这道题考查的不是某一个孤立知识点，而是把 `ACL`、源地址匹配、通配符掩码、传输层协议、应用层协议、端口号几个知识点压缩到了一条规则里。只要把一条数据包从源主机发往 Web 服务器的过程在脑中还原出来，答案其实非常稳定。

题目要求禁止源 `IP` 属于 `192.168.1.0/24` 网段的主机访问服务器的 `HTTP` 服务。

答案选 **A**。

```text
A
rule deny tcp source 192.168.1.0 0.0.0.255 destination any eq 80
```

按照题目的考试语义，这条规则表达的内容就是

```text
deny
    tcp
    source 192.168.1.0 0.0.0.255
    destination any
    destination-port eq 80
```

也就是拒绝来自 `192.168.1.0/24` 网段、使用 `TCP` 协议、目标端口为 `80` 的流量。

这里最关键的一条判断链可以记成

```text
HTTP
↓
TCP
↓
目标端口 80
↓
deny tcp ... eq 80
↓
选择 A
```

RFC 9110 对 `http` URI 的定义很明确，当 URI 没有显式指定端口时，默认端口就是 `TCP 80`。华为官方的高级 `ACL` 文档也直接给出了禁止主机访问网页的配置实例，使用的正是 `rule deny tcp destination-port eq 80 ...`。[RFC Editor](https://www.rfc-editor.org/rfc/rfc9110.html?utm_source=chatgpt.com)

把题目拆开之后，会发现它其实在检查四个条件是否能够同时对应起来。

第一个条件是动作必须为 `deny`。

题目的要求不是允许访问，也不是记录访问，而是禁止访问，因此规则动作一定是

```text
deny
```

如果写成

```text
permit
```

语义就完全反了。

第二个条件是源地址必须覆盖整个 `192.168.1.0/24` 网络，而不是只匹配 `192.168.1.0` 这一个地址。

题目给出的

```text
source 192.168.1.0 0.0.0.255
```

这里的

```text
0.0.0.255
```

不是普通意义上的子网掩码，而是 `ACL` 中非常常见的 wildcard mask，也就是通配符掩码。

`192.168.1.0/24` 对应的传统子网掩码是

```text
255.255.255.0
```

把每一位取反，就得到

```text
0.0.0.255
```

所以可以建立这样一个对应关系

```text
/24
255.255.255.0
0.0.0.255
```

这里的理解方式非常重要。

在普通子网掩码中

```text
255
```

表示网络位。

```text
0
```

表示主机位。

而到了 `ACL` 通配符掩码中，规则正好反过来。

```text
0
```

表示这一位必须严格匹配。

```text
1
```

表示这一位可以忽略。

由于一个十进制的

```text
255
```

转换成二进制就是

```text
11111111
```

所以

```text
0.0.0.255
```

展开以后相当于

```text
00000000.00000000.00000000.11111111
```

前三个字节全部是 `0`，因此要求源地址的前三个字节严格等于

```text
192.168.1
```

最后一个字节全部为 `1`，因此最后八位不参与严格比较。

于是下面这些地址都会匹配

```text
192.168.1.1
192.168.1.2
192.168.1.10
192.168.1.100
192.168.1.200
192.168.1.254
```

甚至从纯 `ACL` 位匹配角度看，整个范围实际上覆盖

```text
192.168.1.0
~
192.168.1.255
```

网络地址和广播地址在普通主机寻址中有特殊含义，但 `ACL` 在进行地址位匹配时，关心的是哪些位参与比较，并不是先判断某个地址是不是合法终端主机。

因此

```text
192.168.1.0 0.0.0.255
```

正好表示

```text
192.168.1.0/24
```

这一点在软考、华为认证以及 Cisco 类网络题目中都极其常见。

如果通配符写成

```text
0.0.0.0
```

情况就完全不同了。

```text
source 192.168.1.10 0.0.0.0
```

表示所有位都必须完全一致，只匹配一台主机

```text
192.168.1.10
```

如果写成

```text
source 192.168.1.0 0.0.0.255
```

则匹配整个 `/24`。

因此看到下面这种模式时，可以直接形成条件反射

```text
192.168.1.0/24
↓
255.255.255.0
↓
反掩码
↓
0.0.0.255
```

