1. 項(xiàng)目概述從一次“詭異”的訪問(wèn)拒絕說(shuō)起那天下午我正在排查一個(gè)網(wǎng)絡(luò)故障。用戶(hù)反饋說(shuō)服務(wù)器AIP192.168.10.100無(wú)法訪問(wèn)服務(wù)器BIP192.168.20.200上的某個(gè)服務(wù)。我第一反應(yīng)是路由問(wèn)題但ping和traceroute都顯示路徑是通的。接著檢查防火墻規(guī)則看起來(lái)也沒(méi)問(wèn)題允許了192.168.10.0/24到192.168.20.0/24的流量。問(wèn)題出在哪兒我?guī)缀跻獞岩墒菓?yīng)用層的問(wèn)題了直到我鬼使神差地看了一眼那臺(tái)核心交換機(jī)上的ACL訪問(wèn)控制列表配置。一條看似簡(jiǎn)單的規(guī)則映入眼簾permit ip 192.168.10.0 0.0.0.255 any。等等源地址是192.168.10.0通配符掩碼是0.0.0.255這匹配的不就是192.168.10.0/24這個(gè)網(wǎng)段嗎邏輯上完全正確啊。但為什么192.168.10.100的流量還是被拒絕了這個(gè)看似簡(jiǎn)單的問(wèn)題恰恰是無(wú)數(shù)網(wǎng)絡(luò)工程師、運(yùn)維人員在初次接觸ACL尤其是涉及網(wǎng)段匹配時(shí)最容易踩進(jìn)去的“坑”。我們常常把“通配符掩碼”和“子網(wǎng)掩碼”混為一談或者想當(dāng)然地認(rèn)為它們的工作原理一樣。實(shí)際上ACL匹配網(wǎng)段的規(guī)則其底層邏輯與我們熟悉的子網(wǎng)劃分有微妙的、卻是決定性的差異。不理解這個(gè)差異配置的ACL就可能產(chǎn)生與你預(yù)期完全相反的效果導(dǎo)致一些“靈異”的網(wǎng)絡(luò)連通性問(wèn)題。今天我就結(jié)合那次排查經(jīng)歷和多年的實(shí)操把ACL里匹配網(wǎng)段的規(guī)則掰開(kāi)了、揉碎了講清楚讓你不僅“知道”更能“理解”和“用對(duì)”。2. ACL與通配符掩碼顛覆你對(duì)“掩碼”的認(rèn)知要理解網(wǎng)段匹配必須先過(guò)通配符掩碼這一關(guān)。很多人包括當(dāng)年的我都曾在這里栽過(guò)跟頭。2.1 通配符掩碼 vs. 子網(wǎng)掩碼本質(zhì)的差異我們先回顧一下子網(wǎng)掩碼。子網(wǎng)掩碼比如255.255.255.0它的核心作用是定義網(wǎng)絡(luò)邊界。在二進(jìn)制的世界里255即11111111表示“網(wǎng)絡(luò)位”0表示“主機(jī)位”。它和IP地址做“邏輯與”運(yùn)算得到的就是網(wǎng)絡(luò)地址。它的思維是“哪些位是固定的網(wǎng)絡(luò)哪些位是可變的主機(jī)”。而通配符掩碼雖然也由0和1組成但它的邏輯完全相反。在通配符掩碼中0表示“必須精確匹配”。對(duì)應(yīng)位上的IP地址比特必須和ACL規(guī)則中定義的地址比特完全一致。1表示“忽略不關(guān)心”。對(duì)應(yīng)位上的IP地址比特可以是0也可以是1ACL不做檢查。所以通配符掩碼定義的是在匹配時(shí)IP地址的哪些位需要被檢查哪些位可以被忽略。它是一種“匹配模板”而不是“網(wǎng)絡(luò)定義符”。2.2 一個(gè)經(jīng)典的“坑”匹配整個(gè)網(wǎng)段回到開(kāi)頭的例子。我們想匹配192.168.10.0/24這個(gè)網(wǎng)段。這個(gè)網(wǎng)段包含從192.168.10.0到192.168.10.255的所有IP地址。網(wǎng)絡(luò)地址192.168.10.0子網(wǎng)掩碼255.255.255.0(二進(jìn)制11111111.11111111.11111111.00000000)如果我們錯(cuò)誤地使用子網(wǎng)掩碼的思維可能會(huì)寫(xiě)出這樣的ACL規(guī)則permit ip 192.168.10.0 255.255.255.0 any。這在某些設(shè)備上甚至是無(wú)法通過(guò)的語(yǔ)法檢查因?yàn)锳CL規(guī)則里寫(xiě)的就是“通配符掩碼”字段。正確的做法是使用通配符掩碼。我們需要分析要匹配192.168.10.0/24意味著IP地址的前24位即192.168.10必須固定最后8位可以任意變化。