H3C防火墙 安全策略有命中 不显示会话

开一下安全策略日志

1. 原因分析

• 命中数量存在但无会话记录：安全策略命中计数是报文匹配策略时的统计，而会话列表（session table）仅记录已建立并转发的会话（即被放行的流量）。被策略拦截的报文不会创建会话，因此不会出现在会话列表中。文档名称：f1000 防火墙的命令行查看会话日志的步骤是什么？可视界面进不去。明确指出“命令行可以查看当前的会话信息，无法查看会话日志”，且示例中的display session table主要用于查看转发会话。
• 监控-会话列表无记录：Web界面的“监控 > 会话列表”同样只显示活跃会话，不会显示被丢弃的报文。要查看拦截记录，需查阅安全策略日志。

2. 解决方案

请按以下步骤检查并启用安全策略日志，以确认拦截来源：

1. 确认安全策略是否已开启日志记录功能
   在Web界面进入“策略 > 安全策略”，找到对应的拦截策略，编辑该策略，确保日志记录功能已勾选（通常为“记录日志”或“Logging”选项）。

2. 查看安全策略日志
   选择“监控 > 安全日志 > 安全策略日志”，即可查看被该策略命中的会话日志，包括源/目的IP、端口及动作等。文档名称：H3C 防火墙产品 Web配置指导(V7)-6W302中提到，可通过“监控 > 安全日志 > 安全策略日志”查看命中情况。

3. 若仍无日志，检查系统日志输出配置
   参考文档名称：某局点V7防火墙升级后无法看到攻击防范日志问题处理案例，V7防火墙默认日志输出到缓冲区及文件。若Web界面日志不更新，可进入命令行检查info-center enable是否已开启，并确认日志缓冲区中是否有对应记录：

   复制

   display logbuffer

   若安全策略产生大量其他日志导致冲散，可考虑关闭无关日志，或配置日志主机集中发送。建议优化安全策略，仅记录关键日志或将日志发送至日志主机。

4. 验证拦截效果
   可在命令行使用debug security-policy packet（设备支持时）实时调试某源IP的报文，确认是否被该策略丢弃。若不支持，可通过display session table ipv4 source-ip 确认无会话是正常现象。

3. 结论

被拦截的流量不会生成会话记录，这是防火墙的正常行为。要查看谁被拦截，必须依靠安全策略日志。请先确保策略已启用日志记录，并在“安全策略日志”中查询过滤源地址或时间段。如果日志设置正常但无输出，再检查info-center配置及日志存储方向。

或者看一下系统，日志，日志存储设置，对应的功能日志是否开启，然后本条安全策略的日志是否开启

编辑策略看下是不是没有开启日志记录

如果开了在看一下存储那边是不是没有给策略记录存储权限