问题描述：
华三F1020防火墙兜底策略怎么查看
组网及组网描述：
华三F1020防火墙兜底策略怎么查看
- 2026-04-07提问
- 举报
-
(0)
最佳答案
在 H3C F1020 防火墙里，我们通常说的“兜底策略”就是缺省策略 (Default Policy)。它位于所有安全策略的最后，用来处理没有被任何明确规则匹配到的流量。
查看规则动作：在系统视图下执行
display security-policy ip，然后在输出中查找Default action字段。如果显示为Drop或Deny，则表示未匹配的流量会被拒绝；如果显示为Pass或Permit，则表示放行。一般而言，为了安全考虑，缺省策略通常被设置为拒绝。查看策略总数：执行
display security-policy | include total可以显示当前配置的安全策略总数，从而侧面了解策略的规模。查看安全域间规则：你的防火墙可能还沿用较老的安全域间策略。可以执行
display zone-policy security来查看相关配置。关于安全域间的默认动作，可以参考以下说明：同一安全域内，缺省为 允许 (Permit)
高优先级安全域访问低优先级安全域，缺省为 允许 (Permit)
低优先级安全域访问高优先级安全域，缺省为 拒绝 (Deny)
与Local域互访，缺省为 允许 (Permit)
请注意：安全域优先级是另一种策略模式，默认状态下是关闭的。如果未开启优先级，那么所有安全域之间的缺省动作均为拒绝（Deny）
- 2026-04-07回答
- 评论(0)
- 举报
-
(0)
排查步骤与命令：
1. 查看域间策略的默认动作：
display security-policy ip
查看策略列表末尾，是否存在 `rule` 编号非常大（如 `65535`）的策略，其动作（`action`）为 `permit` 或 `deny`，这通常是手工配置的兜底策略。
2. 查看安全域间默认包过滤状态（关键）：
display zone-pair security
查看所有安全域间（`source-zone` 与 `destination-zone`）的 `default packet-filter` 状态。如果显示为 `permit`，则表示该域间方向默认允许；如果为 `deny`，则表示默认拒绝，这是系统级的兜底行为。
3. 查看具体域间策略（可选）：
如果知道具体的源/目的安全域，可以使用更精确的命令查看：
display security-policy ip source <源安全域> destination <目的安全域>
总结： 兜底策略的查看主要依赖于以上两个命令。通常，未配置任何具体规则时，防火墙的默认行为由 `zone-pair security` 中的 `default packet-filter` 决定，默认为 `deny`（拒绝）。
- 2026-04-07回答
- 评论(0)
- 举报
-
(0)
暂无评论
一、命令行查看（最准）
1. 查看缺省策略动作（drop /pass）
<F1020> display security-policy
Default rule action: Drop // 兜底动作：丢弃（默认）
Default rule logging: Disabled // 缺省是否记日志
Default rule counting: Disabled // 缺省是否计数
- 默认出厂：
Default rule action: Drop（拒绝所有未放行流量）
2. 查看完整安全策略（含兜底）
<F1020> display security-policy ip
Rule 65535 default action drop
- 65535：固定 ID，代表最后一条兜底策略
- action drop：未匹配任何规则 → 直接丢弃
3. 查看缺省策略统计（看被拦截了多少流量）
<F1020> display security-policy statistics
Default rule:
Passed packets: 0, Passed bytes: 0
Dropped packets: 12345, Dropped bytes: 67890 // 兜底拦截的流量数
二、Web 界面查看
- 登录防火墙 Web 管理页面
- 进入：防火墙 → 安全策略 → IPv4 安全策略H3C
- 滚动到最底部，会显示：
- 缺省规则：拒绝（Drop）
- 可看到是否开启日志 / 计数H3C
三、常见说明
- F1020 默认兜底：drop（拒绝所有）
- 若显示
pass：说明被人为修改过（不安全） - 查看是否被修改：
<F1020> display current-configuration | include "default rule"
- 恢复默认安全兜底（推荐）：
<F1020> system-view
[F1020] security-policy
[F1020-security-policy] default rule action drop // 强制兜底拒绝
[F1020-security-policy] default rule logging enable // 可选：记日志
[F1020-security-policy] save force
四、一句话总结
drop用 display security-policy 或 display security-policy ip 即可查看。- 2026-04-07回答
- 评论(0)
- 举报
-
(0)
暂无评论
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论