F1000-AK109 版本问题

检查防火墙使用安全策略还是域间策略

Comware V7平台防火墙D022之前版本（不包括D022版本）只能支持域间策略，最新版本防火墙即D022版本之后支持安全策略与域间策略共存。

判断防火墙版本方法：

1、查询到此台防火墙软件版本为D032版本，为安全策略与域间策略共存：

<H3C>system-view

[H3C]probe

[H3C-probe]display system internal version

H3C SecPath F1070 V900R003B01D632SP20

Comware V700R001B64D032SP20

2、查询此防火墙软件版本为D012版本，只能使用域间策略：

[H3C-probe]display system internal version

H3C SecPath F1060 V900R003B01D612SP20

Comware V700R001B64D012SP20

同一台防火墙上安全策略与域间策略只能一种生效，缺省情况下防火墙域间策略生效，所以会出现在新版本防火墙中配置安全策略后发现策略不生效，并且在策略中也没有任何数据匹配的异常现象，原因就是设备默认是域间策略生效，所以如果防火墙配置安全策略则需要让防火墙安全策略生效，如果防火墙配置域间策略则需要关闭防火墙的安全策略。

如果能查到命令“security-policy disable”则域间策略生效：

[H3C]display current-configuration | include security-policy

 security-policy disable

没有查到任何命令则安全策略生效：

[H3C]display current-configuration | include security-policy

注：因为security-policy enable在命令行是不显示的，因此在输入上述命令无法查询到信息的就是安全策略生效。

另外在防火墙WEB网管界面配置时，旧版本（D022之前版本）防火墙在WEB界面配置完成后在命令行生成域间策略的配置、新版本（D022之后版本）防火墙在WEB界面配置完成后在命令行生成安全策略的配置，如果使用WEB界面配置安全策略后出现不生效情况很大可能是因为防火墙默认为域间策略生效。

举例：将防火墙从域间策略修改为安全策略：

<H3C>system-view

[H3C]undo security-policy disable

举例：将防火墙从安全策略修改为域间策略：

<H3C>system-view

[H3C]security-policy disable