M9K安全策略优先级问题

security-zone intra-zone default permit  这个是定义缺省的域内策略，如果安全策略没配置的话，才会匹配这个策略，保底策略，优先级最低。

security-policy ip 这个可以定义域间和域内的策略，如果匹配了就不会执行保底策略

正常是security-policy ip

具体测试下吧

一、核心优先级结论（从高到低）
域间自定义安全策略 security-policy ip（域间、域内手工策略）
域内默认动作 security-zone intra-zone default permit/deny
全局默认丢弃（所有无匹配流量最终动作 deny）
简单记：手工策略 > 域内默认动作 > 全局默认拒绝
二、分场景详细拆解
场景 1：同一安全域内部流量（intra-zone，同域互访）
流量：Trust → Trust / Untrust → Untrust
先匹配域内手工安全策略（你手动写的同域 security-policy ip）；
匹配上：按策略允许 / 阻断执行；
无匹配手工策略，才会执行 security-zone intra-zone default permit；
若默认是 deny，同域无匹配流量直接丢弃。
示例配置对比：
bash
运行
# 1）同域手工策略（优先级更高）
security-policy ip intra-zone trust
rule 0 deny source 192.168.1.0 0.0.0.255 destination 192.168.1.100 0
# 2）域内默认允许（仅手工策略未匹配时生效）
security-zone intra-zone default permit
此时 192.168.1.x 访问 192.168.1.100 会被 rule0 阻断，不会走 default permit。
场景 2：不同安全域之间流量（inter-zone，域间互访，Trust→Untrust 等）
security-zone intra-zone default permit 完全不生效，该命令仅控制同域流量，对跨域流量无任何作用。
跨域流量逻辑：
匹配域间手工 security-policy ip；
无任何域间策略匹配 → 全局默认 deny 丢弃。
三、关键区分两个易混淆命令
security-zone intra-zone default permit
生效范围：仅同安全域内部流量
优先级：低于手工安全策略，仅作为兜底默认动作
对跨域流量无管控能力
security-policy ip（包含 intra-zone、inter-zone 两种）
分为：同域 intra-zone 策略、跨域 inter-zone 策略
所有手工配置规则优先级最高，会优先匹配，覆盖域内默认动作
四、完整流量匹配逻辑流程图
判断流量是【同域】还是【跨域】
同域流量
① 匹配同域手工 security-policy ip → 执行策略动作
② 未匹配 → 执行intra-zone default permit/deny
跨域流量
① 匹配对应域间手工 security-policy ip → 执行策略动作
② 未匹配 → 全局默认 deny（intra-zone default 配置不参与跨域判断）
五、验证查看命令
bash
运行
# 查看域内默认动作
display current-configuration | include intra-zone default
# 查看所有安全策略（区分intra/inter域）
display security-policy ip all
# 查看流量匹配统计，验证规则命中
display security-policy statistics