需要固定的位前24位對(duì)應(yīng)通配符掩碼的比特應(yīng)為0?？梢院雎缘奈缓?位對(duì)應(yīng)通配符掩碼的比特應(yīng)為1。因此通配符掩碼應(yīng)該是00000000.00000000.00000000.11111111轉(zhuǎn)換為十進(jìn)制就是0.0.0.255。所以正確的ACL規(guī)則是permit ip 192.168.10.0 0.0.0.255 any。這表示源IP地址的前24位必須嚴(yán)格等于192.168.10最后8位是什么都行。這樣就精準(zhǔn)匹配了整個(gè)192.168.10.0/24網(wǎng)段。注意這里規(guī)則中寫(xiě)的地址是192.168.10.0但請(qǐng)注意這個(gè)0在通配符掩碼為0.0.0.255的語(yǔ)境下并不是特指主機(jī)位為0的地址而是“前24位匹配192.168.10”這個(gè)模式的一部分。實(shí)際上192.168.10.0網(wǎng)絡(luò)地址和192.168.10.255廣播地址也都會(huì)被這條規(guī)則匹配到這在某些場(chǎng)景下可能需要額外注意。2.3 更復(fù)雜的匹配非連續(xù)的通配符掩碼通配符掩碼的強(qiáng)大之處在于它的“0”和“1”可以不連續(xù)這允許我們實(shí)現(xiàn)非常靈活的匹配。而子網(wǎng)掩碼的“1”必須是連續(xù)的。例如假設(shè)一個(gè)奇葩的需求我們需要匹配IP地址第三段為偶數(shù)第四段為奇數(shù)的所有10.1.x.x的地址。用子網(wǎng)掩碼幾乎無(wú)法簡(jiǎn)潔定義。但用通配符掩碼可以嘗試。我們想匹配的IP模式是10.1.偶數(shù).奇數(shù)。第一段10二進(jìn)制00001010必須精確匹配 通配符掩碼第一位為00000000(0)第二段1二進(jìn)制00000001必須精確匹配 通配符掩碼第二位為00000000(0)第三段為偶數(shù)即二進(jìn)制最后一位為0。我們關(guān)心這個(gè)位是否為0其他位不關(guān)心。這需要一點(diǎn)技巧。偶數(shù)可以表示為2n其二進(jìn)制最后一位是0。我們可以寫(xiě)一條規(guī)則匹配最后一位為0但前7位任意的模式。這對(duì)應(yīng)的通配符掩碼第三段為11111110254因?yàn)橹挥凶詈笠晃蛔畹臀灰鬄?掩碼為0前7位不關(guān)心掩碼為1。規(guī)則中的地址第三段可以寫(xiě)0因?yàn)?是偶數(shù)且最后一位為0符合要求即10.1.0.奇數(shù)但掩碼的254會(huì)忽略前7位只檢查最后一位是否為0。第四段為奇數(shù)即二進(jìn)制最后一位為1。類(lèi)似地通配符掩碼第四段為11111110254規(guī)則中地址第四段寫(xiě)1奇數(shù)最后一位為1。那么規(guī)則可以寫(xiě)成permit ip 10.1.0.1 0.0.254.254。我們來(lái)驗(yàn)證一下10.1.2.3: 第三段200000010最后一位0第四段300000011最后一位1 匹配。10.1.4.5: 匹配。10.1.1.2: 第三段100000001最后一位1 不匹配。10.1.2.4: 第四段400000100最后一位0 不匹配。雖然這個(gè)例子有些極端但它充分展示了通配符掩碼在匹配非標(biāo)準(zhǔn)、非連續(xù)地址組時(shí)的靈活性。這在一些特殊的策略路由、流量標(biāo)記或安全策略中可能會(huì)用到。3. 實(shí)操如何正確計(jì)算和編寫(xiě)匹配網(wǎng)段的ACL規(guī)則理解了原理我們來(lái)看看如何一步步正確配置一條匹配網(wǎng)段的ACL規(guī)則。我將以華為/H3CVRP系統(tǒng)和思科IOS/IOS-XE系統(tǒng)這兩種最常見(jiàn)的平臺(tái)為例雖然命令行稍有不同但核心邏輯完全一致。3.1 標(biāo)準(zhǔn)五步法從需求到配置無(wú)論平臺(tái)如何配置一條精確的ACL規(guī)則都可以遵循以下五個(gè)步驟第一步明確匹配需求用自然語(yǔ)言清晰地描述你要匹配的IP地址范圍。例如“允許研發(fā)部VLAN網(wǎng)段10.10.10.0/24訪問(wèn)文件服務(wù)器172.16.1.100。”第二步提取關(guān)鍵地址和子網(wǎng)掩碼從需求中提取出網(wǎng)絡(luò)地址和子網(wǎng)掩碼。