真正决定这道题答案的另一个核心，是 `TCP` 和 `UDP` 的区别。

题目说禁止访问 `HTTP` 服务。

经典 `HTTP/1.1` 和 `HTTP/2` 的网络访问场景中，考试所对应的标准 Web 服务使用 `TCP`。RFC 9110 明确规定，`http` URI 在没有指定端口时，其默认端口为 `TCP 80`。因此题目中的两个条件必须同时满足

```text
协议 tcp
目标端口 80
```

RFC 9110 对这一点的表述非常直接，`http` URI 对应的是能够接收 `TCP` 连接的 HTTP origin server，而默认端口就是 `80`。[RFC Editor](https://www.rfc-editor.org/rfc/rfc9110.html?utm_source=chatgpt.com)

这里也正好能解释为什么选项 `B` 和 `D` 错。

它们写的是

```text
deny udp ... eq 80
```

虽然端口号也是 `80`，但传输层协议错了。

端口号不能脱离传输层协议单独理解。

一个完整的传输层服务识别至少需要考虑

```text
传输层协议
+
端口号
```

因此

```text
TCP 80
```

和

```text
UDP 80
```

不是同一个网络端点类型。

这和生活中的房间号有一点相似，但还要多一层条件。单独说 `80` 并不足以唯一说明访问的是哪类传输服务，还需要知道处于哪个传输协议空间。

在考试体系里，可以把它记成

```text
HTTP        TCP 80
HTTPS       TCP 443
FTP         TCP 20 和 21
SSH         TCP 22
Telnet      TCP 23
SMTP        TCP 25
DNS         UDP 53 为主，也可使用 TCP 53
DHCP        UDP 67 和 68
TFTP        UDP 69
POP3        TCP 110
IMAP        TCP 143
BGP         TCP 179
SNMP        UDP 161
```

这些端口映射不是为了死记一组数字，而是在 `ACL` 题目中直接决定 protocol 与 destination port 应该怎样组合。

选项 `C` 就是在这个地方设置干扰。

它写的是

```text
rule deny tcp source 192.168.1.0 0.0.0.255 destination any eq 443
```

协议 `TCP` 是对的，源网段也是对的，但目标端口写成了

```text
443
```

`443` 对应的是通常使用的 `HTTPS` 服务端口，而不是题目所说的传统 `HTTP 80`。

IANA 当前的服务名称与端口注册表把 `http` 与端口 `80` 联系起来，把 `https` 与端口 `443` 联系起来。[IANA](https://www.iana.org/assignments/service-names-port-numbers?search=http\&utm_source=chatgpt.com)

因此在软考式题目中，只要看到

```text
HTTP
```

第一反应应当是

```text
TCP 80
```

看到

```text
HTTPS
```

第一反应应当是

```text
TCP 443
```

这里还能顺便解决一个学习过程中很容易出现的疑问。

现代网络已经存在 `HTTP/3`，而 `HTTP/3` 并不是运行在 `TCP` 上，而是运行在 `QUIC` 上。`QUIC` 使用 `UDP`。RFC 9114 明确规定了 `HTTP/3` 是 HTTP semantics 到 `QUIC` 的映射，而 QUIC 使用 UDP 承载。RFC 9308 进一步说明，`HTTP/3` 默认通常使用 `UDP 443`。[RFC Editor](https://www.rfc-editor.org/rfc/rfc9114.html?utm_source=chatgpt.com)

