F1090防火墙配置安全策略不生效--钓鱼钓鱼机器人

它是怎么不生效，你想做什么实现什么效果？然后命令是什么？

发配置

先明确两条核心机制：
穿越流量：Trust↔Untrust 这类业务转发流量 → 由security-policy ip控制；
访问防火墙本机接口 IP（SSH/WEB/ping）：属于源域→Local，不受安全策略完全管控，受接口service-manage优先拦截。
组网重点提醒：如果你是HRP 双机热备，策略只配在主机、备机配置不同步也会表现为策略失效；务必确认主备配置一致。
一、第一步基础核查（必做）
1、确认两套策略没有共存（最高频故障）
V7 防火墙 object-policy（老域间策略） 和 security-policy（新安全策略）互斥，不能同时生效
plaintext
display current-configuration | include security-policy disable
如果出现 security-policy disable → 当前生效是 object-policy，你配置的安全策略全部不工作；
二选一，统一使用security-policy ip。
2、接口是否正确划入安全域
plaintext
display zone
接口必须绑定对应安全域，不能留在默认 System 区域；
三层子接口、聚合子接口，安全域绑定在聚合 / 子接口上，不要绑物理口。
3、核查策略命中统计（判断流量有没有匹配规则）
plaintext
security-policy ip
display security-policy statistics
计数持续上涨：规则命中。流量不通问题不在策略匹配，检查路由、NAT、ASPF、会话、应用过滤；
计数始终 0：流量五元组、安全域方向匹配不上这条策略。
二、策略配置层面常见错误
策略顺序问题（自上而下匹配，隐式 deny）
拒绝规则放在放行规则前面，业务直接被拦截。
plaintext
security-policy ip
move rule 10 before rule 20
安全域方向写反
示例：内网 Trust 访问外网 Untrust
✅ source-zone trust destination-zone untrust
❌ 写反则永远无法命中。
服务 / 协议错误
TCP/UDP 混淆；自定义服务缺少协议类型；ICMP 单独作为服务匹配。
引用地址对象组为空
空对象组不会匹配任何流量。
plaintext
display object-group ip address xxx
绑定时间段 time-range
当前时间不在区间内，策略暂时失效。
plaintext
display time-range xxx
三、流量路径与 NAT 干扰
NAT 会修改报文五元组，策略匹配 NAT 前原始 IP。
安全策略使用内网原始源 IP；
NAT 策略在安全策略匹配之后执行；
如果误以为匹配转换后 IP，策略永远无法命中。
查看 NAT 策略：
plaintext
display nat policy
四、去往防火墙本机（Local 域）策略不生效【重点坑】
配置 trust → local deny/allow SSH ICMP 不生效：
机理：访问防火墙接口 IP 属于 CPU 本地流量，接口下service-manage优先级高于安全策略。
排查：
plaintext
display current-configuration interface GigabitEthernet 1/0/X | include service-manage
临时测试：删除接口下service-manage acl xxx，再测试连通性。
五、双机热备 HRP 场景专属排查
plaintext
display hrp state
display hrp config-sync status
确认心跳链路正常、配置同步开启；
主备两台策略必须完全一致；
不要只在主机配置策略，备机不同步切换后业务异常；
接口监控列表完整，防止双活。
六、应用过滤 / IPS / 数据过滤叠加干扰
如果策略里开启应用控制、URL 过滤、IPS 特征：
特征库过期，识别异常；
应用动作独立于安全策略，应用层面单独阻断流量；
临时测试：新建一条不带任何应用过滤的极简放行策略，验证基础连通。
七、会话表快速定位
plaintext
display firewall session table source 源IP destination 目的IP
存在会话表：报文成功匹配策略建立会话；不通问题排查上行 / 下行路由、对端设备；
无会话表：报文被策略丢弃。
查看丢包日志：
plaintext
display logbuffer | include deny
八、最简临时测试方法（隔离故障）
新建一条全通策略放到最顶端，排除对象、服务、域书写错误：
plaintext
security-policy ip
rule 999 name TEMP_ALL_PERMIT
source-zone any
destination-zone any
action permit
logging enable
测试业务：
全通后正常 → 原有策略源 / 目的 / 服务 / 安全域条件写错；
全通依旧不通 → 问题不在安全策略，排查路由、链路、NAT、接口域内转发。

玩呢