关于华为ACL末尾的详解

众所周知，华为的ACL末尾是默认permit，思科的ACL末尾默认deny。
实际操作过来并不是这样的。因为错误的认知，还造成了业务中断。
例：
业务出口处需要对两个源IP进行引流至防火墙，通过出口配置PBR。回包直接指静态到防火墙。
ACL里加了2条匹配源地址，末尾加了一条rule deny ip，最终结果是，引流的IP正常。其他所有业务不通。咨询华为工程师后，回复末尾加rule deny ip导致的。
最终通过模拟器测试得出以下结论。
华为的ACL末尾机制：
末尾加rule permit ip 相当于permit all，该接口所有的IP均匹配上。
末尾什么都不加，指匹配你需要的源或目的IP，其他IP不做任何动作放行。
末尾加rule deny ip相当于deny ant，除了你配置的IP匹配上，其他IP全部丢弃。