欢迎访问宝典百科，专注于IT类百科知识解答！
在网络运维与安全管理的日常工作中，访问控制列表（ACL）是交换机实现流量过滤、策略路由、QoS分类等功能的基石。正确查看和解析ACL配置，是排查网络故障、验证安全策略生效与否的关键环节。本文基于主流厂商（Cisco、华为、H3C、锐捷）的交换机操作系统，系统梳理交换机ACL查看方法，并提供结构化命令对比与输出解析指南。
对于所有支持CLI（命令行界面）的交换机，查看ACL的核心目的是获取两类信息：ACL的配置规则（即定义了哪些permit/deny条目）以及ACL的匹配统计（即每条规则被触发的次数）。不同厂商的命令语法略有差异，但逻辑架构一致。以下为各厂商查看ACL配置的主要命令：
| 厂商/操作系统 | 查看所有ACL配置 | 查看特定ACL详细规则 | 查看ACL匹配统计 |
|---|---|---|---|
| Cisco IOS/IOS-XE | show access-list |
show access-list [ACL编号/名称] |
show access-list [ACL编号/名称] | include matches |
| 华为 VRP (V100R006+ ) | display acl all |
display acl [ACL编号/名称] |
display acl [ACL编号]（输出中自带matched统计） |
| H3C Comware V7 | display acl all |
display acl [ACL编号/名称] |
display acl [ACL编号]（输出中含matched字段） |
| 锐捷 RGOS | show access-list |
show access-list [ACL编号/名称] |
show access-list [ACL编号]（输出中显示hit计数） |
上述命令中，Cisco和锐捷的语法高度相似，而华为与H3C由于同源（均基于VRP/Comware内核），命令词均使用display而非show。值得注意的是，华为部分早期VRP版本对ACL统计的查看需额外开启statistics enable，否则显示为0；而Cisco默认统计是开启的，但受限于硬件转发芯片，部分交换机需使用access-list capture或硬件计数功能才能获得精确数据。
除了CLI，大多数企业级交换机还支持Web管理界面查看ACL。以Cisco CWS（Cisco Web Services）或华为eSight为例，登录后导航至“安全”或“ACL”菜单，即可可视化查看规则列表与匹配计数。但Web界面通常只适用于小型网络或初期配置，大规模运维仍以CLI脚本和自动化工具为主。
查看ACL时，输出解析是技术人员必须掌握的技能。以下以Cisco IOS的一段典型输出为例，逐字段说明：
假设执行命令：show access-list 101
输出示例：
Extended IP access list 101
10 permit tcp 192.168.1.0 0.0.0.255 any eq 80 (86 matches)
20 deny tcp any any eq 22 (12 matches)
30 permit ip any any (0 matches)
解析要点：“10”“20”“30”为规则序列号（Sequence Number），决定匹配顺序；“permit/deny”为动作；“tcp/ip”为协议；“192.168.1.0 0.0.0.255”为源地址及通配符；“any”为目标地址；“eq 80”为端口匹配；括号内“86 matches”表示该规则已被匹配86次。若某个规则匹配数为0，可能意味着该规则未被触发，或流量被更早的规则匹配（即隐式拒绝导致）。
华为VRP的输出格式类似：
acl number 3001 rule 5 permit tcp source 10.0.0.0 0.255.255.255 destination 192.168.0.0 0.0.255.255 destination-port eq 80 (matched 0) rule 10 deny ip (matched 0)
注意华为使用destination-port而非eq，且通配符写法为反向掩码（如0.255.255.255）。若未开启统计，则matched值为0，可通过rule 5 permit tcp ... counting enable开启。
在实际运维中，查看ACL不仅仅是为了“看”，更常与故障排查结合。例如：
deny ip any any（Cisco默认最后一条隐式拒绝），且查看匹配数是否在对应规则上增长。show ip interface [接口名]（Cisco）或display this interface（华为）查看接口下的ACL绑定。show vlan access-map，华为的display traffic-policy等。下表汇总了ACL常见错误状态及其排查命令：
| 现象 | 可能原因 | 排查命令 |
|---|---|---|
| ACL规则匹配数始终为0 | 统计未使能 / ACL未绑定到接口 / 流量方向错误 | Cisco: show ip interface [接口] 查看Inbound/Outbound access list华为: display current-configuration interface [接口] |
| ACL规则顺序错误导致流量被误阻 | 序列号混乱，permit在deny之后 | 使用show access-list查看序列号，必要时用ip access-list resequence（Cisco）或acl reorder（华为）调整 |
| ACL配置后无法生效 | 硬件资源不足 / 设备不支持ACL类型 | Cisco: show platform acl 或 show sdm prefer华为: display acl resource |
| ACL匹配数异常高但业务正常 | 可能匹配了预期外的流量（如广播） | 使用show access-list [ACL] | include matches 结合debug ip packet 详细分析 |
此外，大规模网络中常使用ACL自动化管理工具，如Ansible的ios_acls模块、华为的cloud-engine等，可通过脚本批量拉取ACL配置并存入数据库，便于审计与变更管理。对于软件定义网络（SDN）环境，如Cisco ACI或华为CloudEngine，ACL的查看方式转变为基于App Center或REST API的查询，不再依赖CLI。
最后，需要特别强调的是安全规范：查看ACL时应避免使用debug acl等调试命令在生产环境中长时间运行，以免CPU过载。建议在非高峰时段执行，或使用show命令替代debug。同时，记录ACL的基线匹配数，以便对比异常流量。
综上，交换机ACL的查看并非简单的命令输入，而是需要结合厂商特性、硬件架构、统计机制及业务场景的综合技术。掌握上述方法后，运维人员能够快速定位流量过滤问题，保障网络策略的准确实施。
