防火墙特征库问题

根据提供的信息，以下是针对华三防火墙开启防病毒策略后部分服务访问异常的解决方案：

原因分析

1. 规则未覆盖所有服务：防病毒策略可能未正确配置服务B的协议/端口，或存在策略冲突。
2. 规则未下发到检测引擎：防病毒规则未正确同步到应用层检测引擎内核，导致部分流量被误拦截。
3. License未激活：设备无有效防病毒License，导致策略无法生效。
4. 代理功能影响：warning parameter-profile命令启用代理功能后可能对HTTP流量产生性能或处理逻辑影响。

解决方案

1. 检查License状态
   确认防火墙已加载有效防病毒License：

   复制

   display license

   若未激活，需导入有效License文件。

2. 验证防病毒规则配置

   • 确保防病毒策略覆盖所有相关服务（如服务A和B的协议、端口）。
   • 检查规则是否启用并正确关联到安全策略：
     复制

     display anti-virus policy

3. 调整策略匹配顺序
   确保防病毒策略的优先级高于通用放行规则。例如：

   复制

   security-policy ip rule 10 name "AntiVirus-Policy" # 防病毒策略 rule 20 name "General-Allow" # 通用放行策略

4. 关闭代理功能（权衡安全需求）
   若确认代理功能导致异常，可在防病毒策略视图中关闭：

   复制

   anti-virus policy av undo warning parameter-profile 1

5. 启用日志与调试

   • 开启防病毒策略日志，观察拦截记录：
     复制

     logging enable
   • 实时调试流量匹配情况：
     复制

     debugging anti-virus all terminal monitor

6. 验证NAT与策略协同
   确保安全策略针对NAT转换后的外网地址和端口生效，而非内部地址。例如：

   复制

   nat server protocol tcp global 202.38.1.2 80 inside 192.168.0.2 80 security-policy ip rule 10 destination-ip 202.38.1.2 # 匹配外网地址

验证步骤

1. 开启防病毒策略后，测试服务A和B的访问情况。
2. 检查安全策略命中计数：
   复制

   display security-policy statistics
3. 查看防病毒日志，确认拦截规则是否符合预期。

若上述步骤仍无法解决，请联系华三技术支持（400-810-0504），提供以下信息协助排查：

• 设备型号及软件版本
• 完整防病毒策略配置
• 相关服务访问的抓包或调试日志