网络 ACL 如何筛选子网

网络 ACL（NACL）是在子网边界运行的防火墙。每个进入或离开子网的数据包都会根据与该子网关联的 NACL 进行评估，无论发送或接收数据包的是哪个实例。它与安全组一起构成第二层网络防线。

NACL 规则带有编号，并按编号升序评估。AWS 会先检查规则 100，再检查规则 200；第一个匹配的规则生效，评估随即停止。这与安全组相反：安全组的所有规则会合并，且没有优先级。请保留编号间隔（100、200、300），以便日后插入规则。

与安全组不同，NACL 同时支持允许和拒绝规则。因此，您可以直接阻止某个恶意 IP 或 CIDR 范围，这是安全组无法做到的。常见做法是使用较小的规则编号，在更宽泛的允许规则之前拒绝已知的恶意来源。

每个 NACL 都有独立的入站和出站规则集，并且各自拥有独立的编号。由于 NACL 是无状态的，您必须明确处理每次通信的两个方向，包括返回流量。

随 VPC 创建的默认 NACL允许所有入站和出站流量，因此实际上相当于透明通行。您创建的任何自定义 NACL 初始都会拒绝所有双向流量，直到您添加允许规则。未显式关联 NACL 的子网会使用默认 NACL。

一个子网一次只能关联一个 NACL，但一个 NACL 可以保护多个子网。这与安全组相反：一个资源可以关联多个安全组。NACL 会广泛作用于子网中的所有资源，因此属于粗粒度控制。

每个 NACL 最后都有一条隐式的* 规则，拒绝所有未被编号规则匹配的流量。您无法编辑或删除这条规则。如果数据包未匹配任何编号规则，星号规则就会拒绝它；因此，遗漏必要的允许规则会导致流量无提示地中断。

由于 NACL 是无状态的，返回流量会使用临时端口（Linux 通常为 1024–65535，Windows 通常为 49152–65535）。您必须添加涵盖此范围的出站或入站允许规则，否则响应会被丢弃。这是考试经常考查的经典 NACL 易错点。

当您需要在事件期间快速阻止整个子网中的某个 IP 范围时，NACL 尤其有效。较小编号的拒绝规则可以阻止该来源访问任何实例。安全组只能允许流量，无法执行此操作，因此 NACL 对快速遏制威胁很有价值。

请将 NACL 视为粗略、覆盖整个子网的工具，将安全组视为精细、针对单个资源的工具。大多数架构主要依赖安全组，仅在需要明确拒绝时谨慎使用 NACL，并让默认配置保持宽松，除非确实需要特定阻止规则。

与 SG 的决定一样，NACL 的决定也通过VPC 流日志观察；流日志会显示每条流量最终被接受还是拒绝。流日志不会说明是哪个控制措施做出的决定，因此理解规则顺序有助于您分析数据包被拒绝的原因。

测试您对 NACL 评估过程的理解。

网络 ACL 是位于子网边界的无状态、有序防火墙，同时支持允许和拒绝。规则带有编号，且第一个匹配项生效，最后以不可编辑的拒绝全部流量的星号规则结束。自定义 NACL 在添加规则前会拒绝所有流量。由于 NACL 无状态，您必须为返回流量允许临时端口。请使用它们对恶意 IP 执行粗粒度、快速、覆盖整个子网的阻止。