添加网络ACL规则（默认生效顺序）

操作场景

您可以在网络ACL中添加入方向和出方向规则，用于控制流入和流出子网的流量。

通过以下操作添加网络ACL规则时，系统会按照规则添加的先后顺序生成优先级，先添加的规则排序靠前，即优先匹配流量，不支持您指定优先级。

如表1所示，网络ACL入方向中已有两条自定义规则（规则A、规则B）和一条默认规则，自定义规则A的优先级为1，自定义规则B的优先级为2，默认规则的优先级最低。此时添加规则C，则系统指定规则C的优先级为3，生效顺序晚于规则A和规则B，高于默认规则。

如果系统默认生成的优先级不满足您的使用要求，则您可以参考添加网络ACL规则（自定义生效顺序），自定义新增网络ACL规则的生效顺序。

约束与限制

建议一个网络ACL单方向拥有的规则数量不要超过100条，否则会引起网络ACL性能下降。

操作步骤

1. 登录管理控制台。

2. 在管理控制台左上角单击，选择区域和项目。
3. 在页面左上角单击图标，打开服务列表，选择“网络 > 虚拟私有云”。

   进入虚拟私有云列表页面。

4. 在左侧导航栏中，选择“访问控制 > 网络ACL”。

   进入网络ACL列表页面。

5. 在网络ACL列表中，单击网络ACL名称。

   进入网络ACL详情页。

6. 在“入方向规则”或者“出方向规则”页签，单击“添加规则”。

   弹出“添加入方向规则”或者“添加出方向规则”对话框。

7. 据界面提示，设置入方向或者出方向规则参数。
   • 单击，可以依次增加多条规则。
   • 单击网络ACL规则操作列下的“复制”，复制已有的网络ACL规则。

   表2 参数说明

   参数	参数说明	取值样例
   类型	规则支持的IP地址类型，如下： IPv4 IPv6	IPv4
   策略	网络ACL规则策略，支持的策略如下： 如果“策略”设置为允许，表示允许成功匹配规则的流量流入或者流出子网。 如果“策略”设置为拒绝，表示拒绝成功匹配规则的流量流入或者流出子网。	允许
   协议	网络ACL规则中用来匹配流量的网络协议类型，支持TCP、UDP、ICMP协议。	TCP
   源地址	源地址用来匹配流量的来源网址，支持以下格式： IP地址：表示源地址为某个固定的IP地址。 单个IP地址：IP地址/掩码。 单个IPv4地址示例为192.168.10.10/32。 单个IPv6地址示例为2002:50::44/128。 IP网段：IP地址/掩码。 IPv4网段示例为192.168.52.0/24。 IPv6网段示例为2407:c080:802:469::/64。 所有IP地址： 0.0.0.0/0表示匹配所有IPv4地址。 ::/0表示匹配所有IPv6地址。 IP地址组：表示源地址为一个IP地址组，IP地址组是一个或者多个IP地址的集合。您可以在下拉列表中，选择可用的IP地址组。对于安全策略相同的IP网段和IP地址，此处建议您使用IP地址组简化管理。 同一个网络ACL规则中，源地址和目的地址只能有一方可以使用IP地址组。例如，源地址使用了IP地址组，则目的地址不能使用IP地址组。	192.168.0.0/24
   源端口范围	网络ACL规则中用来匹配流量的源端口，取值范围为：1～65535。 端口填写支持下格式： 单个端口：例如22 连续端口：例如22-30 多个端口：例如22,24-30，一次最多支持20个不连续端口组， 端口组之间不能重复。 全部端口：为空或1-65535	22-30
   目的地址	目的地址用来匹配流量的目的网址，支持以下格式： IP地址：表示目的地址为某个固定的IP地址。 单个IP地址：IP地址/掩码。 单个IPv4地址示例为192.168.10.10/32。 单个IPv6地址示例为2002:50::44/128。 IP网段：IP地址/掩码。 IPv4网段示例为192.168.52.0/24。 IPv6网段示例为2407:c080:802:469::/64。 所有IP地址： 0.0.0.0/0表示匹配所有IPv4地址。 ::/0表示匹配所有IPv6地址。 IP地址组：表示目的地址为一个IP地址组，IP地址组是一个或者多个IP地址的集合。您可以在下拉列表中，选择可用的IP地址组。对于安全策略相同的IP网段和IP地址，此处建议您使用IP地址组简化管理。 同一个网络ACL规则中，源地址和目的地址只能有一方可以使用IP地址组。例如，源地址使用了IP地址组，则目的地址不能使用IP地址组。	0.0.0.0/0
   目的端口范围	网络ACL规则中用来匹配流量的目的端口，取值范围为：1～65535。 端口填写支持下格式： 单个端口：例如22 连续端口：例如22-30 多个端口：例如22,23-30，一次最多支持20个不连续端口组， 端口组之间不能重复。 全部端口：为空或1-65535	22-30
   描述	网络ACL规则的描述信息，非必填项。 描述信息内容不能超过255个字符，且不能包含<、>符号。	-

8. 规则设置完成后，单击“确定”。

   返回规则列表，可以查看添加的规则。

   • 系统会按照规则添加的先后顺序生成优先级，先添加的规则排序靠前，优先匹配流量。
   • 新添加的规则，状态为“启用”，表示规则生效。