M9K怎么根据源目的IP地址，查看对应安全策略

一、先明确：你有两种查询方式

1. 离线查询（直接查策略表）：根据源 / 目的 IP，匹配策略里的地址对象 / 地址段
2. 在线查询（会话 / 命中查询）：根据实际流量，看命中了哪条策略

二、方式 1：直接查询策略（最常用）

1）命令行查询

• 这个命令会直接列出所有匹配源 / 目的 IP 的策略，按匹配顺序排序，优先级高的在前。

2）Web 界面查询

1. 登录防火墙 Web 界面 → 策略 → 安全策略
2. 在策略列表的高级筛选里：
   • 源地址：输入你的源 IP / 网段
   • 目的地址：输入你的目的 IP / 网段
   • 点击 “查询”，即可过滤出所有匹配的策略。

三、方式 2：通过会话反查命中的策略（确认实际生效策略）

1）命令行查询会话

• 在输出里找到 Policy ID 字段，记下策略 ID（如 Policy ID: 123）。

2）根据策略 ID 查策略详情

• 可以直接看到这条策略的源 / 目的地址、动作（允许 / 拒绝）、服务、应用等完整信息。

四、高级场景：地址对象是网段 / 地址组怎么办？

1）查看 IP 所属的地址对象

• 会列出所有包含该 IP 的地址组，然后再用上面的命令查询包含该地址组的策略。

2）批量查询所有匹配的策略

五、常见坑与注意事项

1. 策略匹配顺序问题：防火墙按策略列表从上到下匹配，命中即停止，所以即使后面有更宽松的策略，也不会被命中。
2. 地址对象重叠：如果多个地址组都包含你的 IP，需要确认是哪个地址组被策略引用了。
3. NAT 转换影响：如果流量经过 NAT（源 NAT / 目的 NAT），会话里的源 / 目的 IP 是转换后的 IP，需要用转换后的 IP 去查询策略。
4. 虚拟系统（VSYS）影响：如果防火墙分了 VSYS，需要先切换到对应 VSYS 下查询：
   bash

   运行

   switch vsys <vsys-name>

六、一键排查命令组合

方法一：通过查看会话表（最推荐，影响最小）

1. 在客户端发起访问：让源 IP 去访问目的 IP（例如 Ping 一下，或者访问某个端口），确保产生流量查看详细的会话表：在防火墙命令行中输入以下命令（将 IP 替换为实际的业务 IP）：1display firewall session table source-ip <源IP> destination-ip <目的IP> verbose
2. 注：加上 verbose 参数可以显示更详细的信息。
3. 提取策略 ID：在输出的信息中，找到 Security-policy 或 Policy 字段，后面跟随的数字就是该流量匹配的安全策略 ID。
4. 查看策略具体内容：拿到 ID 后，使用以下命令查看该策略的具体配置（源目的区域、动作等）：
   1display security-policy id <策略ID>

方法二：使用调试命令实时抓取（适合排查不通的流量）

1. 开启安全策略报文调试：
   1debugging security-policy packet ip source <源IP> destination <目的IP>
   建议带上具体的源目 IP，否则调试信息会非常多，影响设备性能。
2. 开启终端显示：
   1terminal debugging
3. 触发流量：再次让源 IP 访问目的 IP。
4. 查看匹配结果：终端屏幕上会实时打印出报文匹配的策略信息，通常会显示 Match security policy ID: xxx。
5. 关闭调试（非常重要！）：排查结束后，务必立刻关闭调试，以免消耗设备 CPU：
   1undo debugging all