f1000-ai-25 防火墙安全策略和安全防护不生效

原理说明（V7 防火墙）

1. 安全策略（域间包过滤）：仅对三层转发流量生效 二层桥转发的报文，不经过安全策略会话建立流程，域间安全策略直接跳过，报文二层透传，策略放通 / 阻断全部无效。
2. 攻击防范（泛洪防范）：虽然可以应用在安全域 Untrust，但二层模式下有巨大限制 泛洪防范是基于IP 会话 / IP 统计；二层透明模式流量如果是跨桥转发，流量不会经过会话检测引擎，泛洪防御无法拦截，攻击报文直接穿透打到内网。

你 Web 界面攻击防范策略 “应用于 Untrust” 只是配置挂载，但二层转发流量不走安全业务引擎，防护不触发。

一句话总结：接口二层模式（透明桥），域间安全策略失效；泛洪 DDoS 防护也无法正常拦截流量。

两种解决方案（二选一）

方案 A【推荐，标准出口防火墙部署】：改成三层模式（路由模式）

1. 将 GE1/0/0、GE1/0/1 从二层模式改成三层路由接口，配置 IP 地址，把内网网关放在防火墙 Trust 接口。
2. 接口加入 Trust/Untrust 域。
3. 安全策略：配置source-zone untrust destination-zone trust的域间策略，此时策略生效。
4. 攻击防范策略：应用于 Untrust 域，SYN/ACK 泛洪防护正常工作，攻击流量进入防火墙会做 IP 统计、超限拦截。

优点：安全策略、攻击防范、NAT、IPS/AV 全部功能完整可用，是防火墙标准工作模式。

方案 B：保留二层透明桥模式（不改组网，仅做有限防护）

⚠️注意：透明模式下域间安全策略依然无效！只能使用下面两类防护，不能靠域间策略拦截 IP 流量。

1. 单包攻击防范：单包类攻击（Ping of death、非法 TCP 标志、IP 欺骗等）二层模式下可以生效。
2. 泛洪类 Flood 防护（SYN Flood）透明模式局限性 透明桥的泛洪防护，仅保护【防火墙本机 IP】，不能保护内网后端服务器 IP，这就是你现在看到：攻击直接打到内网服务器，泛洪策略不拦截。

透明模式下泛洪防护无法对桥后面内网 IP 做 pps 统计，所以你配置的 SYN 阈值 50pps，不会对内网服务器生效。

3. 二层模式想要做访问控制：不能用安全策略，只能使用 ACL + 桥过滤（bridge packet-filter），在桥接口入方向应用 ACL 过滤报文。

针对你当前 Web 配置的问题点

1. 攻击防范策略：泛洪防范里【受保护 IP 列表为空】！ 就算三层模式，受保护 IP 不添加内网服务器 IP，泛洪策略也不会保护内网主机。

✅操作：泛洪防范配置页面，【受保护 IP】→新建，填入内网服务器 IP。泛洪是针对目标 IP 做速率统计，不填受保护 IP，防护对象不存在。

2. 二层模式下，“检测所有 IP 地址” 这个勾选框，在透明桥场景不生效，仅三层模式有效。
3. 安全策略：不要继续在透明模式下配置域间安全策略，二层流量不走域间包过滤。

快速排查命令行验证

如果hit-count=0，代表报文根本没有匹配安全策略。

故障现象解释你遇到的问题

攻击直接打到内网：Untrust 侧攻击流量进入 GE1/0/1，二层桥转发直接从 GE1/0/0 转发内网，不经过会话建立、不经过安全策略检查、泛洪 Flood 无法统计后端服务器 IP 报文速率，所以不拦截。单包攻击（畸形报文）可以拦，SYN/ACK 泛洪拦不住。

建议实施顺序

1. 评估组网是否允许改成三层路由模式（优先推荐，完整安全能力）；
2. 如果必须保留透明桥：放弃域间安全策略，改用 bridge packet-filter ACL 做访问控制；明确：透明桥无法保护内网服务器抵御 SYN Flood 这类泛洪攻击；
3. 若坚持透明 + 防 DDoS 泛洪：需要在前端额外部署 DDoS 引流清洗设备。

补充避坑

• 透明模式桥转发，IPS、AV、流量审计等深度安全功能同样无法生效，只有单包攻击防范可用。
• 泛洪攻击防范：只在流量经过防火墙三层会话的时候，才可以对内网服务器 IP 做 pps 限速。

你也没调用防病毒和入侵防御，然后你策略也是any，最好优化一下写明细