源網(wǎng)絡(luò)10.10.10.0/24- 地址10.10.10.0 子網(wǎng)掩碼255.255.255.0目的地址172.16.1.100- 這是一個(gè)單點(diǎn)IP可視為子網(wǎng)掩碼255.255.255.255(即/32)第三步將子網(wǎng)掩碼轉(zhuǎn)換為通配符掩碼這是最關(guān)鍵的一步。記住公式通配符掩碼 255.255.255.255 - 子網(wǎng)掩碼。對(duì)于源255.255.255.0通配符掩碼 255.255.255.255 - 255.255.255.0 0.0.0.255對(duì)于目的255.255.255.255通配符掩碼 255.255.255.255 - 255.255.255.255 0.0.0.0(表示精確匹配每一個(gè)比特)第四步選擇ACL類(lèi)型并創(chuàng)建基本匹配僅源IP使用標(biāo)準(zhǔn)ACL思科1-991300-1999華為/華三basic ACL 2000-2999。高級(jí)匹配源IP、目的IP、協(xié)議端口使用擴(kuò)展ACL思科100-1992000-2699華為/華三advanced ACL 3000-3999。我們的需求涉及源IP、目的IP和協(xié)議假設(shè)是TCP的445端口SMB服務(wù)因此使用擴(kuò)展ACL。第五步編寫(xiě)并應(yīng)用規(guī)則將前面步驟得到的信息組合成ACL規(guī)則語(yǔ)句并將其應(yīng)用到接口的入方向或出方向。3.2 華為/華三VRP配置示例假設(shè)我們要在連接研發(fā)部VLAN的接口GigabitEthernet 0/0/1的入方向應(yīng)用策略。# 進(jìn)入系統(tǒng)視圖 system-view # 創(chuàng)建一個(gè)編號(hào)為3001的高級(jí)ACL acl number 3001 # 配置規(guī)則允許源IP為10.10.10.0/24目的IP為172.16.1.100目的端口為445的TCP流量 # 規(guī)則ID 5動(dòng)作permit協(xié)議tcp源地址 10.10.10.0 通配符 0.0.0.255目的地址 172.16.1.100 通配符 0.0.0.0目的端口 eq 445 rule 5 permit tcp source 10.10.10.0 0.0.0.255 destination 172.16.1.100 0 destination-port eq 445 # 可選在末尾添加一條拒絕所有的規(guī)則隱含拒絕存在但顯式寫(xiě)出便于閱讀和管理 rule 10 deny ip # 退出ACL視圖 quit # 進(jìn)入接口視圖 interface GigabitEthernet 0/0/1 # 將ACL 3001應(yīng)用到該接口的入方向流量進(jìn)行過(guò)濾 traffic-filter inbound acl 3001 # 提交并退出 commit quit關(guān)鍵點(diǎn)解析source 10.10.10.0 0.0.0.255這就是匹配整個(gè)10.10.10.0/24網(wǎng)段的寫(xiě)法。destination 172.16.1.100 00是0.0.0.0的簡(jiǎn)寫(xiě)表示精確匹配主機(jī)172.16.1.100。destination-port eq 445指定目的端口使策略更精確。traffic-filter inbound acl 3001將ACL作為流量過(guò)濾器應(yīng)用在接口入方向。這意味著從該接口進(jìn)入設(shè)備的數(shù)據(jù)包會(huì)受到ACL 3001的檢查。3.3 思科IOS/IOS-XE配置示例實(shí)現(xiàn)同樣的功能在思科設(shè)備上的配置。