所以现代协议世界里不能粗暴地说所有 HTTP 流量永远都是 `TCP`。

但回到这道软考风格的 `ACL` 单选题，题目明确使用

```text
HTTP 服务
```

并且备选项围绕

```text
TCP 80
UDP 80
TCP 443
```

进行区分，其考点显然是传统标准映射

```text
HTTP
=
TCP 80
```

因此答案仍然坚定地选 `A`。

再看规则中的

```text
destination any
```

它表达的是目标 `IP` 地址不加限制。

也就是只要数据包来自

```text
192.168.1.0/24
```

使用

```text
TCP
```

并且访问目标

```text
TCP 80
```

就满足这条拒绝规则，而目标服务器究竟是哪一个 `IP` 并不参与限制。

例如流量可能是

```text
192.168.1.10
→
10.10.10.20:80
```

也可能是

```text
192.168.1.100
→
172.16.10.50:80
```

按照题目给出的 `destination any` 逻辑，两者都能够匹配。

当然，这里正好暴露出题目表述与真实企业网络配置之间的一点差别。

题目说的是

```text
禁止访问服务器的 HTTP 服务
```

如果企业环境里已经知道服务器地址为

```text
10.10.10.20
```

更精确的规则通常不会简单写成

```text
destination any
```

而会把服务器地址直接限定进去。

按照华为高级 `ACL` 的语法思路，可以写成类似

```text
rule deny tcp source 192.168.1.0 0.0.0.255 destination 10.10.10.20 0 destination-port eq 80
```

这样规则表达的范围就更加准确。

它禁止的是

```text
源网络
192.168.1.0/24

目标主机
10.10.10.20

传输协议
TCP

目标端口
80
```

而不会连带影响这个源网段访问其他 Web 服务器。

华为官方文档明确说明，高级 `ACL` 可以根据源 `IPv4` 地址、目标 `IPv4` 地址、IP 协议类型、TCP 源端口、TCP 目标端口、UDP 源端口以及 UDP 目标端口等字段进行过滤，这也是为什么这种需求需要高级 `ACL`，单靠只匹配源地址的基本 `ACL` 无法精确表达 `只禁止 HTTP` 这种条件。[Huawei Support](https://info.support.huawei.com/hedex/api/pages/EDOC1000053358/YEF0907R/25/resources/en-us_cliref_0133019535.html?utm_source=chatgpt.com)

这里还有一个考试中特别容易忽略的地方。

题目中的写法是

```text
destination any eq 80
```

这种形式更接近考试为了突出知识点而进行的压缩表达。

如果是在真实华为设备 CLI 中配置，高级 `ACL` 的完整关键字通常应当明确写出

```text
destination-port eq 80
```

华为文档中的正式规则结构包含

```text
destination
```

用于匹配目标 `IP` 地址，而

```text
destination-port
```

用于匹配目标 TCP 或 UDP 端口。

因此更加标准的华为式写法可以表示为

```text
rule deny tcp source 192.168.1.0 0.0.0.255 destination any destination-port eq 80
```

华为官方甚至给出了非常接近本题的真实配置案例。官方文档讨论如何禁止指定主机访问网页时，使用了下面这一类规则

```text
rule deny tcp destination-port eq 80 source 192.168.1.3 0
```

官方对案例的解释也直接指出，访问网页使用 `HTTP`，其 `TCP` 端口号为 `80`。[info.support.huawei.com](https://info.support.huawei.com/enterprise/en/doc/EDOC1100411634/3b8682c3/configuring-an-acl?utm_source=chatgpt.com)

所以如果这是一道选择题，不能因为选项省略了 `destination-port` 关键字就错过考点。命题人真正希望判断的是

```text
HTTP 应该匹配 TCP 80
```

