ACL 正反例与命中验证

学完能做什么

把访问矩阵转成可重复的允许、拒绝和管理保活测试。

真实工作场景

访客 ACL 已发布，但只测试了能访问互联网，没有证明内部财务和管理网确实被拒绝。

前置知识

开始前应掌握以下知识：用访问矩阵设计 ACL。

核心概念

核心原理：每条关键策略至少需要一个应允许和一个应拒绝的测试，测试源、目标、协议和方向必须与规则一致。

数据转发过程或状态变化

清零或记录命中基线，执行单一测试流，观察对应规则计数变化，再核对业务结果和日志。

最小示例

在隔离实验环境中只选择一个业务 VLAN、一个目标接口或一条测试路径完成“ACL 正反例与命中验证”最小任务，记录变更前状态、操作和变更后输出。

验证方法

建立源区域、目标服务、预期、实际、规则编号和命中增量表，覆盖 DNS、DHCP、管理和关键业务。

常见误区与故障

用 Ping 代表所有 TCP/UDP 业务会产生错误结论；只看规则存在不证明应用方向正确。

小结

处理“ACL 正反例与命中验证”时，应始终把业务目标、工作原理、设备状态、验证证据和回滚条件连成完整闭环。

随堂练习

完成题目后说明判断依据，并指出需要采集的设备证据。

• ACL 验收为什么需要拒绝测试？
• 规则计数不增长可能有哪些原因？
• Ping 成功是否证明 HTTPS 一定可用？

关联命令、闯关和案例

从本文关联内容进入对应命令主题，完成一次受控模拟闯关，再在阶段案例中提交配置、验证和回滚记录。

下一步学习建议

完成本文后进入本阶段下一项命令辨识或闯关，使用“ACL 正反例与命中验证”中的验证方法独立复核结果。