默认拒绝是什么
主流安全设备在流量没有匹配到任何策略规则时，默认动作是丢弃并记录日志，也就是默认拒绝。这条规则决定了排障的起点：业务不通时，先确认流量是否到达设备、会话是否建立、是否命中某条允许规则；三者都不满足时，问题多半在策略覆盖范围而不是设备转发本身。反过来也要注意，默认拒绝同样作用于设备自身的管理流量。
基本信息
| 默认动作 | 流量未命中任何规则时丢弃并生成丢包记录 |
|---|---|
| 适用范围 | 区域间流量与到设备自身的流量都受约束 |
| 验证手段 | 会话表、策略命中计数、丢包日志三者结合 |
| 配套要求 | 管理面必须保留一条精确的放行规则 |
| 常见误区 | 认为设备自身流量不受策略控制 |
典型使用场景
- 新规则上线后验证是否命中：命中计数不增长说明条件写错
- 排查业务不通：先看会话是否存在，判断是否走到默认动作
- 收紧策略库：把依赖默认拒绝兜底的漏洞规则补写成显式拒绝
- 审计举证：用丢包日志说明未授权访问已被阻断
- 区域改造后回归测试：确认改造未把必要流量一并挡掉
华为查看未命中丢包
华为查看未命中丢包
display security-policy rule all # 关注每条规则命中计数是否为 0
display firewall session table source 192.168.10.10 # 会话是否建立
# 未命中策略的流量在丢包日志中查看，结合时间点与源地址定位
display logbuffer | include Deny不通时的核对顺序
| 步骤 | 检查内容 | 结论指向 |
|---|---|---|
| 1 | 流量是否到达设备 | 未到达：上联或终端侧问题 |
| 2 | 会话是否建立 | 有会话：继续看应用与回程 |
| 3 | 策略是否命中 | 未命中：条件或顺序有问题 |
| 4 | 是否有丢包日志 | 有记录：被策略或默认动作丢弃 |
| 5 | 回程路径是否对称 | 不对称：有状态设备无法匹配会话 |
调整默认动作或用宽泛策略替代默认拒绝前先想清楚：设备自身管理流量同样受策略约束，改错可能把自己关在门外，必须保留可用登录通道与回退方式。