四个选项放在一起比较时，只有 `A` 同时满足这两个关键条件。

再把 `eq 80` 单独展开一下。

`eq` 是 equal 的缩写，表示端口号必须等于指定值。

```text
destination-port eq 80
```

表示

```text
目标 TCP 端口
=
80
```

华为 `ACL` 中还有其他端口比较运算符。

```text
eq
```

表示等于。

```text
gt
```

表示大于。

```text
lt
```

表示小于。

```text
range
```

表示落在某个范围内。

华为官方命令参考也明确说明了这些 operator 的含义。[Huawei Support](https://info.support.huawei.com/hedex/api/pages/EDOC1000053358/YEF0907R/25/resources/en-us_cliref_0133019535.html?utm_source=chatgpt.com)

例如

```text
destination-port eq 80
```

只匹配端口 `80`。

如果是

```text
destination-port range 20 21
```

则匹配某一端口范围。

在当前题目里，我们只需要精确锁定 Web 服务器的 `TCP 80`，因此使用 `eq 80` 正合适。

还需要分清目标端口与源端口。

当一台客户端访问 HTTP 服务器时，典型连接可能表现为

```text
192.168.1.10:52346
→
10.10.10.20:80
```

客户端这一侧的

```text
52346
```

通常是临时端口。

服务器这一侧的

```text
80
```

才是 HTTP 服务监听端口。

因此 ACL 要限制客户端访问 Web 服务，应该检查

```text
destination-port eq 80
```

而不是

```text
source-port eq 80
```

这也是各种端口类 `ACL` 题目中很常见的陷阱。

可以把一次真实连接抽象为五元组

```text
源 IP
源端口
目标 IP
目标端口
传输层协议
```

假设存在下面的数据包

```text
源 IP
192.168.1.25

源端口
53001

目标 IP
10.20.30.40

目标端口
80

协议
TCP
```

拿它与题目中的 `A` 规则逐项比较。

源地址方面

```text
192.168.1.25
```

属于

```text
192.168.1.0/24
```

所以匹配。

协议方面

```text
TCP
```

所以匹配。

目标地址方面

```text
destination any
```

任何目标都可以，所以匹配。

目标端口方面

```text
80
```

满足

```text
eq 80
```

所以匹配。

动作方面

```text
deny
```

最终该数据包被拒绝。

如果同一台机器改为访问

```text
10.20.30.40:443
```

那么目标端口不再等于 `80`，这条针对 HTTP 的规则就不会匹配。

如果同一台机器向某服务器发送

```text
UDP 80
```

也不会匹配 `deny tcp ... eq 80`，因为传输层协议已经不同。

如果源地址换成

```text
192.168.2.25
```

同样不会匹配，因为源地址不属于

```text
192.168.1.0/24
```

这就是理解 `ACL` 最稳妥的方法，不把整条命令当成需要死背的字符串，而是把它看成一个逐字段匹配的数据包过滤表达式。

可以进一步把整条规则想成一个布尔条件

```text
源 IP 属于 192.168.1.0/24
AND
协议等于 TCP
AND
目标 IP 任意
AND
目标端口等于 80
```

条件全部成立时

```text
deny
```

只要其中任何一个条件不成立，这一条规则就不匹配。

这种思路到了更复杂的 `ACL` 题也依然有效。

例如题目换成

```text
禁止 192.168.10.0/24 访问 10.1.1.100 的 HTTPS 服务
```

脑中直接拆成

```text
源
192.168.10.0/24

目标
10.1.1.100

协议
TCP

目标端口
443

动作
deny
```

如果题目变成

```text
禁止 192.168.10.0/24 使用 Telnet 访问服务器
```

只需要把应用服务映射到

```text
TCP 23
```

如果变成

```text
禁止 TFTP
```

则需要想到

```text
UDP 69
```

所以很多所谓的 `ACL` 综合题，真正考查的是三层和四层信息能不能准确组合起来。

回到本题，四个选项可以用极短的方式排除。

`A` 使用

```text
TCP 80
```

对应传统 `HTTP`，正确。

`B` 使用

```text
UDP 80
```

与本题传统 HTTP 服务的传输方式不符，错误。

`C` 使用

```text
TCP 443
```

对应传统 `HTTPS` 服务，而题目问的是 `HTTP`，错误。

`D` 与 `B` 给出的核心条件相同，同样使用

```text
UDP 80
```

所以也错误。

因此考试答案就是

```text
A
```

整个知识点可以最终压缩成下面这一组记忆关系

```text
HTTP
=
TCP 80

192.168.1.0/24
=
192.168.1.0 0.0.0.255

禁止
=
deny

目标端口等于 80
=
destination-port eq 80
```

