每天一个计算机小知识:ACL访问控制列表

估计不少人一听到 ACL（Access Control List，访问控制列表）就犯怵，觉得这是啥高深技术，其实真没那么复杂。说白了，它就是网络里的 “守门人”，管着哪些设备能进、哪些数据能过，跟小区门口的保安一个意思，只放符合规矩的 “人” 进来，不用记复杂术语，听懂这个比喻就够了。

之前咱们说的 VLAN，是把办公网络分成销售部、技术部、财务部这些 “小隔间”，各用各的，互不打扰；而 ACL，就是给这些 “小隔间” 装上门锁，给守门人定好规矩 —— 比如只让财务部进自己的隔间，不让销售部碰财务服务器，甚至能细到只有上班时间能上外网，把网络权限管得明明白白，和 VLAN 搭配着用，网络会更安全。

跟大家说个关键：ACL 不是什么复杂硬件，就是路由器、交换机这些网络设备上的一串规则清单。所有经过设备的数据包，都得先过这道清单，匹配上规则就按要求放行或拒绝，没匹配上的，默认就拦在门外，这一点很重要，后面讲常见坑的时候，还会跟大家细说。

不用记那些复杂参数，咱们先把 ACL 最核心的两个点搞懂，看完就知道它到底在干嘛，后续遇到问题也能快速对应：

第一个点，它就管 “判断” 和 “放行 / 拦截”，别的多余事不做。就像保安，只看你是不是小区业主，放行或者拦住，至于你进去做什么、带了什么，他不管；ACL 也一样，只查数据包的 “身份”，比如来自哪个 IP、要去哪个端口，符合规则就放行，不符合就丢一边，数据包里的内容它一概不改。

第二个点，规则得按 “自上而下” 来，有先来后到。给守门人定规矩，肯定先定具体、重要的，再定宽泛的，比如先禁止陌生人进，再允许业主进；ACL 也一样，规则按顺序排好，数据包从第一条开始查，只要匹配上，后面的规则再合适也不管用，这也是新手最容易出错的地方之一。

光说理论太抽象，给大家举个办公里最常见的例子，一看就懂，平时遇到类似情况也能对号入座：

公司财务服务器里存着工资、报表这些敏感数据，肯定不能让所有人都访问。网管就会给路由器配一条 ACL 规则：“只允许财务部的 IP（比如 192.168.30.X 这个网段）访问财务服务器（IP：192.168.100.10），其他所有 IP 都禁止”。

这样一来，财务部的电脑访问服务器，ACL 检查 IP 符合规则，就放行；销售部的电脑（IP：192.168.10.X）去访问，匹配不到允许的规则，就被 ACL 拦住，自然打不开服务器 —— 这就是 ACL 最直接的作用，简单又实用，平时咱们遇到的权限问题，大多是这个逻辑。

搞懂了核心逻辑，再跟大家说下 ACL 的几种常见类型，不用记那些复杂编号，搞懂用途就行，新手也能轻松分清，后续跟网管沟通也能说清需求：

第一种是基本 ACL，最基础的类型，只按来源拦。就像保安只看你是不是小区的人，不管你进去干嘛，比如 “禁止 192.168.20.X 这个网段的设备上外网”，不管这些设备要访问哪个网站，只要是这个网段的，一律拦着，配置起来很简单，适合简单的权限控制。

第二种是高级 ACL，比基本 ACL 精准多了，不光看来源，还看目的地和访问端口。比如 “允许销售部（192.168.10.X）访问公司官网（80 端口），但禁止访问财务服务器（8080 端口）”，既能满足销售部的工作需求，又能保护敏感数据，企业里用得最多。

第三种是二层 ACL，专门管局域网里的设备，看的是设备的 MAC 地址，相当于给每台设备办了张 “门禁卡”。比如办公室的公共打印机，只允许公司内部设备访问，外面的设备哪怕连了公司 WiFi，因为 MAC 地址不对，也用不了打印机，这就是二层 ACL 的实际用途，平时办公也经常能遇到。

