在云计算时代，网络边界变得模糊，传统的物理防火墙已无法满足云环境的动态需求。腾讯云私有网络（VPC）提供了一系列网络安全能力，其中网络访问控制列表（ACL）是最基础也是最重要的安全层之一。网络ACL是一种子网级别的可选安全层，用于控制进出子网的数据流，可以精确到协议和端口粒度。与安全组形成互补，网络ACL为VPC内的资源提供了第一道防线。

本文将从网络ACL的核心概念出发，深入对比安全组与网络ACL的差异，通过实战场景演示配置方法，并系统介绍腾讯云VPC的完整安全防护体系，帮助读者构建纵深防御的云上网络环境。

需要先登录腾讯云控制台，点击：

网络访问控制列表（Access Control List，ACL）是腾讯云VPC提供的一种子网级别的安全控制机制。与安全组不同，网络ACL作用于子网边界，控制进出整个子网的流量。您可以将一个网络ACL关联到多个子网，通过设置入站规则和出站规则，对进出子网的流量进行精确控制。

网络ACL的核心特性包括：子网级别的流量控制、支持允许和拒绝规则、无状态过滤、规则按优先级顺序匹配。新建的网络ACL默认包含两条最低优先级的拒绝规则——入站拒绝所有流量、出站拒绝所有流量。这意味着在未配置任何自定义规则之前，所有进出子网的流量都会被阻断。

网络ACL规则包含入站规则和出站规则，每条规则由以下核心元素组成：

网络ACL规则的优先级通过规则在列表中的位置决定——列表顶端的规则优先级最高，最先应用；列表底端的规则优先级最低。当流量进入或离开关联了网络ACL的子网时，系统从列表顶端开始逐条匹配规则，一旦匹配成功则执行对应的允许或拒绝策略，不再继续匹配后续规则。

这种优先级机制要求我们在配置规则时必须十分谨慎：应该将最严格的拒绝规则放在前面，将宽松的允许规则放在后面。例如，先拒绝特定恶意IP的访问，再允许所有其他IP的访问。

2.4 网络ACL的类型：三元组与五元组

腾讯云网络ACL支持两种类型：三元组（TRIPLE）和五元组（QUINTUPLE）。三元组规则基于协议、源IP/目标IP和端口进行过滤；五元组规则在此基础上增加了源端口和目的端口的独立控制，提供更细粒度的访问控制能力。创建网络ACL时默认使用三元组类型，您可以根据实际安全需求选择合适的类型。

理解安全组与网络ACL的区别是构建VPC安全体系的关键。两者虽然都用于网络流量控制，但在作用范围、状态特性和生效机制上存在显著差异。

安全组是一种有状态的虚拟防火墙，这意味着一旦允许了某个方向的流量进入，返回的响应流量会自动被允许，无需额外配置出站规则。这种特性大大简化了配置复杂度，特别适合对云服务器实例的访问控制。

相比之下，网络ACL是无状态的。入站规则和出站规则是独立评估的——如果您允许了外部IP访问子网内服务器的80端口，还必须显式配置出站规则允许响应流量返回，否则通信将失败。这种设计虽然增加了配置复杂度，但也提供了更精细的控制能力。

在实际生产环境中，最佳实践是将网络ACL和安全组结合使用，形成分层防御。网络ACL作为第一道防线，在子网边界过滤明显恶意流量和不需要的协议；安全组作为第二道防线，在实例级别进行精细化控制。这种双层防护架构可以有效降低安全组规则的复杂度，同时提供更全面的安全覆盖。

登录VPC控制台，在左侧导航栏中选择“安全”->“网络ACL”，进入管理页面。选择目标地域和VPC后，点击“+新建”开始创建。您需要指定ACL名称和类型（三元组或五元组），创建完成后系统会自动生成两条默认的拒绝规则。

在网络ACL详情页面，点击“入站规则”选项卡，然后点击“添加规则”。根据业务需求配置规则，例如允许特定IP访问Web服务的80和443端口：

协议: TCP | 端口: 80,443 | 源IP: 0.0.0.0/0 | 策略: 允许
协议: TCP | 端口: 22 | 源IP: 192.168.1.0/24 | 策略: 允许
协议: ALL | 端口: ALL | 源IP: 0.0.0.0/0 | 策略: 拒绝

注意规则的顺序：先允许特定流量，最后拒绝所有其他流量。由于默认规则优先级最低，您需要显式添加拒绝规则来阻断不需要的流量。

出站规则的配置逻辑与入站规则类似，但需要注意网络ACL的无状态特性。如果您的子网内服务器需要访问外部服务（如软件源、数据库等），必须配置相应的出站允许规则。

创建并配置好规则后，需要将网络ACL关联到目标子网。在子网管理页面，选择目标子网，点击“关联网络ACL”，选择刚刚创建的ACL即可。一个网络ACL可以关联多个子网，方便统一管理具有相同安全需求的子网组。

