存取控制列表的概念來自資訊安全的基本模型：為每項資源列明哪些主體獲允許進行哪些操作。在檔案系統中，ACL 記錄哪個用戶可以讀寫某個檔案；而在網絡設備上，網絡 ACL 則是套用在路由器或交換機介面上的一組規則，逐條比對經過的封包，匹配的封包按規則指定的動作處理——允許（permit）通過，或拒絕（deny）丟棄。
網絡 ACL 是無狀態的過濾機制：它獨立審視每一個封包，不追蹤連線的來龍去脈。正因為簡單，它的處理效率高，適合在網絡內部大量部署，作為 VLAN 之間、部門之間的第一層流量管控。關於網絡分段的基礎，可參考 VLAN 是什麼。
由此衍生兩條工程鐵律：規則次序必須「窄前寬後」，具體規則放在寬泛規則之前；套用 ACL 前必須確認已明確允許所有必要流量（包括管理流量），避免把自己封鎖在外。
| 比較項目 | 標準 ACL（Standard） | 延伸 ACL（Extended） |
|---|---|---|
| 比對條件 | 只比對來源地址 | 來源與目的地址、協定類型（TCP/UDP/ICMP 等）、來源與目的埠號 |
| 控制粒度 | 粗——只能決定「某網段可否通過」 | 細——可精確到「某網段可否存取某伺服器的某項服務」 |
| 典型用途 | 簡單封鎖、設備管理存取限制 | VLAN 間管控、伺服器保護、服務級過濾 |
| 建議套用位置 | 盡量接近目的地 | 盡量接近來源，及早丟棄不必要流量 |
在三層交換機或路由器上以 ACL 規定各 VLAN 之間可通行的流量，例如允許辦公網段存取伺服器網段的檔案服務，但禁止反方向的主動連線。
限制攝影機 VLAN 只可與 NVR 及管理主機通訊，禁止攝影機存取辦公網或互聯網，防止設備被入侵後橫向擴散。
只允許指定管理網段透過 SSH、HTTPS 存取交換機與路由器的管理介面，其他來源一律拒絕，減少設備被試探與攻擊的面。
ACL 負責地址與埠級過濾，接入認證交由 802.1X，DHCP 防護交由 DHCP Snooping，邊界深度檢測交由防火牆，構成分層防禦。
本文核對資料：NIST SP 800-41 Rev. 1；RFC 1812。
若閣下正計劃相關工程或需要選購設備，歡迎瀏覽網絡工程服務了解方案詳情，或透過網上快速報價與我們的工程師聯絡。
本頁內容由人手或AI輔助生成，雖經核對仍可能存在誤差，僅供參考；產品規格以原廠最新文件為準；有需要請聯絡我們工程師。