# 進(jìn)入全局配置模式 configure terminal # 創(chuàng)建一個(gè)編號(hào)為101的擴(kuò)展IP訪問(wèn)列表思科擴(kuò)展ACL常用100-199 ip access-list extended ALLOW_RD_TO_FILESVR # 配置規(guī)則允許TCP流量從10.10.10.0/24到172.16.1.100目的端口445 # 思科語(yǔ)法permit/deny 協(xié)議 源地址 通配符 目的地址 通配符 [操作符 端口] permit tcp 10.10.10.0 0.0.0.255 host 172.16.1.100 eq 445 # 思科擴(kuò)展ACL末尾默認(rèn)有一條隱式的deny ip any any無(wú)需顯式寫(xiě)出但為清晰也可添加 deny ip any any # 退出ACL配置模式 exit # 進(jìn)入接口配置模式 interface GigabitEthernet0/1 # 將訪問(wèn)列表101應(yīng)用到接口的出方向注意方向這是思科常見(jiàn)做法與華為入方向效果可能等價(jià)取決于流量視角 ip access-group ALLOW_RD_TO_FILESVR out # 退出并保存配置 end write memory關(guān)鍵點(diǎn)解析與對(duì)比10.10.10.0 0.0.0.255網(wǎng)段匹配寫(xiě)法與華為一致。host 172.16.1.100這是思科的便捷寫(xiě)法等價(jià)于172.16.1.100 0.0.0.0。同樣any等價(jià)于0.0.0.0 255.255.255.255。ip access-group ... out應(yīng)用在接口出方向。這里有一個(gè)非常重要的實(shí)操心得ACL應(yīng)用的方向inbound/outbound是以設(shè)備本身為參照的。入方向in過(guò)濾從該接口進(jìn)入設(shè)備的流量。常用于保護(hù)設(shè)備自身或過(guò)濾進(jìn)入本地網(wǎng)絡(luò)的流量。出方向out過(guò)濾從設(shè)備通過(guò)該接口發(fā)出的流量。常用于控制從本地網(wǎng)絡(luò)出去的流量。 在上面的思科例子中如果GigabitEthernet0/1連接的是研發(fā)部網(wǎng)絡(luò)那么從研發(fā)部網(wǎng)絡(luò)發(fā)往文件服務(wù)器的流量對(duì)于該接口而言是出方向流量從設(shè)備發(fā)出到服務(wù)器網(wǎng)絡(luò)。所以應(yīng)用out是合理的。如果應(yīng)用在華為設(shè)備的入方向效果是等價(jià)的都是對(duì)從研發(fā)部來(lái)的流量進(jìn)行過(guò)濾。理解流量方向是正確應(yīng)用ACL的關(guān)鍵否則規(guī)則可能完全不起作用。3.4 驗(yàn)證與調(diào)試確保規(guī)則生效配置完成后絕不能一配了之必須驗(yàn)證。在華為/華三設(shè)備上# 查看ACL 3001的配置和匹配統(tǒng)計(jì) display acl 3001 # 查看接口上的ACL應(yīng)用情況和統(tǒng)計(jì)信息 display traffic-filter applied-record # 或者查看指定接口的ACL統(tǒng)計(jì)需要先在ACL視圖下用statistics enable啟用統(tǒng)計(jì) display acl 3001 statistics interface GigabitEthernet 0/0/1 inbound在思科設(shè)備上# 查看名為ALLOW_RD_TO_FILESVR的ACL配置和匹配次數(shù) show access-lists ALLOW_RD_TO_FILESVR # 查看接口的ACL應(yīng)用情況 show ip interface GigabitEthernet0/1查看時(shí)重點(diǎn)關(guān)注rule/packet的匹配計(jì)數(shù)。如果規(guī)則配置正確但計(jì)數(shù)不增加可能是流量方向錯(cuò)誤、路由問(wèn)題或者有更高優(yōu)先級(jí)的策略如其他ACL、防火墻策略攔截了。4. 高級(jí)技巧與常見(jiàn)“坑點(diǎn)”實(shí)錄掌握了基礎(chǔ)配置我們來(lái)看看那些容易讓人翻車(chē)的高級(jí)場(chǎng)景和排查技巧。4.1 匹配特定主機(jī)或多個(gè)不連續(xù)主機(jī)場(chǎng)景需要允許或禁止幾個(gè)特定的、不在同一網(wǎng)段的IP地址。錯(cuò)誤做法為每個(gè)IP寫(xiě)一條單獨(dú)的規(guī)則。雖然可行但規(guī)則條數(shù)多管理繁瑣。高效做法利用通配符掩碼的靈活性。例如要匹配192.168.1.10和192.168.1.20這兩個(gè)主機(jī)。