是的

1、防火墙配置带宽策略条件配置了源目IP和端口，是需要三个条件都匹配才会做策略限制吧

对的

2、每IP流量限额统计功能，是需要配置什么命令才会统计

防火墙都是web配置

问题 1：带宽策略里源 IP、目的 IP、端口三个条件，是否必须全部匹配才生效

✅H3C SecPath 防火墙（V7 带宽管理 traffic-policy），同一条规则下多个匹配条件之间，默认逻辑是 AND（与），三个条件必须同时全部匹配，这条带宽策略才会触发限速。

举例：规则同时配置源地址对象、目的地址对象、TCP 目的端口 80，报文源 IP 在对象内 + 目的 IP 在对象内 + 目的端口 80三者同时满足，才命中；缺任意一个条件，直接跳过这条策略。

补充区分：

1. 同一条规则的多个匹配项：AND，全部条件同时满足；
2. 多条不同带宽规则：按从上到下顺序匹配，命中第一条就不再继续匹配后面规则；
3. 如果想要 “满足任意一个条件就匹配”，需要拆成多条独立规则。

问题 2：每 IP 流量限额统计，需要配置什么命令

平台：SecPath V7 带宽管理（traffic-policy 流量策略，不是 MQC QoS CAR） 核心：在 profile 带宽模板中配置per-ip带宽参数，设备自动开启按 IP 统计流量，不需要单独敲一条命令去开启统计；配置 per-ip 限速后，display就可以查看每 IP 统计。

完整配置示例（带宽管理每 IP 限速 + 自动统计）

查看每 IP 流量统计的查询命令

输出里会列出该策略命中的每个独立源 IP，对应的收发字节、包数。

两个扩展场景

1. 按月 / 按总流量配额（流量总量限额，不是速率限速） 在 profile 里配置，同样自动按 IP 统计流量：

达到流量阈值直接丢包。

2. 【重要约束】 per-ip和per-user互斥，同一个 profile 不能同时配置每 IP、每用户； per-ip 带宽值不能大于 profile 整体总带宽上限。

容易混淆：MQC 的 CAR 每 IP 限速（老方案）

如果不用带宽管理，用 MQC+CARL，需要qos carl ... per-address，适合简单接口限速，不推荐用于防火墙多安全域、基于源目 IP + 端口的精细化带宽策略，优先使用 traffic-policy 带宽管理模块。

排错要点

• 配置完 per-ip 后，必须有业务流量命中这条策略，display才会显示 IP 统计条目；无流量时是空。
• 带宽策略需要应用到对应的安全域 / 全局，否则策略不生效，自然没有统计。
• 双机 IRF 场景，流量统计是单机本地统计，不会实时同步到对端。