# CloudDCN专用网络ACL概述 #### CloudDCN专用网络ACL CloudDCN专用网络ACL是一个子网级别的可选安全防护层，您可以在CloudDCN专用网络ACL中设置入方向和出方向规则，并将CloudDCN专用网络ACL绑定至CloudDCN子网，可以精准控制出入CloudDCN子网的流量。 #### CloudDCN专用网络ACL规则 - CloudDCN专用网络ACL中包括入方向规则和出方向规则，用来控制CloudDCN子网入方向和出方向的网络流量。 - 入方向规则：控制外部请求访问CloudDCN子网内的实例，即流量流入CloudDCN子网。 - 出方向规则：控制CloudDCN子网内实例访问外部的请求，即流量流出CloudDCN子网。 - CloudDCN专用网络ACL规则由协议、源端口/目的端口、源地址/目的地址等组成，关键信息说明如下： - 生效顺序：CloudDCN专用网络ACL规则按照生效顺序依次排列，序号越小，排序越靠前，表示流量优先匹配该规则。 默认CloudDCN专用网络ACL规则的序号为\*，排在末尾，表示流量最后匹配该规则。 - 状态：CloudDCN专用网络ACL规则有"启用"和"停用"状态。启用时，CloudDCN专用网络ACL规则生效，停用时，CloudDCN专用网络ACL规则不生效。 - 策略：支持允许或拒绝。当流量的协议、源端口/目的端口、源地址/目的地址成功匹配某个CloudDCN专用网络ACL规则后，会对流量执行规则对应的策略，允许或拒绝流量。 - 协议：匹配流量的网络协议类型，支持TCP、UDP、ICMP协议。 - 源地址/目的地址：匹配流量的源地址或者目的地址。 - 源端口范围/目的端口范围：匹配流量的源端口或者目的端口，取值范围为1～65535。 #### CloudDCN专用网络ACL及规则的工作原理 - CloudDCN专用网络ACL创建完成后，需要将CloudDCN专用网络ACL关联至目标CloudDCN子网，CloudDCN专用网络ACL规则才能控制出入该CloudDCN子网的流量。CloudDCN专用网络ACL可以同时关联多个CloudDCN子网，但一个CloudDCN子网只能关联一个CloudDCN专用网络ACL。 - CloudDCN专用网络ACL是无状态的。如果您从实例发送一个出站请求，且该CloudDCN专用网络ACL的出方向规则是放通的话，那么您还需要放通入方向规则，才会允许该出站请求的响应流量流入。同理，如果该CloudDCN专用网络ACL的入方向规则是放通的，那还需要放通出方向规则，才会允许该入站请求的响应流量流出。 - 在CloudDCN专用网络ACL中，存在如[表1]所示的默认规则。当CloudDCN专用网络ACL中没有其他允许流量出入的自定义规则时，则匹配默认规则，拒绝任何流量流入或流出CloudDCN子网。在您将CloudDCN专用网络ACL关联至目标CloudDCN子网时，请确保已添加自定义规则放通业务流量，或者CloudDCN子网内无实际业务，避免默认规则造成业务流量中断。 表1CloudDCN专用网络ACL默认规则说明 | 方向 | 生效顺序 | 策略 | 协议 | 源地址 | 源端口范围 | 目的地址 | 目的端口范围 | |:---|:---|:---|:---|:---|:---|:---|:---| | 入方向 | \* | 拒绝 | 全部 | 0.0.0.0/0 | 全部 | 0.0.0.0/0 | 全部 | | 出方向 | \* | 拒绝 | 全部 | 0.0.0.0/0 | 全部 | 0.0.0.0/0 | 全部 | - CloudDCN专用网络ACL规则不会匹配筛选[表2]中的流量，即对应的流量被允许流入或者流出CloudDCN子网，不受CloudDCN专用网络ACL默认规则以及自定义规则限制。 表2不受CloudDCN专用网络ACL规则限制的流量 | 方向 | 规则说明 | |:---|:---| | 入方向 | 放通当前CloudDCN子网内的流量，即允许同一个CloudDCN子网内实例互通。 | | 入方向 | 放通目的地址为255.255.255.255/32的广播流量。 | | 入方向 | 放通目的地址为224.0.0.0/24的组播流量。 | | 出方向 | 放通当前CloudDCN子网内的流量，即允许同一个CloudDCN子网内实例互通。 | | 出方向 | 放通目的地址为255.255.255.255/32的广播流量。 | | 出方向 | 放通目的地址为224.0.0.0/24的组播流量。 | | 出方向 | 放通基于TCP协议，目的地址为169.254.169.254/32 ，目的端口为80的云服器元数据(metadata)流量。 | | 出方向 | 放通目的地址为100.125.0.0/16的流量，该网段是云上公共服务预留地址，比如DNS服务器地址、NTP服务器地址等。 | #### 流量匹配CloudDCN专用网络ACL规则的顺序 一个CloudDCN子网只能绑定一个CloudDCN专用网络ACL，当CloudDCN专用网络ACL存在多条规则时，流量按照规则的生效顺序进行匹配。序号越小，排序越靠前，越先执行该规则。默认CloudDCN专用网络ACL规则的序号为\*，排在末尾，流量最后匹配该规则。 以入方向的流量为例，CloudDCN子网的网络流量将按照以下原则匹配CloudDCN专用网络ACL规则，入方向和出方向的流量匹配顺序相同。 - 当流量匹配上自定义规则，则根据规则策略决定流量走向。 - 当策略为拒绝时，则拒绝该流量流入CloudDCN子网。 - 当策略为允许时，则允许该流量流入CloudDCN子网。 - 当流量未匹配上任何自定义规则，则执行默认规则，拒绝流量流入CloudDCN子网。 图1CloudDCN专用网络ACL匹配顺序 ![](https://support.huaweicloud.com/usermanual-clouddc/zh-cn_image_0000002128685334.png) #### CloudDCN专用网络ACL配置流程 图2CloudDCN专用网络ACL配置流程 ![](https://support.huaweicloud.com/usermanual-clouddc/zh-cn_image_0000002164045165.png) 表3CloudDCN专用网络ACL配置流程说明 | 序号 | 步骤 | 说明 | 操作指导 | |:---|:---|:---|:---| | 1 | 创建CloudDCN专用网络ACL | CloudDCN专用网络ACL创建完成后，自带入方向和出方向默认规则，拒绝出入CloudDCN子网的流量。 | [创建CloudDCN专用网络ACL](https://support.huaweicloud.com/usermanual-clouddc/clouddc_01_0040.html) | | 2 | 配置CloudDCN专用网络ACL规则 | CloudDCN专用网络ACL默认规则不支持删除和修改，您需要根据业务需求添加自定义规则，用于控制流入或流出CloudDCN子网的流量，流量将会优先匹配自定义规则。 | [添加CloudDCN专用网络ACL规则](https://support.huaweicloud.com/usermanual-clouddc/clouddc_01_0041.html) | | 3 | 将CloudDCN子网关联至CloudDCN专用网络ACL | 您需要将CloudDCN子网关联至CloudDCN专用网络ACL，并且当CloudDCN专用网络ACL状态为"已开启"时，CloudDCN专用网络ACL规则会对出入CloudDCN子网的流量生效。 一个CloudDCN子网只能关联一个CloudDCN专用网络ACL。 | [将CloudDCN子网关联至CloudDCN专用网络ACL](https://support.huaweicloud.com/usermanual-clouddc/clouddc_01_0046.html) | #### CloudDCN专用网络ACL的使用限制 - 在一个区域内，单个用户默认最多可以创建5个CloudDCN专用网络ACL。 - 建议一个CloudDCN专用网络ACL单方向拥有的规则数量不要超过40条，否则会引起CloudDCN专用网络ACL性能下降。