访问控制落在路上：AR 路由器 ACL 与流量过滤

“财务系统只允许财务部访问"“服务器网段不许被终端直连”——这类规则写在制度里没有执行力，落在网络设备的 ACL 上才真的拦得住。华为 AR 路由器的 ACL 配上接口的流量过滤，是内网分区管控的基本功。

ACL 先立规矩

基本 ACL（2000-2999）只认源地址，适合靠边放的过滤点；高级 ACL（3000-3999）五元组全认——源/目的地址、协议、源/目的端口，业务规则用它表达。示例：编号 3001，rule 5 permit tcp source 财务网段 destination 服务器段 destination-port eq 3389，再 rule 100 deny ip 任何到服务器段——先精确放行、尾部兜底拒绝，条目顺序就是命中顺序，写规则时从细到粗。

挂到接口才有用

ACL 建好只是草稿，traffic-filter 命令把它绑到接口方向才生效：traffic-filter inbound acl 3001 挂在接终端的口，或是流量进路由器的方向。方向选错是常见翻车点——过滤点离源越近，无效流量走得越少；但也要兼顾变更影响面，接入层挂细规则、汇聚层挂兜底，是常见的分层写法。

命名与注释是自救

ACL 编号上到几十条后，rule 5 是干什么的没人记得。写规则时同步加描述说明，编号段做部门或用途划分并写进运维文档——半年后接手的人能否读懂，决定这套规则是资产还是地雷。定期审计一遍命中数为零的条目，多数是业务下线后忘了删的残留。

命名与注释是自救

ACL 编号上到几十条后，rule 5 是干什么的没人记得。写规则时同步加描述说明，编号段做部门或用途划分并写进运维文档——半年后接手的人能否读懂，决定这套规则是资产还是地雷。定期审计一遍命中数为零的条目，多数是业务下线后忘了删的残留。

验证与运维

display acl 3001 看条目与命中计数，命中数不涨说明规则没挂对方向或被更早条目截胡；display traffic-filter applied-record 查应用记录。改规则走"先建新编号、观察、再切换"的灰度法，直接改在用 ACL 一条 deny 顺序写错就能断业务。贵州诚鑫致达科技帮客户做内网分区时，ACL 表和拓扑图放同一页文档维护——规则跟着分区走，制度才算真正落到了路上。

企业存储选型参考｜贵州诚鑫致达

做机架式部署与数据中心扩容，群晖机型参考：RS2423RP+ · RS1221+ · RS822+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。