把四块拼起来便得到

```text
rule deny tcp
source 192.168.1.0 0.0.0.255
destination any
destination-port eq 80
```

所以这道题真正需要形成的考试条件反射不是机械记住 `A`，而是看到 `HTTP` 立刻联想到 `TCP 80`，看到 `/24` 立刻能够写出 wildcard `0.0.0.255`，看到限制某个应用服务立刻意识到需要能够匹配传输层协议和目标端口的高级 `ACL`。掌握了这条推理链，题目把网段、服务器地址和应用协议换掉，解题方法依然完全相同。

## 参考资料

Huawei 官方文档，`Configuring an ACL`，其中给出了高级 `ACL` 的 TCP 与 UDP 匹配语法，并提供禁止 Web 访问的 `TCP 80` 配置案例。[info.support.huawei.com](https://info.support.huawei.com/enterprise/en/doc/EDOC1100411634/3b8682c3/configuring-an-acl?utm_source=chatgpt.com)

Huawei 官方命令参考，`rule ACL view`，说明了 `source`、`destination`、`destination-port`、`eq`、`gt`、`lt`、`range` 以及 wildcard mask 等参数的含义。[Huawei Support](https://info.support.huawei.com/hedex/api/pages/EDOC1000053358/YEF0907R/25/resources/en-us_cliref_0133019535.html?utm_source=chatgpt.com)

RFC 9110，`HTTP Semantics`，规定 `http` URI 默认使用 `TCP 80`。[RFC Editor](https://www.rfc-editor.org/rfc/rfc9110.html?utm_source=chatgpt.com)

IANA，`Service Name and Transport Protocol Port Number Registry`，记录了 `HTTP 80` 与 `HTTPS 443` 等服务端口分配。[IANA](https://www.iana.org/assignments/service-names-port-numbers?search=http\&utm_source=chatgpt.com)

RFC 9114，`HTTP/3`，说明现代 `HTTP/3` 使用 `QUIC` 而不是传统 TCP 映射，可用于区分考试中的经典 `HTTP TCP 80` 模型与现代 Web 协议体系。[RFC Editor](https://www.rfc-editor.org/rfc/rfc9114.html?utm_source=chatgpt.com)

这道题考查的不是某一个孤立知识点，而是把 ACL、源地址匹配、通配符掩码、传输层协议、应用层协议、端口号几个知识点压缩到了一条规则里。只要把一条数据包从源主机发往 Web 服务器的过程在脑中还原出来，答案其实非常稳定。

从 192.168.1.0/24 到 TCP 80，彻底理解这道 ACL 禁止 HTTP 访问题

紫薇堂堂主

网络与通信

安全

运维

ACL综合题：考查拒绝192.168.1.0/24网段访问HTTP服务，需匹配deny动作、通配符掩码0.0.0.255、TCP协议及目标端口80。正确选项A，核心是HTTP对应TCP80，/24网段转换为通配符掩码，排除UDP和443干扰项。

HTTP服务器

代码解释

服务器

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

从 192.168.1.0/24 到 TCP 80，彻底理解这道 ACL 禁止 HTTP 访问题-腾讯云开发者社区-腾讯云

从 192.168.1.0/24 到 TCP 80，彻底理解这道 ACL 禁止 HTTP 访问题

从 192.168.1.0/24 到 TCP 80，彻底理解这道 ACL 禁止 HTTP 访问题

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