寫(xiě)出它們的二進(jìn)制192.168.1.1011000000.10101000.00000001.00001010192.168.1.2011000000.10101000.00000001.00010100對(duì)比發(fā)現(xiàn)只有第四字節(jié)的比特位不同。我們需要找到一個(gè)通配符掩碼使得在它為0的位上兩個(gè)IP的比特相同在為1的位上允許不同。找出相同的位前三個(gè)字節(jié)完全相同第四字節(jié)的二進(jìn)制00001010(10) 和00010100(20)。逐位對(duì)比位8(128): 0 vs 0 - 相同位7(64): 0 vs 0 - 相同位6(32): 0 vs 0 - 相同位5(16): 0 vs 1 -不同位4(8): 1 vs 0 -不同位3(4): 0 vs 1 -不同位2(2): 1 vs 0 -不同位1(1): 0 vs 0 - 相同所以第5、4、3、2位不同。在通配符掩碼中這些位應(yīng)設(shè)為1忽略相同的位8,7,6,1設(shè)為0匹配。因此第四字節(jié)的通配符掩碼為00111100二進(jìn)制即60十進(jìn)制。規(guī)則中使用的地址需要在所有掩碼為0的位上與兩個(gè)IP都一致。我們?nèi)∑渲幸粋€(gè)IP比如192.168.1.10但需要確保在掩碼為0的位上192.168.1.20也一致。檢查一下對(duì)于位8,7,6,1兩個(gè)IP都是0所以取192.168.1.10的第四字節(jié)1000001010是可行的。最終規(guī)則為permit ip 192.168.1.10 0.0.0.60 any。這條規(guī)則會(huì)匹配192.168.1.10和192.168.1.20以及第四字節(jié)二進(jìn)制模式為0000x1x0的所有地址x表示0或1即10(00001010),14(00001110),20(00010100),24(00011000),26(00011010),30(00011110)等。這比預(yù)想的范圍大。這說(shuō)明用一條規(guī)則精確匹配多個(gè)不連續(xù)主機(jī)非常困難且容易引入額外匹配。對(duì)于精確控制更推薦使用前綴列表ip prefix-list或單獨(dú)的ACL規(guī)則。實(shí)操心得對(duì)于少量、離散的IP地址不要強(qiáng)行用一條復(fù)雜的通配符掩碼規(guī)則去匹配。這樣可讀性差容易出錯(cuò)且可能產(chǎn)生副作用。直接寫(xiě)多條host規(guī)則思科或0通配符規(guī)則華為雖然條目多但意圖清晰便于后續(xù)維護(hù)和排錯(cuò)。ACL的性能通常足夠處理幾十上百條規(guī)則清晰性比那一點(diǎn)點(diǎn)性能優(yōu)化更重要。4.2 ACL規(guī)則的匹配順序與優(yōu)先級(jí)這是另一個(gè)大坑。ACL規(guī)則是從上到下逐條匹配的一旦匹配成功就執(zhí)行對(duì)應(yīng)動(dòng)作permit/deny并停止繼續(xù)匹配。場(chǎng)景你想禁止192.168.1.100上網(wǎng)但允許192.168.1.0/24其他所有主機(jī)上網(wǎng)。錯(cuò)誤配置順序rule 5 permit ip source 192.168.1.0 0.0.0.255 any rule 10 deny ip source 192.168.1.100 0 any當(dāng)192.168.1.100的流量進(jìn)來(lái)時(shí)首先匹配rule 5源IP192.168.1.100在192.168.1.0/24網(wǎng)段內(nèi)匹配成功執(zhí)行permit然后ACL處理結(jié)束。rule 10根本不會(huì)被評(píng)估到。結(jié)果是192.168.1.100依然被允許。正確配置順序rule 5 deny ip source 192.168.1.100 0 any # 先拒絕特定主機(jī) rule 10 permit ip source 192.168.1.0 0.0.0.255 any # 再允許整個(gè)網(wǎng)段這樣192.168.1.100的流量先匹配rule 5被拒絕。其他192.168.1.0/24的主機(jī)匹配rule 5失敗繼續(xù)匹配rule 10成功被允許。通用原則“先精確后寬泛”。