假设您在腾讯云VPC中托管了一个多层Web应用，包含Web层、逻辑层和数据层，分别部署在不同子网中。安全需求如下：

：允许0.0.0.0/0访问80和443端口，拒绝所有其他流量。

：允许访问逻辑层子网的业务端口，允许访问互联网的DNS和NTP服务，拒绝所有其他流量。

：只允许Web层子网的IP段访问业务端口，拒绝所有其他流量。

：允许访问数据层子网的数据库端口，允许必要的系统服务访问，拒绝所有其他流量。

：只允许逻辑层子网的IP段访问数据库端口，拒绝所有其他流量。

：仅允许必要的系统服务（如DNS、NTP），拒绝所有其他流量。

这种配置确保了各层之间的最小权限通信，有效降低了攻击面。

腾讯云提供了完整的API接口用于网络ACL的管理，适合需要自动化运维的场景。

# Python SDK示例
from tencentcloud.common import credential
from tencentcloud.vpc.v20170312 import vpc_client, models

cred = credential.Credential(\"您的SecretId\", \"您的SecretKey\")
client = vpc_client.VpcClient(cred, \"ap-guangzhou\")

req = models.CreateNetworkAclRequest()
req.VpcId = \"vpc-xxxxxxxx\"
req.NetworkAclName = \"my-web-acl\"
req.NetworkAclType = \"TRIPLE\"  # 或 \"QUINTUPLE\"

resp = client.CreateNetworkAcl(req)
print(resp.NetworkAcl.NetworkAclId)

创建成功后，新ACL默认包含两条拒绝所有流量的规则。

修改网络ACL规则（ModifyNetworkAclEntries）

ModifyNetworkAclEntries接口用于修改入站和出站规则。传入入站规则和出站规则将重置原有规则；仅传入入站规则则只重置入站规则。

req = models.ModifyNetworkAclEntriesRequest()
req.NetworkAclId = \"acl-xxxxxxxx\"

# 配置入站规则
ingress = models.NetworkAclEntry()
ingress.Protocol = \"TCP\"
ingress.Port = \"80,443\"
ingress.CidrBlock = \"0.0.0.0/0\"
ingress.Action = \"ACCEPT\"
ingress.Description = \"允许Web访问\"

# 配置出站规则
egress = models.NetworkAclEntry()
egress.Protocol = \"TCP\"
egress.Port = \"80,443\"
egress.CidrBlock = \"0.0.0.0/0\"
egress.Action = \"ACCEPT\"
egress.Description = \"允许出站Web访问\"

req.NetworkAclEntrySet = models.NetworkAclEntrySet()
req.NetworkAclEntrySet.Ingress = [ingress]
req.NetworkAclEntrySet.Egress = [egress]

resp = client.ModifyNetworkAclEntries(req)

接口调用频率限制为20次/秒，建议在代码中做好限流控制。

增量添加五元组规则（CreateNetworkAclQuintupleEntries）

对于五元组类型的网络ACL，可以使用CreateNetworkAclQuintupleEntries接口增量添加规则。五元组规则支持更精细的源端口和目的端口控制。

网络ACL只是VPC安全体系的一部分。腾讯云提供了一套完整的、多层次的网络安全防护能力，从网络层到应用层形成纵深防御。

腾讯云为所有CVM实例免费提供基础DDoS防护能力，购买CVM即自动生效。基础防护由腾讯安全团队7×24小时维护，可抵御常见的DDoS攻击。对于更高防护需求，可以升级到DDoS高防包或DDoS高防IP。

云防火墙（Cloud Firewall，CFW）是腾讯云提供的下一代防火墙服务，提供比网络ACL更强大的访问控制能力。CFW支持三种边界规则：

CFW规则保存后1-3分钟内生效，并支持入侵防御（IPS）功能，可自动阻断扫描和攻击流量。

主机安全（Cloud Workload Protection，CWP）提供服务器级别的安全防护。免费基础防护包括漏洞扫描、入侵检测、网页木马检测等功能。入侵检测系统部署了200+个入侵检测点，基于百亿级样本训练的行为分析模型，能贯穿攻击全生命周期进行检测和拦截。暴力破解阻断功能支持自定义规则，例如设置“1分钟内登录失败超5次则阻断15分钟”。

