搞网络或者系统运维的人，，，，，，，，险些天天跟接见节造打交路。。。。。。。。防火墙、路由器ACL、服务器安全组，，，，，，，，这些处所都绕不开一个器材——permitdeny。。。。。。。。这俩词看着单一，，，，，，，，一个允许一个回绝，，，，，，，，但真正用起来，，，，，，，，里面的蹊径比好多人想的要多。。。。。。。。

先说最主题的一点。。。。。。。。permitdeny不是两条孤立的规定，，，，，，，，而是一套齐全的判断逻辑。。。。。。。。设备收到一个数据包，，，，，，，，会从上到下逐条匹配你配置的规定。。。。。。。。一旦射中某条permit或者deny，，，，，，，，立刻执行，，，，，，，，后面的规定就不再看了。。。。。。。。这个“从上到下、射中即停”的机造，，，，，，，，是整个接见节造的基石。。。。。。。。?

好多人配置规定时容易犯一个错，，，，，，，，把permit和deny的挨次搞反了。。。。。。。。好比你想回绝某个IP接见，，，，，，，，但把允许所有流量的规定放在了前面，，，，，，，，了局deny规定始终轮不到执行。。。。。。。。这就是典型的挨次谬误。。。。。。。。记住，，，，，，，，防火墙是“先匹配先生效”，，，，，，，，不是“更具体的规定优先”。。。。。。。。所以，，，，，，，，deny规定通常要放在permit规定前面，，，，，，，，除非你有特殊需要。。。。。。。。

再说说默认战术。。。。。。。。这个点出格关键，，，，，，，，但时时被忽略。。。。。。。。一套ACL的末尾，，，，，，，，其实暗藏着一条看不见的规定——若是所有显式规定都没匹配上，，，，，，，，那这个包是放行还是抛弃？？？？？？？这取决于设备的默认战术。。。。。。。。有些设备默认permit，，，，，，，，有些默认deny。。。。。。。。默认permit的设备，，，，，，，，你只有漏配一条deny，，，，，，，，不该进的数据就进来了；；；；；；默认deny的设备，，，，，，，，你漏配一条permit，，，，，，，，该通的业务就断了。。。。。。。。?

所以配置之前，，，，，，，，先搞明显你手上这台设备的默认战术是什么。。。。。。。。这决定了你写规定时的思路。。。。。。。。默认deny的设备，，，，，，，，你只必要想“我要放行什么”；；；；；；默认permit的设备，，，，，，，，你得想“我要回绝什么”。。。。。。。。两种思路写出来的规定集，，，，，，，，风格齐全分歧。。。。。。。。

现实配置中，，，，，，，，还有一个常见误区，，，，，，，，就是把permitdeny理解成“非黑即白”。。。。。。。。其实好多设备支持带参数的permit或deny，，，，，，，，好比限度源端口、主张端口、和谈类型、功夫段等等。。。。。。。。你齐全能够用一条permit规定，，，，，，，，精确节造某个网段在特按功夫接见特定端口，，，，，，，，而不是粗鲁地全数放行或全数回绝。。。。。。。。这样既安全又矫捷。。。。。。。。?

另表，，，，，，，，规定的挨次优化也值得花点心理。。。。。。。。把流量最大的、最常用的permit规定放在前面，，，，，，，，能够削减设备匹配规定的均匀次数，，，，，，，，提升转发机能。。。。。。。。固然现代设备硬件加快很严害，，，，，，，，但在规定数量上千条的场景下，，，，，，，，挨次带来的机能差距还是能感触到的。。。。。。。。

还有一点，，，，，，，，日志和审计。。。。。。。。deny规定射中的流量，，，，，，，，通常；；；；；岜患吐嫉饺罩纠。。。。。。。。这些日志是排查网络问题的沉要线索。。。。。。。。好比某个业务忽然不通了，，，，，，，，去翻一下防火墙日志，，，，，，，，看到大量deny纪录，，，，，，，，根基就能定位是规定问题还是流量异常。。。。。。。。反过来，，，，，，，，permit规定射中的流量通常默认不记日志，，，，，，，，不然日志量太大，，，，，，，，磁盘撑不住。。。。。。。。所以，，，，，，，，若是你必要审计某些敏感操作，，，，，，，，记得单独给对应的permit规定开启日志职能。。。。。。。。?

最后说一个好多人没意识到的点。。。。。。。。permitdeny不只是防火墙的事，，，，，，，，它其实是一种通用的权限节造思想。。。。。。。。操作系统的文件权限、数据库的接见节造、API网关的鉴权战术，，，，，，，，底层逻辑都是“允许还是回绝”。。。。。。。。把permitdeny这套规定匹配、挨次优先、默认战术的思想吃透了，，，，，，，，你去看任何接见节造类的配置，，，，，，，，城市感触通透好多。。。。。。。。

permitdeny看着单一，，，，，，，，但真正玩领略的人不多。。。。。。。。下次配置规定的时辰，，，，，，，，先想想默认战术是什么，，，，，，，，再想想规定挨次对不合，，，，，，，，最后想想有没有必要加日志。。。。。。。。这三步走完，，，，，，，，你的规定集根基不会出大问题。。。。。。。。?