S7506X-G ACL问题

ACL匹配遵循“首次匹配即终止”原则。流量进入ACL后，从规则编号最小的开始逐条比对，一旦命中某条规则，立即执行该规则动作（permit或deny），不再继续匹配后续规则。
在你的例子中：
流量源IP为172.16.24.0/23网段，目的IP为172.16.32.0/22网段时，会命中rule 70的deny，直接丢弃，不会继续匹配rule 80。
只有不满足rule 70条件的流量（如源IP不在172.16.24.0/23范围内），才会继续匹配rule 80。
因此，rule 80无法放通已被rule 70拒绝的流量。若需放通部分流量，应将更精确的permit规则编号设得更小（如rule 60 permit），或调整deny规则的通配符掩码以缩小匹配范围。

1. 默认高级 ACL 为config 配置顺序：rule 编号从小到大依次匹配；一旦报文匹配某一条 rule，立刻终止 ACL 内部后续匹配，直接执行本条的 deny/permit 动作，不会继续往下扫描后面 rule。
2. 没有匹配上任何一条 rule 的报文，才会走到 ACL隐式默认 deny（所有未命中规则报文直接丢弃）。

针对你这条配置结果

• 源172.16.24.0‑172.16.25.255去往目的172.16.32.0‑172.16.35.255的流量，匹配 rule70（deny），直接丢弃，不会再看 rule80，不会被 80 的 permit 放通。
• 其他不满足 rule70 条件的流量，跳过 70，继续匹配到 rule80，执行 permit 放行。

❗误区：不是全部流量都走到 80；被 70 命中的流量直接在 70 截断。

两种匹配模式说明

1. config（默认，按 rule 编号从小到大匹配，你的场景就是这个） rule‑id 越小越先匹配，匹配即停止，和配置输入先后无关，看编号大小。
2. auto 深度优先模式（acl 视图下match‑order auto） 不按 rule 编号，优先匹配子网范围更精确的规则；绝大多数包过滤场景不建议开启 auto，容易打乱预期顺序。

容易踩坑的两个关键点

1. ACL 末尾自带隐式 deny ip any any；你写了 rule80 permit ip 相当于把隐式 deny 覆盖，所有没有命中前面规则的全部放行。
2. rule 编号数字越小优先级越高；拒绝特定网段要写在前面，放通写后面；如果反过来把 permit 写 70，deny 写 80，则 deny 永远不会生效。

举例错误写法（千万不要这样）：

rule 70 permit ip rule 80 deny ip source 172.16.24.0 0.0.1.255 destination 172.16.32.0 0.0.3.255

此时所有流量匹配 rule70 permit 直接放行，rule80 永远不会被触发。