流量镜像提供流量采集服务，可将指定弹性网卡上的流量按五元组等条件过滤，并复制转发至同VPC下的CVM实例上。流量镜像适用于安全审计、风险监测、故障排查、业务分析等场景。通过旁路镜像网络流量进行异步检测，对业务流量无影响。

云防火墙提供访问控制日志和入侵防御日志，记录所有安全事件。VPC流日志可采集弹性网卡的流量信息，包含源IP、目标IP、协议、包大小、流量、时间窗口和安全组/ACL放通情况等字段。腾讯云为云租户提供6个月的防火墙网络日志流量留存，满足等保2.0和网安法的合规要求。

访问管理（Cloud Access Management，CAM）帮助您安全管理腾讯云账户下的资源访问权限。通过CAM，您可以创建子用户、用户组和角色，并通过策略控制其访问范围。建议遵循最小权限原则，为不同角色分配最小必要的操作权限。

无论是网络ACL、安全组还是CAM策略，都应遵循最小权限原则——只开放必要的端口和IP，只授予必要的操作权限。例如，Web服务器仅允许80/443端口入站，数据库仅允许来自应用服务器的内网访问。

为前端服务器、应用服务器、数据库分别配置不同的安全组和网络ACL，通过内网通信降低暴露面。网络ACL在子网边界过滤大流量攻击，安全组在实例级别精细化控制。

网络ACL规则按列表顺序匹配，应将最严格的规则放在最前面。建议先添加拒绝恶意IP的规则，再添加允许正常流量的规则，最后添加默认拒绝规则。

由于网络ACL是无状态的，配置入站规则时必须同步考虑出站规则。允许外部访问子网内服务的同时，必须配置相应的出站规则允许响应流量返回。

定期审查网络ACL和安全组规则，删除冗余或过期规则。启用云防火墙的访问控制日志和入侵防御日志，及时发现异常流量。使用云审计服务记录所有配置变更操作，便于安全事件溯源。

利用API和SDK实现网络ACL规则的自动化管理。通过基础设施即代码（IaC）工具（如Terraform）管理网络ACL配置，确保配置的一致性和可追溯性。

腾讯云VPC网络ACL是构建云上安全网络环境的核心组件之一。作为一种子网级别的无状态安全层，网络ACL与实例级别的有状态安全组形成互补，共同构建了VPC的双层防护体系。通过合理配置网络ACL规则——遵循最小权限原则、实施分层防御策略、精细管理规则优先级——您可以有效控制子网边界的流量，显著降低安全风险。

与此同时，腾讯云提供了完整的VPC安全生态：DDoS基础防护抵御大流量攻击，云防火墙提供精细化的边界访问控制和入侵防御，主机安全保障服务器级别的安全，流量镜像和云审计为安全监控和事件溯源提供有力支撑。这些安全能力相互配合，构成了从网络层到应用层的纵深防御体系。

在实际生产环境中，建议将网络ACL与安全组、云防火墙等安全服务结合使用，形成多层次、立体化的安全防护架构。同时，通过API和SDK实现安全策略的自动化管理，定期审计和优化安全规则，确保云上业务的安全合规运行。

问1：网络ACL和安全组可以同时使用吗？

可以。网络ACL在子网级别控制流量，安全组在实例级别控制流量。两者可以同时使用，形成双层防护。流量会先经过网络ACL的检查，再经过安全组的检查。

问2：网络ACL规则修改后多久生效？

网络ACL规则修改后会自动应用到关联的子网，生效时间通常在几秒到几分钟内。建议在变更后通过测试实例验证规则是否按预期生效。

问3：网络ACL的默认规则可以删除吗？

不可以。每个网络ACL创建后都包含两条默认规则——入站拒绝所有、出站拒绝所有，这两条规则无法修改或删除，且优先级最低。

问4：三元组ACL和五元组ACL有什么区别？

腾讯云VPC网络ACL与安全防护完全指南：从入门到实战

云计算

网络与通信

腾讯云VPC网络ACL是子网级别的安全控制机制，提供无状态流量过滤，支持三元组和五元组规则配置。与安全组形成互补，构建云上双层防护体系。本文详解网络ACL核心概念、配置方法及最佳实践，帮助用户实现VPC子网边界的安全管控。

日志分析

漏洞扫描

网络安全

主机安全

访问管理

弹性网卡

负载均衡

云服务器

云防火墙

私有网络

数据库

服务器

2026上云采购 | AI焕新·智启新局

nips

4核4G3M云服务器 新用户低至38元/年！

ddos

ddos-advanced

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

腾讯云VPC网络ACL与安全防护完全指南：从入门到实战

腾讯云VPC网络ACL与安全防护完全指南：从入门到实战

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