看到下面这条 ACL 时，很多人在考试里会凭直觉把它理解成「允许主机 `10.0.0.10` 访问任意 Web 服务器」

```text
permit tcp host 10.0.0.10 eq www any
```

这个理解并不正确。

真正决定答案的地方，是 `eq www` 出现的位置。

按照 Cisco 扩展 IPv4 ACL 的语法，TCP 端口条件既可以跟在源地址后面，也可以跟在目的地址后面。跟在源地址后面，它限制的是源端口。跟在目的地址后面，它限制的才是目的端口。Cisco IOS XE 的官方 ACL 语法明确采用下面这种排列方式 [cisco.com](https://www.cisco.com/c/en/us/td/docs/switches/lan/c9000/security/acls/acls-configuration-guide/access-control-lists.html?utm_source=chatgpt.com)

```text
permit tcp 源地址 [源端口条件] 目的地址 [目的端口条件]
```

因此

```text
permit tcp host 10.0.0.10 eq www any
```

应该按照下面的顺序阅读

```text
permit
tcp
host 10.0.0.10
eq www
any
```

其中 `host 10.0.0.10` 是源 IP 地址条件，紧跟在它后面的 `eq www` 自然属于源端口条件，最后的 `any` 才是目的 IP 地址条件。

所以，这条 ACL 的完整含义应该理解为

允许源 IP 地址为 `10.0.0.10`，源 TCP 端口为 `www` 对应端口，也就是 TCP `80`，目的 IP 地址任意，并且目的 TCP 端口任意的 TCP 数据包通过。

如果把它写成更接近五元组的形式，就是

```text
Protocol        TCP
Source IP       10.0.0.10
Source Port     80
Destination IP  Any
Destination Port Any
Action          Permit
```

这里最关键的一句话可以直接记住

> `eq www` 位于源地址 `10.0.0.10` 后面，所以匹配的是源端口 `80`，不是目的端口 `80`。

这道题真正考察的并不是 `www` 是什么，而是扩展 ACL 中源端口和目的端口的位置关系。

`www` 在这里是 TCP 端口的名字。IANA 的 Service Name and Transport Protocol Port Number Registry 中，`www`、`http` 与 TCP `80` 都对应 World Wide Web HTTP。Cisco CLI 也长期允许在 ACL 中使用 `www` 这样的服务名称代替数字端口。 [IANA](https://www.iana.org/assignments/service-names-port-numbers?search=1\&utm_source=chatgpt.com)

因此

```text
eq www
```

在这条 TCP ACL 中可以近似理解为

```text
eq 80
```

原语句也就可以在脑中展开成

```text
permit tcp host 10.0.0.10 eq 80 any
```

再按照源地址、源端口、目的地址、目的端口的顺序阅读，就很难再看错。

这里还有一个很容易踩中的坑。

如果题目真正想表达的是

允许 `10.0.0.10` 访问任意 Web 服务器的 HTTP 服务

那么 ACL 应该更接近下面这样

```text
permit tcp host 10.0.0.10 any eq www
```

仔细比较两条语句

```text
permit tcp host 10.0.0.10 eq www any
```

和

```text
permit tcp host 10.0.0.10 any eq www
```

表面只移动了一小段 `eq www`，语义却完全不同。

第一条可以展开为

```text
源 IP       10.0.0.10
源端口      80
目的 IP     任意
目的端口    任意
```

第二条可以展开为

```text
源 IP       10.0.0.10
源端口      任意
目的 IP     任意
目的端口    80
```

而普通浏览器主动访问 HTTP 网站时，正常的数据包恰恰更接近第二种形式。

假设一台工作站地址为 `10.0.0.10`，浏览器访问地址为 `203.0.113.20` 的 HTTP Web 服务器。TCP 建立连接时，客户端通常不会把本地源端口也设置成 `80`，而是选择一个临时端口，也就是常说的 ephemeral port。

实际流量可能类似

```text
10.0.0.10:52341 -> 203.0.113.20:80
```

这里

```text
源 IP       10.0.0.10
源端口      52341
目的 IP     203.0.113.20
目的端口    80
```

如果 ACL 是

```text
permit tcp host 10.0.0.10 eq www any
```

那么路由器会检查

```text
源 IP 是否等于 10.0.0.10
```

结果成立。

接着检查

```text
源 TCP 端口是否等于 80
```

结果不成立，因为实际源端口是 `52341`。

因此这条数据包并不会因为该 ACL 条目而得到匹配。

这正是考试题最喜欢设置的视觉陷阱。看到 `www`，大脑很容易自动联想到访问 Web 服务器，于是把 `80` 当成目的端口。但网络设备并不会根据人的语义习惯理解命令，解析器完全按照字段的位置处理。

