F5000防火墙安全策略和域名信誉的监测，二者有无先后关系？

执行顺序说明（Comware‑V7 一体化 DPI 引擎）

1. 第一步：先匹配域间安全策略（security‑policy ip）
   • 安全策略 deny：直接销毁会话，报文丢弃，不再进入后面 DPI 深度检测（域名信誉、IPS、AV 等全部跳过）。
   • 安全策略 action 为pass放行之后，流量才送入 DPI 深度检测流水线，才会执行域名信誉检测H3C。

那为什么现场已经命中 deny 策略，还能看到域名信誉告警？ 不是 deny 的 TCP/UDP 业务报文，而是【DNS 查询报文】触发域名信誉检测。

核心现场根因

1. 你的安全策略 deny，限制的是源访问互联网业务流量（http/https 等 TCP 业务）；
2. 但是该源的DNS 查询报文，被另外一条安全策略允许通过防火墙（内网到外网 DNS 53 端口放行）；
3. DNS 查询报文命中 pass 策略，进入 DPI，提取 DNS 请求域名，匹配域名信誉库，生成域名信誉拦截日志；
4. DNS 查询被域名信誉模块丢弃，但是后续真正访问外网业务报文，被域间安全策略 deny 丢弃。

所以看到现象：安全策略命中（业务访问被拒），同时域名信誉日志出现该源访问恶意域名的告警；两套分别处理 DNS 报文和业务报文，两套配置均已经生效，并不冲突。

简单总结：

• 业务访问互联网报文：命中安全策略 deny，直接丢弃，不走域名信誉；
• DNS 解析报文：被其他策略允许放行，进入 DPI，触发域名信誉检测，产生告警日志。

验证排查命令

#查看安全策略命中计数，确认DNS 53端口匹配哪一条rule display security‑policy ip statistics #查看域名信誉匹配统计 display domain‑reputation statistics

看日志里面告警报文的协议，确认是UDP 53 DNS 报文。

两种处理方案（按需选择）

方案 1：希望该源完全不做域名信誉检测（不产生告警）

在域间安全策略，针对该源 IP，把DNS 53（udp/tcp）也 deny 掉；DNS 报文直接被安全策略丢弃，不会进入 DPI，不会再产生域名信誉日志。

方案 2：保留 DNS 解析能力，同时保留域名信誉检测（推荐）

维持现有配置，现象属于正常；域名信誉日志只是 DNS 层面拦截恶意域名解析；业务访问被安全策略阻断，两套防护同时生效。

注意：域名信誉只处理DNS 报文，从 DNS 请求报文中提取域名；普通 TCP 业务报文不会触发域名信誉检测H3C。

在H3C F5000防火墙上，安全策略和域名信誉检测的执行有先后关系，但与你观察到的现象不矛盾。
执行顺序：
1. 先进行安全策略匹配（包括源/目的地址、服务等过滤）。
2. 匹配通过后，再对放行的流量进行域名信誉检测。
你的场景分析：
安全策略已限制该源地址访问互联网，且命中策略，说明流量被阻断。
但信誉日志仍显示该源地址访问非法域名被拦截，这通常是因为：
域名信誉检测发生在DNS解析阶段，而非HTTP/HTTPS流量阶段。
即使安全策略阻断了后续数据流量，防火墙仍会对DNS查询报文进行域名信誉检测（如果DNS流量本身被放行或检测点早于策略阻断）。
或者日志是历史记录，配置变更前的残留。
验证配置是否生效：
bash
display security-policy ip # 查看安全策略命中计数
display dns-reputation domain # 查看域名信誉库和检测统计
display logbuffer | include <源IP> # 过滤该源地址的实时日志
建议排查步骤：
1. 确认安全策略的匹配顺序，该源地址的阻断策略是否在放行DNS的策略之前。
2. 检查DNS流量是否被单独放行（如放行UDP 53），导致域名信誉检测先触发。
3. 清空日志后重新测试，观察是否仍有新日志产生。
4. 若需完全禁止该源地址所有外联，建议在安全策略中同时阻断TCP/UDP 53端口。