將匹配范圍最小、最具體的規(guī)則如針對(duì)單個(gè)主機(jī)、特定端口的規(guī)則放在前面將匹配范圍寬泛的規(guī)則如允許整個(gè)網(wǎng)段、所有流量放在后面。思科的命名擴(kuò)展ACL可以插入規(guī)則但編號(hào)ACL修改順序較麻煩初期規(guī)劃好順序非常重要。4.3 “隱形”的規(guī)則隱含拒絕幾乎所有ACL的末尾都有一條看不見(jiàn)的規(guī)則deny ip any any拒絕所有IP流量。這意味著如果數(shù)據(jù)包沒(méi)有匹配到任何一條顯式的permit規(guī)則它最終會(huì)被這條隱含規(guī)則拒絕。踩坑實(shí)錄有一次我配置了一條ACL只允許10.1.1.0/24訪問(wèn)服務(wù)器然后應(yīng)用在服務(wù)器接口的入方向。測(cè)試時(shí)10.1.1.100可以訪問(wèn)但服務(wù)器自己發(fā)起的回包比如響應(yīng)請(qǐng)求卻失敗了。為什么因?yàn)榉?wù)器的回包源IP是服務(wù)器目的IP是10.1.1.100從接口出去時(shí)如果ACL應(yīng)用在出方向或者有其他的過(guò)濾策略這個(gè)回包并沒(méi)有匹配到我寫(xiě)的permit規(guī)則我的規(guī)則是匹配源10.1.1.0/24到目的服務(wù)器因此被隱含拒絕規(guī)則丟棄了。解決方法雙向考慮在配置ACL時(shí)一定要考慮流量的雙向性。通常需要在通信兩端都配置適當(dāng)?shù)脑试S規(guī)則或者使用基于狀態(tài)的防火墻如zone-policy它能自動(dòng)放行已建立連接的回包。謹(jǐn)慎使用any在測(cè)試階段可以在ACL末尾顯式添加一條permit ip any any然后觀察哪些流量被匹配幫助理解流量模式。但在生產(chǎn)環(huán)境最終配置前一定要?jiǎng)h除或替換這條過(guò)于寬松的規(guī)則遵循最小權(quán)限原則。利用established參數(shù)思科對(duì)于TCP流量思科ACL支持established關(guān)鍵字它可以自動(dòng)允許那些屬于已建立TCP會(huì)話的報(bào)文即ACK或RST標(biāo)志位為1的包。這在只希望內(nèi)網(wǎng)主動(dòng)發(fā)起訪問(wèn)并自動(dòng)允許回包的場(chǎng)景下非常有用。例如permit tcp any any established。4.4 通配符掩碼0.0.0.0與host關(guān)鍵字匹配單個(gè)主機(jī)時(shí)有兩種寫(xiě)法192.168.1.1 0.0.0.0host 192.168.1.1(思科語(yǔ)法華為部分版本也支持類(lèi)似或需用0簡(jiǎn)寫(xiě))兩者完全等價(jià)。0.0.0.0表示所有32位都必須精確匹配。在配置時(shí)使用host關(guān)鍵字可讀性更好。在華為設(shè)備上目的地址為單個(gè)主機(jī)時(shí)可以用0代替0.0.0.0。4.5 匹配“所有”通配符掩碼255.255.255.255與0.0.0.0相反255.255.255.255表示所有位都不檢查即匹配任何地址。它通常寫(xiě)作關(guān)鍵字any。permit ip any any等價(jià)于permit ip 0.0.0.0 255.255.255.255 0.0.0.0 255.255.255.2555. 問(wèn)題排查當(dāng)ACL不按預(yù)期工作時(shí)即使你認(rèn)為自己完全理解了規(guī)則實(shí)際網(wǎng)絡(luò)中ACL不生效的情況也比比皆是。下面是一個(gè)系統(tǒng)化的排查流程。5.1 排查流程圖與步驟當(dāng)遇到網(wǎng)絡(luò)訪問(wèn)被ACL意外阻斷或放行時(shí)可以按以下步驟排查確認(rèn)現(xiàn)象具體是哪兩個(gè)IP之間的什么協(xié)議ICMP ping? TCP 80端口不通是單向不通還是雙向都不通定位ACL在流量路徑上的所有設(shè)備交換機(jī)、路由器、防火墻上檢查可能應(yīng)用的ACL。使用display acl all華為或show access-lists思科查看所有ACL配置和匹配計(jì)數(shù)。驗(yàn)證規(guī)則邏輯通配符掩碼計(jì)算是否正確這是最常見(jiàn)的問(wèn)題。