规则基础：访问控制列表（ACL）原理、工业协议识别与规则匹配顺序
各位工程师，咱们直接进入正题。防火墙规则的核心，说白了就是一张访问控制列表（ACL）。你给它下指令，它照着一条条比对。但工业现场不比IT机房，这里跑的是Modbus、PROFINET、EtherNet/IP这些“方言”。规则写不对，轻则设备掉线，重则产线停摆。今天我就把ACL的原理、工业协议识别的要点，以及规则匹配的顺序，掰开了讲清楚。
一、访问控制列表（ACL）的本质
ACL不是什么高深的东西。它就是一张表，每一行是一条规则。防火墙拿到一个数据包，从上往下查这张表，命中就执行动作（允许或拒绝），查完就结束。
我个人习惯把ACL比作工厂门卫的登记簿。门卫手里有一张名单：
- 规则1：供应商A的车（IP 10.1.1.0/24），允许进入，但只能去仓库区（端口502）。
- 规则2：内部员工的车（IP 192.168.0.0/16），允许进入所有区域。
- 规则3：其他所有车辆，拒绝进入。
你看，这就是一个典型的ACL。它包含三个要素：条件（源/目的IP、端口、协议）、动作（允许/拒绝）、顺序（从上到下）。
核心要点：ACL的匹配是“首次命中即停止”。后面的规则即使也匹配，也不会再执行。这一点在工业环境中至关重要，因为错误的顺序可能导致合法的工业流量被误杀。
二、工业协议识别：不只是看端口号
IT防火墙看端口号就够了，比如80端口是HTTP，443是HTTPS。但工业协议没那么老实。Modbus TCP默认用502端口，但很多老设备会改成自定义端口。PROFINET和EtherNet/IP更是复杂，它们可能使用动态端口，或者把控制数据封装在普通UDP包里。
我在项目中遇到过一件事：某汽车零部件厂，一条焊接产线突然频繁报警。查了半天，发现是IT部门在核心交换机上写了一条ACL，禁止了所有非标准端口的流量。结果PROFINET的实时数据走的是动态端口，直接被拦了。产线停了40分钟，损失不小。
所以，工业防火墙的协议识别，必须做到以下三点：
- 深度包检测（DPI）：不光看端口，还要解析协议载荷。比如Modbus的功能码、PROFINET的帧ID、EtherNet/IP的封装数据。
- 协议白名单：只允许已知的工业协议通过。比如只放行Modbus TCP，拒绝其他所有TCP流量。
- 行为基线学习：让防火墙先学习一段时间的正常流量，然后自动生成规则。我建议新上线时先用“学习模式”跑一周，再切换到“防护模式”。
我的经验：对于Modbus，一定要关注功能码。比如功能码03（读保持寄存器）是正常的，但功能码08（诊断）可能被用于攻击。我习惯在规则里明确允许哪些功能码，其余一律拒绝。
三、三大工业协议的识别要点
下面这张表，是我多年现场经验的总结。你写规则时，可以对照着看。
| 协议 | 默认端口 | 识别关键字段 | 常见陷阱 |
|---|---|---|---|
| Modbus TCP | 502 | 功能码（1字节）、数据长度 | 很多设备支持端口修改，别只写死502 |
| PROFINET | 动态（通常34964） | 帧ID（0xFEFE等）、MAC地址 | 实时数据走Layer 2，防火墙必须支持透明模式 |
| EtherNet/IP | 44818（TCP/UDP） | 封装协议（0x0064等）、命令码 | 隐式报文走UDP 2222端口，别漏了 |
你想想看，如果只按端口号写规则，PROFINET的流量可能根本不会被识别。因为它的控制数据可能封装在标准以太网帧里，端口号是随机的。这时候，防火墙必须能解析到帧ID，才能判断这是PROFINET流量。
警告：千万不要在工业防火墙里写“允许所有UDP流量”这种规则。我曾经见过一个案例，就是因为这条规则，导致蠕虫病毒通过UDP 1434端口（SQL Slammer）感染了整个车间网络。工业协议识别必须精确到协议级别，而不是端口级别。
四、规则匹配顺序：顺序决定生死
ACL的匹配顺序，是防火墙规则优化的核心。顺序错了，规则就废了。我总结了一个“三原则”：
- 最具体优先：把最精确的规则放在前面。比如“允许PLC_A到HMI_B的Modbus流量”，应该放在“允许所有Modbus流量”之前。
- 拒绝规则前置：明确的拒绝规则，比如“拒绝来自外部IP的PROFINET流量”，要放在允许规则之前。这样可以尽早阻断非法流量，减少后续匹配的负担。
- 默认拒绝兜底：最后一条规则永远是“拒绝所有”。没有这条，防火墙就会允许所有未匹配的流量，那规则就形同虚设。
举个例子，假设你有以下三条规则：
规则1：允许 源=10.1.1.100 目的=10.1.2.200 协议=Modbus 端口=502
规则2：拒绝 源=10.1.1.0/24 目的=10.1.2.0/24 协议=Modbus
规则3：允许 源=10.1.1.0/24 目的=10.1.2.0/24 协议=Modbus如果顺序是1→2→3，那么10.1.1.100到10.1.2.200的Modbus流量会被规则1允许，其他10.1.1.x的流量会被规则2拒绝。但如果顺序是2→1→3，那么10.1.1.100的流量也会被规则2拒绝，因为规则2先匹配了。你看，顺序一变，结果完全不同。
避坑指南：我曾经在调试一个水处理厂的防火墙时，把拒绝规则放在了允许规则后面。结果所有流量都被允许了，因为最后一条“拒绝所有”根本没机会执行。后来我养成了一个习惯：写完规则后，手动模拟几条流量，从上到下走一遍，确保顺序正确。
五、知识体系总览
下面这张图，把本章的核心逻辑串起来了。你可以把它当作一个快速参考。