看看是不是通过其他策略匹配的

防火墙安全策略 595、596 日志异常问题解答

现象：

• rule‑id 595：地址段，日志完整，443、ICMP 均有日志
• rule‑id 596：单台明细主机 IP（被 595 地址段包含），只看到 ICMP 日志，TCP 443 等端口没有日志；外部设备确认该主机确实存在 443 等业务访问流量。

核心原理：V7 防火墙安全策略是按 rule‑id 从小到大顺序匹配，匹配即停止；会话首包命中哪条策略，这条会话就归属该策略，后续报文不再重新匹配策略。

根因分析

规则编号：595 ＜ 596

1. TCP 业务访问（443）首包过来，先匹配到编号更小的595（大地址段），直接命中 595，建立会话，流量全部归属 595 策略，不会走到 596，所以 596 看不到 TCP 端口日志，全部记在 595 下面。
2. ICMP 大部分是独立报文，每一次 ping 都相当于独立首包。部分 ICMP 报文刚好匹配到 596，所以 596 能看到少量 ICMP 日志；ping 报文有的也会命中 595，两条策略都会出现 ICMP 日志。

这就是现象：596 只有零星 ICMP 日志，TCP 业务流量全部被前面 595 拦截匹配走了，根本没有触发 596 规则。

⚠️注意：防火墙安全策略不是深度优先，是按 rule‑id 编号从小到大依次匹配，匹配就终止，和 ACL auto 模式不一样，不会自动优先匹配更精细的主机条目H3C。

验证手段（命令行确认命中哪条策略）

1. 看会话表，确认业务会话归属哪条策略：

输出中Policy: rule‑595，证明 TCP 业务全部命中 595，没有走到 596。 2. 看策略命中统计计数：

观察：595 的 TCP 计数持续上涨，596 的 TCP 计数几乎为 0，ICMP 有少量计数。

修复方案（二选一，推荐方案 1）

方案 1：调整规则顺序，细粒度主机策略放前面（最优）

把明细主机 596 移动到 595 前面，让单主机规则优先匹配。

移动完成后，该主机所有流量优先匹配 596；网段内其他 IP 继续匹配 595。

移动规则后，需要清空旧的老化会话，旧存量会话仍然会沿用老策略：

清空该主机的旧会话，新的访问会话才会命中 596，产生对应日志。

方案 2：保留现有顺序，595 排除该主机 IP（不推荐，配置繁琐）

在 595 的源地址对象里面把这个主机做排除，网段剔除该 IP，这样主机流量才会往下匹配到 596。

其他排查点（排除次要因素）

1. 两条策略都已经开启logging enable，确认全局信息中心允许输出安全策略日志；
2. 确认硬盘正常，日志没有因为磁盘满丢失；
3. 防火墙本地时间准确，查询日志时时间筛选范围正确，避免日志存在但是查询条件过滤看不到。

简短总结

1. V7 安全策略按 rule‑id 从小到大匹配，匹配即停止，不会自动优先匹配精细主机；595 编号更小，TCP 业务首包直接命中 595，不会走到 596，所以 596 看不到 TCP 端口日志；ICMP 报文有部分命中 596，所以能看到 ICMP 日志。
2. 处理：move rule 596 before 595，将细粒度主机策略移动到网段策略前面；再 reset 该主机旧会话，新流量就会在 596 产生完整日志。
3. 验证：display session table verbose看会话归属哪条策略，display security‑policy statistics看策略命中计数。