反过来看，假设 `10.0.0.10` 本身是一台 HTTP Web 服务器，并且某台客户端已经与它建立连接。

客户端可能使用

```text
192.168.1.50:49172
```

连接服务器

```text
10.0.0.10:80
```

客户端发往服务器的 TCP 报文可能是

```text
192.168.1.50:49172 -> 10.0.0.10:80
```

而 Web 服务器返回的数据包则会变成

```text
10.0.0.10:80 -> 192.168.1.50:49172
```

这时再看原来的 ACL

```text
permit tcp host 10.0.0.10 eq www any
```

服务器返回报文的源 IP 是

```text
10.0.0.10
```

符合。

源端口是

```text
80
```

也符合。

目的地址 `192.168.1.50` 又属于 `any`。

目的端口 `49172` 没有受到任何限制。

因此这种由 `10.0.0.10` 的 TCP `80` 端口发出的服务器方向流量，能够匹配该 ACL 条目。

从这个角度看，这条规则更像是在匹配

`10.0.0.10` 作为 TCP `80` 服务端向外发送的数据包

而不是

`10.0.0.10` 作为普通客户端主动访问互联网上 TCP `80` 服务的数据包。

理解到这里，就可以把 Cisco 扩展 ACL 看成一个非常简单的数据包模式匹配器。

一个 IPv4 TCP 数据包里，至少有几个与这种 ACL 直接相关的重要字段

```text
源 IP 地址
目的 IP 地址
IP Protocol
TCP Source Port
TCP Destination Port
TCP Flags
```

ACL 并不会因为看到 `www` 就认为某个程序正在进行网页浏览。它只是把 `www` 转成对应的端口值，再与 TCP 首部中的 Source Port 或 Destination Port 字段比较。

究竟比较哪一个字段，完全取决于 `eq www` 被写在源地址之后，还是目的地址之后。

这也是学习 ACL 时非常有用的一种思维方式，不要把命令看成一句自然语言，而要把它转换成数据包字段。

原规则

```text
permit tcp host 10.0.0.10 eq www any
```

可以直接转换成逻辑判断

```text
if protocol == TCP
and source_ip == 10.0.0.10
and source_port == 80
and destination_ip == any
and destination_port == any
then permit
```

看到这种形式，规则的含义基本就不会产生歧义了。

再看另一条

```text
permit tcp host 10.0.0.10 any eq www
```

对应的是

```text
if protocol == TCP
and source_ip == 10.0.0.10
and source_port == any
and destination_ip == any
and destination_port == 80
then permit
```

两者差异非常清楚。

前者要求

```text
Source Port = 80
```

后者要求

```text
Destination Port = 80
```

这两个字段在 TCP Header 中本来就是两个独立的 `16 bit` 字段。

TCP 首部开头就是

```text
0                   15 16                  31
+---------------------+---------------------+
|     Source Port     |  Destination Port   |
+---------------------+---------------------+
```

两个字段各占 `16 bit`，因此端口号范围可以覆盖 `0` 到 `65535`。ACL 中出现端口比较操作符时，路由器所做的工作，本身就是拿规则中的端口条件去匹配这里的相应字段。

`eq` 只是这些端口比较操作符中的一种。

Cisco ACL 中经常还能看到

```text
eq
lt
gt
neq
range
```

其中 `eq` 表示相等。

因此

```text
eq 80
```

就是端口必须等于 `80`。

`lt 1024` 表示端口小于 `1024`。

`gt 1024` 表示端口大于 `1024`。

`neq 23` 表示端口不等于 `23`。

`range 20 21` 表示端口落在包含边界的区间内。

真正需要牢牢记住的仍然不是这些英文缩写，而是操作符出现的位置。

Cisco IOS XE 当前 ACL 配置文档明确说明，当 operator 与 port 放在 source 与 source wildcard 之后时，它用于比较源端口，而放在 destination 与 destination wildcard 之后时，则用于比较目的端口。 [Cisco](https://www.cisco.com/c/en/us/td/docs/switches/lan/c9000/security/acls/acls-configuration-guide/access-control-lists.html?utm_source=chatgpt.com)

因此看到

```text
permit tcp any eq 80 any
```

应该马上想到

```text
源端口 = 80
```

看到

```text
permit tcp any any eq 80
```

则应该想到

```text
目的端口 = 80
```

这是一种非常适合考试的快速识别方法。

再回到 `host`。

原 ACL 中出现

```text
host 10.0.0.10
```

`host` 表示精确匹配一个 IPv4 主机地址。

在传统扩展 ACL 写法中，它也可以理解为下面这种写法的简化形式

```text
10.0.0.10 0.0.0.0
```

因为 wildcard mask 为 `0.0.0.0` 时，所有地址位都必须精确匹配。

所以

```text
host 10.0.0.10
```

不是 `10.0.0.0/24` 网络，也不是整个 `10.0.0.0` 网段，而只是一台地址恰好为

```text
10.0.0.10
```

的主机。

后面的

```text
any
```

则表示任意 IPv4 地址。

传统 ACL 语法中，它大致等价于

```text
0.0.0.0 255.255.255.255
```

因此原语句的地址范围并不复杂，它就是

```text
Source IP       精确等于 10.0.0.10
Destination IP  任意
```