讲完类型，再跟大家避避坑，这几个地方是新手最容易出错的，记好这些，以后跟网管沟通也能少走弯路，不用再一脸懵，也能快速排查简单问题：

第一个坑，忘了 “默认拒绝”。很多人以为，只要配置了允许的规则，没提到的就默认能过，其实不是这样。ACL 有个 “隐式拒绝” 的规矩，所有没匹配上任何规则的数据包，都会被默认丢弃。比如只配置 “允许财务部访问财务服务器”，没说其他部门能不能访问，那其他部门就都会被拦住。

第二个坑，规则顺序别搞反。比如先设 “允许所有设备上外网”，再设 “禁止销售部上外网”，那销售部还是能上外网 —— 因为数据包先匹配到 “允许所有” 的规则，后面的 “禁止” 就没用了。所以一定要把具体、严格的规则放前面，宽泛的规则放后面。

第三个坑，搞混 “入站” 和 “出站”。简单说，“入站” 就是数据进入设备，“出站” 就是数据离开设备。如果想拦着不让访问财务服务器，就得把规则配在 “入站” 方向，从源头拦住；要是配在 “出站” 方向，数据已经进入设备了，再拦就晚了，这一点一定要记牢。

很多人会把 ACL 和防火墙弄混，其实两者差别挺大，我跟大家简单说下，避免后续混淆：ACL 就是个基础 “守门人”，只负责放行和拦截，别的不管；防火墙就高级多了，不光能拦数据，还能检测数据有没有问题，比如有没有病毒，相当于 “高级保安 + 监控”，而且很多防火墙里，也会用到 ACL 的规则，两者是搭配使用的。这里也呼应下前面补充的误区，防火墙能检测病毒，而 ACL 只能辅助拦截病毒产生的广播包，没法杀毒。

最后再跟大家捋一捋，其实 ACL 真没那么难：它就是网络里的 “守门人”，核心是按规则管数据包的放行和拦截，分三种常见类型，记住 “自上而下执行” 和 “默认拒绝” 这两个关键点，避开前面说的三个小坑，应对平时办公的网络权限问题再了解下它和卡顿、病毒广播包的关联误区，就能轻松搞懂它的作用，应对平时办公的各类相关问题。

平时办公遇到 “能上外网不能访问内网服务器”“同事能访问我不能” 的情况，大概率就是 ACL 在起作用。不用懂复杂配置，只要知道它的核心逻辑，遇到问题能跟网管说清情况，就够了。下面给大家补个实操案例，遇到类似情况就能直接用，不用再手足无措，同时补充两个大家常问的误区，帮大家避开误区：

比如你在销售部，突然打不开公司的客户管理系统，但能正常上外网、访问部门共享文件夹，这基本就是 ACL 限制了。公司办公系统常用端口，网页类一般是 80 端口，业务系统一般是 8080 端口，IP 网段也按部门分，销售部大多是 192.168.10.X，业务系统多在 192.168.100.X 网段。你直接跟网管说 “我是销售部的，IP 大概 192.168.10.XX，打不开客户管理系统（192.168.100.50:8080），其他网络都正常，麻烦看看是不是 ACL 拦了”，网管很快就能找到问题，多半是没给销售部配访问这个系统端口的规则，加上就好，这样沟通也能节省双方时间。

这里补充两个大家常问的点，帮大家避开误区：

一是ACL 与上网卡顿：ACL 本身不能直接解决上网卡顿，但如果卡顿是因为部分设备滥用带宽（如下载、看视频）导致的，可通过 ACL 限制这类设备访问，间接缓解；但如果是带宽本身不足、路由器性能不够或者外网线路故障导致的卡顿，ACL 就起不到作用了。

二是ACL 与病毒广播包：如果网内有电脑中病毒、发送广播包，ACL 可以起到一定的拦截作用，但不能彻底解决问题。因为 ACL 能按广播包的来源 IP、端口拦截，阻止其扩散到整个网络、导致网络拥堵，但它没法检测出电脑是否中病毒，也不能清除病毒本身，想要彻底解决，还是得先排查出中病毒的电脑，进行杀毒处理。

学会这个小案例，再记住补充的两个误区，以后再遇到网络权限、卡顿或病毒广播包相关问题，就能快速判断、跟网管精准沟通，省不少时间，记得关注哦～