子网划分是网络ACL生效的前提，它将VPC划分为多个逻辑单元，使ACL能按子网绑定交换机实现区域级访问控制；合理划分子网（如前端/数据库分离）才能支持不同业务域的独立ACL策略。
子网划分本身不直接提供安全控制能力，但它为子网级网络ACL（Access Control List）的部署创造了前提条件——只有先完成合理子网划分，才能将网络ACL精准绑定到特定交换机（即子网），从而实现“按子网施控”的安全隔离。
子网划分是ACL生效的基础结构
网络ACL不是作用在单台服务器或IP地址上，而是绑定在VPC中的交换机（Switch）上，而每个交换机对应一个子网。这意味着：
- 子网划分决定了ACL的管控粒度：一个子网=一个ACL策略单元；
- 若所有ECS都放在同一个大子网（如192.168.0.0/24），就只能统一管控，无法区分开发、测试、生产环境；
- 合理划分子网（如192.168.10.0/26给前端、192.168.20.0/26给数据库），才能让不同业务域拥有独立ACL规则。
子网划分后配置网络ACL的关键步骤
以阿里云VPC为例，完成子网划分后，需按以下逻辑启用子网级ACL：
- 创建网络ACL：在控制台或通过API新建ACL实例，此时它尚未生效；
- 添加五元组规则：明确指定协议（TCP/UDP/ICMP）、源IP段、目的IP段、源端口、目的端口，并设置允许或拒绝动作；
- 绑定交换机：将该ACL与目标子网关联的交换机绑定——这是ACL真正生效的临界点；
- 注意方向分离：ACL无状态，入方向（Ingress）和出方向（Egress）规则必须分别配置，不可复用；
- 规则顺序决定结果：ACL按序号从上到下匹配，一旦命中即执行并终止匹配；末尾默认隐式拒绝所有未匹配流量。
典型子网+ACL协同防护场景
例如将Web层（192.168.100.0/26）与DB层（192.168.200.0/26）隔离：
- Web子网ACL入方向：仅放行0.0.0.0/0 → TCP:80,443；
- Web子网ACL出方向：仅放行192.168.200.0/26 → TCP:3306；
- DB子网ACL入方向：仅放行192.168.100.0/26 → TCP:3306；
- DB子网ACL出方向：默认全拒，或仅允许回传必要响应（如ICMP echo-reply）；
- 两个子网之间其他端口、其他源IP的通信全部被ACL拦截，无需依赖每台ECS的安全组重复设置。
与安全组形成纵深防御
子网ACL是第一道防线，安全组是第二道防线，二者定位不同、互补使用：
- ACL面向子网批量控制，适合做“区域准入”（如禁止外网SSH访问整个运维子网）；
- 安全组面向单实例精细控制，适合做“实例级授权”（如只允许某跳板机SSH到某台堡垒机）；
- 建议：ACL做“宽进严出”粗筛（如放行合法业务端口，拒绝高危端口），安全组再做“细粒度白名单”；
- 两者叠加时，数据包必须同时通过ACL和安全组才可通行，任一拒绝即阻断。