真正增加难度的是夹在两者之间的

```text
eq www
```

由于它出现在源地址之后、目的地址之前，所以一定属于源端口。

Cisco 官方文档里也有一个很适合拿来对照的 ACL 示例

```text
permit tcp host 10.1.1.1 host 10.5.5.5 eq www
```

Cisco 将这一规则描述为允许从 `10.1.1.1` 到 `10.5.5.5` 的 Web 流量。原因就在于 `eq www` 位于目的主机 `10.5.5.5` 后面，因此它限制的是目的 TCP 端口。 [Cisco](https://www.cisco.com/c/en/us/support/docs/security/ios-firewall/23602-confaccesslists.html?referring_site=bodynav\&utm_source=chatgpt.com)

把官方例子和题目并排摆放会更加直观

```text
permit tcp host 10.1.1.1 host 10.5.5.5 eq www
                                          ^^^^^^
                                          目的端口
```

题目是

```text
permit tcp host 10.0.0.10 eq www any
                            ^^^^^^
                            源端口
```

这个位置差异就是整道题的核心。

还有一个概念也需要顺手厘清。

ACL 中的 `permit` 表示允许匹配该 ACE 的数据包通过 ACL 检查，并不表示 ACL 主动建立 TCP 连接，也不表示 `10.0.0.10` 获得了某种永久访问权限。

普通 Cisco 路由器上的传统扩展 ACL 可以按照报文头部字段逐包进行匹配。一个 TCP 会话存在两个方向，去程数据包和回程数据包的源地址、目的地址、源端口和目的端口会发生互换。

以 HTTP TCP 会话为例。

客户端请求方向可能是

```text
10.0.0.20:53000 -> 10.0.0.10:80
```

服务器响应方向则是

```text
10.0.0.10:80 -> 10.0.0.20:53000
```

观察两个方向可以发现，服务器的 TCP `80` 在请求方向是 Destination Port，在响应方向则变成 Source Port。

这正好解释了为什么原来的 ACL

```text
permit tcp host 10.0.0.10 eq www any
```

更符合 Web 服务器发送响应报文时的字段特征。

它匹配的是类似

```text
10.0.0.10:80 -> 10.0.0.20:53000
```

这样的数据包。

而不是典型浏览器请求

```text
10.0.0.10:53000 -> 203.0.113.20:80
```

这种数据包。

把这一点和 TCP 的双向通信联系起来之后，很多 ACL 题目会变得容易得多。

考试里还有一种常见问法，会给出

```text
permit tcp host 10.0.0.10 eq www any
```

再给出几个中文选项，其中往往会混入类似

允许 `10.0.0.10` 访问任何 WWW 服务器

这样的干扰项。

这种选项看到 Web 访问几个字就很诱人，但它描述的是目的端口 `80`。

真正对应它的规则应当是

```text
permit tcp host 10.0.0.10 any eq www
```

其中第一个 `any` 是目的地址，而 `eq www` 写在目的地址之后。

这里甚至可以形成一种非常机械但可靠的阅读习惯。

遇到扩展 TCP ACL，不要从中文含义猜，而是在脑中固定几个槽位

```text
动作
协议
源 IP
源端口
目的 IP
目的端口
```

把题目依次塞进去。

原题

```text
permit tcp host 10.0.0.10 eq www any
```

塞进去之后就是

```text
动作        permit
协议        tcp
源 IP       host 10.0.0.10
源端口      eq www
目的 IP     any
目的端口    未指定
```

未指定目的端口就相当于不对目的 TCP 端口加限制。

这样一来，答案已经非常明确。

还有一点经常被忽视，ACL 最终能不能让某个完整业务正常通信，并不能只看这一条 ACE。

ACL 是按照规则顺序匹配的。数据包通常从 ACL 顶部向下寻找匹配项，匹配到相应条目后执行对应动作。ACL 末尾还存在隐含拒绝规则，因此真实网络配置还需要考虑其他 ACE、ACL 应用的接口以及 `in` 或 `out` 方向。