反復(fù)用“需要匹配的地址”和“通配符掩碼”進(jìn)行二進(jìn)制驗(yàn)證。規(guī)則順序是否正確檢查是否有更精確的規(guī)則先被匹配。動(dòng)作是permit還是deny別笑忙中出錯(cuò)寫(xiě)反的情況時(shí)有發(fā)生。檢查應(yīng)用位置與方向ACL應(yīng)用在哪個(gè)接口確認(rèn)流量是否確實(shí)經(jīng)過(guò)了該接口。應(yīng)用方向in/out是否正確這是第二大常見(jiàn)問(wèn)題。站在設(shè)備的角度畫(huà)一下流量路徑圖判斷對(duì)于該接口目標(biāo)流量是進(jìn)入in還是離開(kāi)out設(shè)備。是否有多個(gè)ACL或策略一個(gè)接口的同一個(gè)方向只能應(yīng)用一個(gè)ACL嗎不一定有些設(shè)備支持策略路由、QoS策略等也會(huì)調(diào)用ACL或者有默認(rèn)的全局策略。檢查所有可能的地方。查看計(jì)數(shù)器啟用ACL統(tǒng)計(jì)功能如華為的statistics enable重現(xiàn)問(wèn)題流量查看預(yù)期應(yīng)該匹配的規(guī)則計(jì)數(shù)器是否增加。如果不增加說(shuō)明流量根本沒(méi)走到這條規(guī)則可能是方向錯(cuò)誤或被前面的規(guī)則匹配了。模擬測(cè)試與簡(jiǎn)化在ACL最前面添加一條臨時(shí)的、寬松的permit規(guī)則如permit ip source-host 源IP destination-host 目的IP測(cè)試連通性。如果通了說(shuō)明問(wèn)題出在后續(xù)的規(guī)則上如果還不通可能是ACL應(yīng)用位置或方向錯(cuò)誤或者根本就不是ACL的問(wèn)題。暫時(shí)將ACL從接口上取消綁定undo traffic-filter inbound或no ip access-group ...測(cè)試連通性。如果通了確認(rèn)是ACL問(wèn)題如果還不通問(wèn)題可能在于路由、防火墻或其他安全設(shè)備。5.2 常見(jiàn)問(wèn)題速查表問(wèn)題現(xiàn)象可能原因排查命令與解決方法特定主機(jī)無(wú)法訪問(wèn)目標(biāo)1. 該主機(jī)IP被某條deny規(guī)則匹配。2. 允許規(guī)則的通配符掩碼計(jì)算錯(cuò)誤未包含該主機(jī)。3. 規(guī)則順序有誤寬泛的deny或permit規(guī)則先于精確規(guī)則匹配。1.display acl 編號(hào)查看所有規(guī)則匹配計(jì)數(shù)看哪條規(guī)則計(jì)數(shù)在增。2. 重新計(jì)算通配符掩碼用二進(jìn)制驗(yàn)證主機(jī)IP是否匹配。3. 調(diào)整規(guī)則順序?qū)⑨槍?duì)該主機(jī)的精確規(guī)則上移。整個(gè)網(wǎng)段都無(wú)法訪問(wèn)1. 允許該網(wǎng)段的規(guī)則通配符掩碼錯(cuò)誤如寫(xiě)成了子網(wǎng)掩碼。2. ACL應(yīng)用在了錯(cuò)誤的接口或錯(cuò)誤的方向。3. ACL末尾的隱含拒絕生效且沒(méi)有permit規(guī)則匹配。1.重點(diǎn)檢查規(guī)則是否是網(wǎng)絡(luò)地址 0.0.0.255格式2. 檢查display traffic-filter applied-record或show ip interface。3. 在ACL末尾添加一條permit ip any any臨時(shí)測(cè)試若恢復(fù)則問(wèn)題在于缺少permit規(guī)則。ACL規(guī)則計(jì)數(shù)器不增加1. 流量未經(jīng)過(guò)應(yīng)用了ACL的接口。2. ACL應(yīng)用方向錯(cuò)誤流量是從反方向通過(guò)的。3. 流量被設(shè)備其他處理機(jī)制如路由失敗、策略路由提前丟棄未送到ACL檢查點(diǎn)。1. 使用traceroute確認(rèn)流量路徑。2. 交換接口的in/out方向再測(cè)試。3. 檢查設(shè)備路由表確認(rèn)是否有到達(dá)目的地的路由。允許了A到B但B到A的回包失敗1. 只配置了單向的permit規(guī)則回包沒(méi)有對(duì)應(yīng)的permit規(guī)則被隱含拒絕。2. 