# 添加网络ACL规则 #### 操作场景 您可以在网络ACL中添加入方向和出方向规则，用于控制流入和流出子网的流量。添加网络ACL规则时，您可以使用系统默认的规则生效顺序，也可以指定规则生效顺序，详细如下： - [添加网络ACL规则（默认生效顺序）]：系统会按照规则添加的时间生成生效顺序，先添加的规则排序靠前，即优先匹配流量，不支持您指定生效顺序。 如[表1]所示，网络ACL入方向中已有两条自定义规则（规则A、规则B）和一条默认规则，自定义规则A的生效顺序为1，自定义规则B的生效顺序为2，默认规则的生效顺序排在末尾。此时添加规则C，则系统指定规则C的生效顺序为3，生效顺序晚于规则A和规则B，高于默认规则。 表1规则排序示例说明（默认生效顺序） | 添加规则C前的排序情况 || 添加规则C后的排序情况 || |:---|---|:---|---| | 自定义规则A | 1 | 自定义规则A | 1 | | -- | -- | 自定义规则B | 2 | | 自定义规则B | 2 | **自定义规则C** | **3** | | 默认规则 | \* | 默认规则 | \* | - [添加网络ACL规则（自定义生效顺序）]：如果您新增的网络ACL规则生效顺序需要早于或者晚于已有的某条规则，则可以在对应规则前面或者后面插入新的规则。 如[表2]所示，网络ACL入方向中已有两条自定义规则（规则A、规则B）和一条默认规则，自定义规则A的生效顺序为1，自定义规则B的生效顺序为2，默认规则的生效顺序排在末尾。比如，当新增规则C的生效顺序需要高于规则B时，则可以在规则B前面插入规则C。规则C添加完成后，规则C的生效顺序为2，规则B的生效顺序顺延为3，规则C的生效顺序高于规则B。 表2规则排序示例说明（自定义生效顺序） | 插入规则C前的排序情况 || 插入规则C后的排序情况 || |:---|---|:---|---| | 自定义规则A | 1 | 自定义规则A | 1 | | -- | -- | **自定义规则C** | **2** | | 自定义规则B | 2 | 自定义规则B | 3 | | 默认规则 | \* | 默认规则 | \* | #### 约束与限制 建议一个网络ACL单方向拥有的规则数量不要超过100条，否则会引起网络ACL性能下降。 #### 操作步骤 - [添加网络ACL规则（默认生效顺序）] 1. 进入[网络ACL列表页面](https://console.huaweicloud.com/vpc/?locale=zh-cn#/vpc/firewalls/list)。 2. 在网络ACL列表中，单击网络ACL名称。 进入网络ACL详情页。 3. 在"入方向规则"或者"出方向规则"页签，单击"添加规则"。 弹出"添加入方向规则"或者"添加出方向规则"对话框。 4. 据界面提示，设置入方向或者出方向规则参数。 - 单击![](https://support.huaweicloud.com/usermanual-vpc/zh-cn_image_0000001894013542.png)，可以依次增加多条规则。 - 单击网络ACL规则操作列下的"复制"，复制已有的网络ACL规则。 表3参数说明 | 参数 | 参数说明 | 取值样例 | |:---|:---|:---| | 类型 | 规则支持的IP地址类型，如下： - IPv4 - IPv6 | IPv4 | | 策略 | 网络ACL规则策略，支持的策略如下： - 如果"策略"设置为允许，表示允许成功匹配规则的流量流入或者流出子网。 - 如果"策略"设置为拒绝，表示拒绝成功匹配规则的流量流入或者流出子网。 | 允许 | | 协议 | 网络ACL规则中用来匹配流量的网络协议类型，支持TCP、UDP、ICMP协议。 | TCP | | 源地址 | 源地址用来匹配流量的来源网址，支持以下格式： - IP地址：表示源地址为某个固定的IP地址。 - 单个IP地址：IP地址/掩码。 单个IPv4地址示例为192.168.10.10/32。 单个IPv6地址示例为2002:50::44/128。 - IP网段：IP地址/掩码。 IPv4网段示例为192.168.52.0/24。 IPv6网段示例为2407:c080:802:469::/64。 - 所有IP地址： 0.0.0.0/0表示匹配所有IPv4地址。 ::/0表示匹配所有IPv6地址。 - IP地址组：表示源地址为一个IP地址组，IP地址组是一个或者多个IP地址的集合。您可以在下拉列表中，选择可用的IP地址组。对于安全策略相同的IP网段和IP地址，此处建议您使用IP地址组简化管理。 同一个网络ACL规则中，源地址和目的地址只能有一方可以使用IP地址组。例如，源地址使用了IP地址组，则目的地址不能使用IP地址组。 如果没有可用的IP地址组，请您参见[创建IP地址组](https://support.huaweicloud.com/usermanual-vpc/vpc_IPAddressGroup_0003.html)进行创建。 | 192.168.0.0/24 | | 源端口范围 | 网络ACL规则中用来匹配流量的源端口，取值范围为：1～65535。 端口填写支持下格式： - 单个端口：例如22 - 连续端口：例如22-30 - 多个端口：例如22,24-30，一次最多支持20个不连续端口组， 端口组之间不能重复。 - 全部端口：为空或1-65535 | 22-30 | | 目的地址 | 目的地址用来匹配流量的目的网址，支持以下格式： - IP地址：表示目的地址为某个固定的IP地址。 - 单个IP地址：IP地址/掩码。 单个IPv4地址示例为192.168.10.10/32。 单个IPv6地址示例为2002:50::44/128。 - IP网段：IP地址/掩码。 IPv4网段示例为192.168.52.0/24。 IPv6网段示例为2407:c080:802:469::/64。 - 所有IP地址： 0.0.0.0/0表示匹配所有IPv4地址。 ::/0表示匹配所有IPv6地址。 - IP地址组：表示目的地址为一个IP地址组，IP地址组是一个或者多个IP地址的集合。您可以在下拉列表中，选择可用的IP地址组。对于安全策略相同的IP网段和IP地址，此处建议您使用IP地址组简化管理。 同一个网络ACL规则中，源地址和目的地址只能有一方可以使用IP地址组。例如，源地址使用了IP地址组，则目的地址不能使用IP地址组。 如果没有可用的IP地址组，请您参见[创建IP地址组](https://support.huaweicloud.com/usermanual-vpc/vpc_IPAddressGroup_0003.html)进行创建。 | 0.0.0.0/0 | | 目的端口范围 | 网络ACL规则中用来匹配流量的目的端口，取值范围为：1～65535。 端口填写支持下格式： - 单个端口：例如22 - 连续端口：例如22-30 - 多个端口：例如22,23-30，一次最多支持20个不连续端口组， 端口组之间不能重复。 - 全部端口：为空或1-65535 | 22-30 | | 描述 | 网络ACL规则的描述信息，非必填项。 描述信息内容不能超过255个字符，且不能包含\<、\>符号。 | - | 5. 规则设置完成后，单击"确定"。 返回规则列表，可以查看添加的规则。 - 规则按照添加时间自动排序，先添加的规则排序靠前，优先匹配流量。 - 新添加的规则，状态为"启用"，表示规则生效。 - [添加网络ACL规则（自定义生效顺序）] 1. 进入[网络ACL列表页面](https://console.huaweicloud.com/vpc/?locale=zh-cn#/vpc/firewalls/list)。 2. 在网络ACL列表中，单击网络ACL名称。 进入网络ACL详情页。 3. 根据需求选择"入方向规则"或者"出方向规则"页签，在指定位置插入新规则。 - 选择目标网络ACL规则所在行的操作列下的"更多 \> 向前插规则"，则新规则生效顺序早于当前规则。 - 选择目标网络ACL规则所在行的操作列下的"更多 \> 向后插规则"，则新规则生效顺序晚于当前规则。