组网及说明
在UR上配置防火墙策略，要求vlan40的终端无法上外网
光猫（192.168.1.1）---家用路由（2.1）---UR（20.254）---核心交换机--接入交换机--PC。终端vlan40的地址池和网关在核心交换机上。
问题描述
在UR上配置防火墙策略，配置针对vlan40拒绝上外网的出站策略不生效
光猫（192.168.1.1）---家用路由（2.1）---UR（20.254）---核心交换机--接入交换机--PC。终端vlan40的地址池和网关在核心交换机上。
终端有线连接在交换机上，dhcp获取到vlan40地址可以上外网，ping223.5.5.5可达，感觉配置的出站策略感觉未生效。
过程分析
1、首先检查出站策略配置，出站策略如下，貌似是没有问题的。
源地址分组也是IP段：192.168.40.1-192.168.40.253
2、经过测试，现场如果将VLAN40建立在UR上，不改变出站策略配置的情况下，终端直连UR获取到VLAN40的地址是无法上网的，此时出站策略又是生效的。
3、再次检查现场的原配置，检查交换机和路由器，发现核心交换机和UR之间使用VLAN9互联，交换机的路由表下一跳是指向192.168.9.1。至此问题确认，终端是跨三层上网的流量，核心交换机收到报文后，检查目的IP，查询路由表，从VLAN9出去，因此在出站策略里填写接口为VLAN40是不对的。
解决方法
将防火墙出站策略中应用接口从VLAN40改为VLAN9即可