回包路徑上的其他接口應(yīng)用了限制性ACL。1. 配置雙向permit規(guī)則或使用狀態(tài)化防火墻如安全策略。2. 在B端設(shè)備或路徑中間設(shè)備上檢查是否有出向/入向ACL限制了回包。配置了host關(guān)鍵字但無(wú)效1. 思科設(shè)備確認(rèn)是host 192.168.1.1不是host 192.168.1.1 0.0.0.0。2. 華為設(shè)備目的地址單個(gè)主機(jī)可用0源地址用0可能語(yǔ)法不對(duì)需寫(xiě)全0.0.0.0或使用其他方式。1. 思科規(guī)則應(yīng)為permit ip host 192.168.1.1 any。2. 華為對(duì)于源/目的IP使用192.168.1.1 0來(lái)匹配單個(gè)主機(jī)0是0.0.0.0的簡(jiǎn)寫(xiě)僅在目的地址時(shí)常用源地址建議寫(xiě)全。最穩(wěn)妥是寫(xiě)全192.168.1.1 0.0.0.0。5.3 工具輔助在線計(jì)算器與腳本對(duì)于復(fù)雜的通配符掩碼計(jì)算不要硬扛?？梢越柚恍┕ぞ呔W(wǎng)絡(luò)計(jì)算器很多在線的子網(wǎng)計(jì)算器也支持通配符掩碼計(jì)算。輸入網(wǎng)絡(luò)地址和子網(wǎng)掩碼它會(huì)給出對(duì)應(yīng)的通配符掩碼。自己寫(xiě)段小程序如果你熟悉Python或其它腳本語(yǔ)言寫(xiě)一個(gè)簡(jiǎn)單的函數(shù)來(lái)驗(yàn)證IP是否匹配ACL規(guī)則是非常快的。def check_acl_match(ip_str, rule_ip_str, wildcard_str): ip list(map(int, ip_str.split(.))) rule_ip list(map(int, rule_ip_str.split(.))) wildcard list(map(int, wildcard_str.split(.))) for i in range(4): if (ip[i] ~wildcard[i]) ! (rule_ip[i] ~wildcard[i]): return False return True # 示例檢查 192.168.10.100 是否匹配規(guī)則 192.168.10.0 0.0.0.255 print(check_acl_match(192.168.10.100, 192.168.10.0, 0.0.0.255)) # 應(yīng)返回 True print(check_acl_match(192.168.20.100, 192.168.10.0, 0.0.0.255)) # 應(yīng)返回 False這個(gè)函數(shù)的核心邏輯是(IP ~Wildcard) (Rule_IP ~Wildcard)。因?yàn)閃ildcard中為1的位需要忽略在比較時(shí)置為0所以先對(duì)Wildcard取反~再和IP做按位與保留需要比較的位然后看它們是否相等。回過(guò)頭看文章開(kāi)頭我遇到的那個(gè)“詭異”問(wèn)題。原因正是一條配置在核心交換機(jī)上聯(lián)接口入方向的ACL意圖是限制某個(gè)網(wǎng)段訪問(wèn)互聯(lián)網(wǎng)但其通配符掩碼計(jì)算有誤錯(cuò)誤地匹配到了192.168.10.0/24這個(gè)網(wǎng)段而服務(wù)器A的地址正在其中。但由于規(guī)則順序和方向應(yīng)用的疊加導(dǎo)致了部分流量被意外攔截。通過(guò)使用上述的排查步驟特別是查看ACL計(jì)數(shù)和重新驗(yàn)算通配符掩碼最終定位并修正了那條錯(cuò)誤的規(guī)則。ACL是網(wǎng)絡(luò)控制的基石而通配符掩碼是它的靈魂。死記硬背“通配符掩碼是反子網(wǎng)掩碼”或許能應(yīng)付一時(shí)但只有真正理解其“0位精確匹配1位忽略”的比特位操作本質(zhì)才能在各種復(fù)雜場(chǎng)景下靈活、準(zhǔn)確地運(yùn)用它讓ACL真正成為你手中精準(zhǔn)的網(wǎng)絡(luò)策略手術(shù)刀而不是一個(gè)時(shí)不時(shí)制造“靈異事件”的黑盒子。下次再配ACL時(shí)不妨在敲下回車(chē)前心里默默用二進(jìn)制過(guò)一遍這份嚴(yán)謹(jǐn)會(huì)讓你避開(kāi)很多深夜的故障排查電話。