# 添加CloudDCN专用网络ACL规则 #### 操作场景 您可以在CloudDCN专用网络ACL中添加入方向和出方向规则，用于控制流入和流出CloudDCN子网的流量。添加CloudDCN专用网络ACL规则时，您可以使用系统默认的规则生效顺序，也可以指定规则生效顺序，详细如下： - [添加CloudDCN专用网络ACL规则（默认生效顺序）]：系统会按照规则添加的时间生成生效顺序，先添加的规则排序靠前，即优先匹配流量，不支持您指定生效顺序。 如[表1]所示，CloudDCN专用网络ACL入方向中已有两条自定义规则（规则A、规则B）和一条默认规则，自定义规则A的生效顺序为1，自定义规则B的生效顺序为2，默认规则的生效顺序排在末尾。此时添加规则C，则系统指定规则C的生效顺序为3，生效顺序晚于规则A和规则B，高于默认规则。 表1规则排序示例说明（默认生效顺序） | 添加规则C前的排序情况 || 添加规则C后的排序情况 || |:---|---|:---|---| | 自定义规则A | 1 | 自定义规则A | 1 | | -- | -- | 自定义规则B | 2 | | 自定义规则B | 2 | **自定义规则C** | **3** | | 默认规则 | \* | 默认规则 | \* | - [添加CloudDCN专用网络ACL规则（自定义生效顺序）]：如果您新增的CloudDCN专用网络ACL规则生效顺序需要早于或者晚于已有的某条规则，则可以在对应规则前面或者后面插入新的规则。 如[表2]所示，CloudDCN专用网络ACL入方向中已有两条自定义规则（规则A、规则B）和一条默认规则，自定义规则A的生效顺序为1，自定义规则B的生效顺序为2，默认规则的生效顺序排在末尾。比如，当新增规则C的生效顺序需要高于规则B时，则可以在规则B前面插入规则C。规则C添加完成后，规则C的生效顺序为2，规则B的生效顺序顺延为3，规则C的生效顺序高于规则B。 表2规则排序示例说明（自定义生效顺序） | 插入规则C前的排序情况 || 插入规则C后的排序情况 || |:---|---|:---|---| | 自定义规则A | 1 | 自定义规则A | 1 | | -- | -- | **自定义规则C** | **2** | | 自定义规则B | 2 | 自定义规则B | 3 | | 默认规则 | \* | 默认规则 | \* | #### 约束与限制 建议一个CloudDCN专用网络ACL单方向拥有的规则数量不要超过40条，否则会引起CloudDCN专用网络ACL性能下降。 #### 添加CloudDCN专用网络ACL规则（默认生效顺序） 1. 进入[网络ACL列表页面](https://console.huaweicloud.com/vpc/?locale=zh-cn#/vpc/firewalls/list)。 2. 在网络ACL列表中，单击网络ACL名称。 进入网络ACL详情页。 3. 在"入方向规则"或者"出方向规则"页签，单击"添加规则"。 弹出"添加入方向规则"或者"添加出方向规则"对话框。 4. 据界面提示，设置入方向或者出方向规则参数。 - 单击![](https://support.huaweicloud.com/usermanual-clouddc/zh-cn_image_0000002163893893.png)，可以依次增加多条规则。 - 单击网络ACL规则操作列下的"复制"，复制已有的网络ACL规则。 表3参数说明 | 参数 | 参数说明 | 取值样例 | |:---|:---|:---| | 策略 | CloudDCN专用网络ACL规则策略，支持的策略如下： - 如果"策略"设置为允许，表示允许成功匹配规则的流量流入或者流出CloudDCN子网。 - 如果"策略"设置为拒绝，表示拒绝成功匹配规则的流量流入或者流出CloudDCN子网。 | 允许 | | 协议 | CloudDCN专用网络ACL规则中用来匹配流量的网络协议类型，支持TCP、UDP、ICMP协议。 | TCP | | 源地址 | 源地址用来匹配流量的来源网址，支持以下格式： - 单个IP地址：IP地址/掩码。 单个IPv4地址示例为192.168.10.10/32。 - IP网段：IP地址/掩码。 IPv4网段示例为192.168.52.0/24。 - 所有IP地址： 0.0.0.0/0表示匹配所有IPv4地址。 | 192.168.0.0/24 | | 源端口范围 | CloudDCN专用网络ACL规则中用来匹配流量的源端口，取值范围为：1～65535。 端口填写支持下格式： - 单个端口：例如22 - 连续端口：例如22-30 - 全部端口：为空或1-65535 | 22-30 | | 目的地址 | 目的地址用来匹配流量的目的网址，支持以下格式： - 单个IP地址：IP地址/掩码。 单个IPv4地址示例为192.168.10.10/32。 - IP网段：IP地址/掩码。 IPv4网段示例为192.168.52.0/24。 - 所有IP地址： 0.0.0.0/0表示匹配所有IPv4地址。 | 0.0.0.0/0 | | 目的端口范围 | CloudDCN专用网络ACL规则中用来匹配流量的目的端口，取值范围为：1～65535。 端口填写支持下格式： - 单个端口：例如22 - 连续端口：例如22-30 - 全部端口：为空或1-65535 | 22-30 | | 描述 | CloudDCN专用网络ACL规则的描述信息，非必填项。 描述信息内容不能超过255个字符，且不能包含\<、\>符号。 | - | 5. 规则设置完成后，单击"确定"。 返回规则列表，可以查看添加的规则。 - 规则按照添加时间自动排序，先添加的规则排序靠前，优先匹配流量。 - 新添加的规则，状态为"启用"，表示规则生效。 #### 添加CloudDCN专用网络ACL规则（自定义生效顺序） 1. 进入[网络ACL列表页面](https://console.huaweicloud.com/vpc/?locale=zh-cn#/vpc/firewalls/list)。 2. 在网络ACL列表中，单击网络ACL名称。 进入网络ACL详情页。 3. 根据需求选择"入方向规则"或者"出方向规则"页签，在指定位置插入新规则。 - 选择目标CloudDCN专用网络ACL规则所在行的操作列下的"更多 \> 向前插规则"，则新规则生效顺序早于当前规则。 - 选择目标CloudDCN专用网络ACL规则所在行的操作列下的"更多 \> 向后插规则"，则新规则生效顺序晚于当前规则。