ACG1000-AE1

分为控制策略整体匹配顺序、单条策略内部应用 / URL 过滤执行顺序、URL 黑白名单 / 分类内部优先级三部分。
一、多条控制策略之间：自上而下，命中即停
所有 IPv4 控制策略按页面显示从上到下逐条匹配流量；
一条流量匹配到某条策略后，执行该策略全部控制动作，不再往下匹配其他策略；
规则规范：范围更精细的策略放前面，宽泛 ANY 全通策略放最后。
例：先放「禁止百度 URL」，再放「全部网页放行」；如果反过来，禁止规则永远不生效。
二、单一条控制策略内部：应用识别先执行，URL 过滤后执行
同一条策略里同时配置了应用控制和URL 过滤时，处理流程固定：
第一步：深度报文检测 DPI 识别应用（微信、抖音、网页 HTTP/HTTPS 等）；
匹配应用动作：允许 / 阻断 / 限流 / 审计；
若动作是阻断，流量直接丢弃，不再走 URL 过滤；
第二步：只有应用放行后，才提取报文域名 / URL，执行 URL 过滤黑白名单、分类控制；
关键结论：应用阻断优先级高于 URL 过滤；应用放行才会校验 URL。
三、URL 过滤模块内部自身匹配优先级（同流量多条 URL 规则）
优先级从高到低：
自定义 URL 黑白名单（精确域名 / 通配） > 2. 自定义 URL 分类 > 3. 设备预定义 URL 分类库
黑名单 > 白名单；自定义规则 > 系统内置分类；
一条 URL 同时匹配多个分类，执行严重级别数值最大分类的动作（阻断优先于放行）；
HTTPS 网站需开启 SSL 解密 / DNS 代理，才能提取 SNI 域名做 URL 匹配。
四、最简实操总结
多条策略：精细规则置顶，从上往下匹配，命中终止；
单条策略内部：先应用识别，应用阻断直接丢弃；应用放行才校验 URL；
URL 内部：自定义黑白名单 > 自定义分类 > 系统内置网站分类；阻断动作优先级高于放行。

全部匹配的

没有顺序