板（直接背）： ACL 是一组有序规则集合，绑定在网络设备接口；数据包按规则编号从小到大逐条匹配，匹配成功执行 permit 允许或 deny 拒绝；一旦匹配成功就终止后续规则；ACL 末尾隐含 deny any，所有未匹配报文默认丢弃，以此实现流量访问控制。
问题：基本 ACL 和高级 ACL 的区别？模板：
- 编号：基本 ACL 2000~2999；高级 ACL3000~3999
- 匹配条件：基本 ACL仅源 IP；高级 ACL 可匹配源 IP、目的 IP、协议、端口等四层信息
- 部署位置：基本 ACL 靠近目的端；高级 ACL 靠近源端
✅ 题型 4：配置解读题（给一段华为命令，问这条规则作用）
解题步骤：
- 看 acl number，判断类型
- 看动作 permit/deny
- 看源 IP，有没有目的 IP、端口
- 看 traffic-filter 的 inbound/outbound，判断在哪个接口哪个方向生效
