如何测试服务器ACL策略

测试服务器 ACL（访问控制列表）策略，核心目标是验证“谁、在什么条件下、能/不能访问什么资源”。下面按通用思路 + 常见场景 + 实操示例来说明。

一、明确要测试的 ACL 内容

先确认 ACL 控制的是什么：

• 网络层 ACL：防火墙、交换机、安全组（如云服务器安全组）
• 系统层 ACL：Linux 文件/目录 ACL（setfacl）、Windows NTFS ACL
• 应用层 ACL：Web 服务、API、数据库权限
• 服务层 ACL：SSH、Redis、MySQL 访问限制

测试前需准备：

• 被测服务器 IP / 域名
• 测试客户端（不同 IP、不同用户）
• 预期“允许 / 拒绝”矩阵表

二、通用测试流程

1. 制定测试矩阵

示例（网络 ACL）：

2. 从“允许方”测试（正向）

验证该通的能通：

telnet 目标IP 端口
# 或
nc -vz 目标IP 端口

Web/API：

curl -I http://目标IP:端口/path

3. 从“拒绝方”测试（反向）

验证不该通的被拦：

• 换公网 / 其他网段机器
• 使用被禁止的用户或 token

应看到：

• 连接超时
• 连接被拒绝
• 返回 403 / 401

4. 日志与抓包验证（关键）

不要只看“连不上”，要确认是 ACL 拦的：

• 防火墙日志
• 安全组日志
• 系统日志（/var/log/secure、audit.log）
• 抓包：

tcpdump -i eth0 host 目标IP and port 22

三、常见场景示例

场景 1：Linux 文件 ACL 测试

设置：

setfacl -m u:alice:r /data/file.txt

测试：

su - alice
cat /data/file.txt   # 应成功

su - bob
cat /data/file.txt   # 应拒绝

查看：

getfacl /data/file.txt

场景 2：云服务器安全组 ACL

测试：

• 安全组只允许公司 IP 访问 3306
• 用公司 IP → 成功
• 用手机热点 → 失败

场景 3：API / 应用 ACL

• 无 token → 401
• 普通用户访问管理员接口 → 403
• 管理员 → 200

可用：

curl -H "Authorization: Bearer xxx" URL

四、常见测试误区

❌ 只在“自己机器”测
✅ 必须多源 IP / 多身份

❌ 只看返回码
✅ 结合日志确认拦截点

❌ 改完 ACL 不复位
✅ 测试后恢复初始状态

五、一句话总结

测试 ACL = 用“该进的进、不该进的进不来”的方式，从多身份、多来源、多协议验证，并用日志确认拦截行为。

如果你能告诉我：

• 是 Linux / Windows / 云服务器 / 网络设备
• ACL 是 网络 / 文件 / 应用

我可以直接给你针对性测试命令和步骤。