例如同一条

```text
permit tcp host 10.0.0.10 eq www any
```

放在不同接口、不同方向，能够看到的数据包集合可能完全不同。

假如它被应用在某个接口的出方向，而 `10.0.0.10` 恰好位于该接口另一侧，可能会匹配服务器发送出去的 HTTP 响应。

换到另一个接口的入方向，数据包经过 ACL 时的路径关系又会改变。

所以讨论 ACL 时需要区分两个层面。

一个层面是 ACE 自身的匹配条件。

对于这道题，这一点已经可以百分之百确定

```text
源 IP = 10.0.0.10
源 TCP 端口 = 80
目的 IP = 任意
目的 TCP 端口 = 任意
动作 = Permit
```

另一个层面是它被部署在哪里，以及完整 ACL 里还有哪些规则。

题目没有给出接口和方向，因此不能进一步推断整个网络最终允许哪些完整 TCP 会话，只能解释这一条 ACE 对单个数据包的匹配条件。

这种边界在实际排错中非常重要。看到一条 `permit` 规则，并不能立刻得出某个应用一定可以连通的结论。网络路径上还可能存在其他 ACL、防火墙、安全组、路由问题、NAT 规则以及服务端监听状态。

针对考试本身，答案却可以压缩得非常短。

`permit tcp host 10.0.0.10 eq www any` 表示允许源地址为 `10.0.0.10`、源 TCP 端口为 `80`、目的地址任意、目的 TCP 端口任意的数据包通过。

其中

```text
permit
```

表示允许。

```text
tcp
```

表示只匹配 TCP。

```text
host 10.0.0.10
```

表示源地址只能是 `10.0.0.10`。

```text
eq www
```

位于源地址后，因此表示源 TCP 端口等于 `www`，也就是端口 `80`。

```text
any
```

表示目的 IP 地址任意。

如果需要记忆这类题，可以把注意力完全放在 `eq` 左右的位置上。

看到

```text
source eq port destination
```

就读成源端口。

看到

```text
source destination eq port
```

就读成目的端口。

用题目本身做一次最终对照

```text
permit tcp host 10.0.0.10 eq www any
                            ↑
                         源端口 80
```

而允许 `10.0.0.10` 主动访问任意 HTTP 网站，则更接近

```text
permit tcp host 10.0.0.10 any eq www
                                ↑
                             目的端口 80
```

两条命令只差端口条件的位置，但匹配的是 TCP Header 中两个完全不同的字段。

这类 ACL 题真正应该形成的能力，不是记住某一道题的中文答案，而是拿到任何一条 Extended ACL 后，能够立刻在脑中还原出数据包的五元组

```text
Source IP
Destination IP
Protocol
Source Port
Destination Port
```

原题还原之后就是

```text
10.0.0.10 : 80  ->  Any IP : Any TCP Port
            TCP
```

所以最准确的考试答案就是

允许来自主机 `10.0.0.10`、源端口为 TCP `80`，发送到任意目的主机和任意目的端口的 TCP 报文通过。

它并不是允许 `10.0.0.10` 访问任意 Web 网站。要表达后一种需求，`eq www` 应当放在目的地址 `any` 后面。

参考资料

Cisco 官方的 IP Access List 配置文档给出了 Extended ACL 的端口匹配语法以及 `www` 的实际配置示例。 [Cisco](https://www.cisco.com/c/en/us/support/docs/security/ios-firewall/23602-confaccesslists.html?utm_source=chatgpt.com)

IANA 的 Service Name and Transport Protocol Port Number Registry 将 `www` 和 `http` 对应到 TCP 端口 `80`。 [IANA](https://www.iana.org/assignments/service-names-port-numbers?search=1\&utm_source=chatgpt.com)

看到下面这条 ACL 时，很多人在考试里会凭直觉把它理解成「允许主机 10.0.0.10 访问任意 Web 服务器」

一条容易把源端口和目的端口看反的 ACL，permit tcp host 10.0.0.10 eq www any 到底放行了什么

紫薇堂堂主

网络与通信

安全

Cisco扩展ACL中`permit tcp host 10.0.0.10 eq www any`并非允许主机访问任意Web服务器，而是匹配源IP为10.0.0.10、源TCP端口为80、目的IP和端口任意的数据包。`eq www`位于源地址后限定源端口，与目的端口80的常见访问场景相反，需按字段位置而非语义理解。

代码解释

服务器

路由器

防火墙

路由

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

一条容易把源端口和目的端口看反的 ACL，permit tcp host 10.0.0.10 eq www any 到底放行了什么-腾讯云开发者社区-腾讯云

一条容易把源端口和目的端口看反的 ACL，permit tcp host 10.0.0.10 eq www any 到底放行了什么

一条容易把源端口和目的端口看反的 ACL，permit tcp host 10.0.0.10 eq www any 到底放行了什么

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