策略问题的通用顺序
策略类问题有一条通用排查顺序：先确认流量有没有到设备，再看命中的是哪条策略、动作是什么，接着排查地址转换与路由是否把流量引偏，最后结合日志确认拒绝原因。顺序错了容易越改越乱——流量根本没到设备时，改策略不会有任何效果。
基本信息
| 第一步 | 流量是否到达设备（接口计数、会话表） |
|---|---|
| 第二步 | 命中的策略与动作（策略命中分析） |
| 第三步 | 地址转换、路由、双机状态是否干扰 |
| 第四步 | 日志确认拒绝或丢弃的具体原因 |
典型使用场景
- 业务不通，怀疑被策略拦截
- 新增策略后其他业务反而异常
- 策略已放行但访问仍然失败
- 双机切换后策略行为发生变化
- 变更前的策略影响预评估
排查顺序
排查顺序
# 1. 查会话表：会话是否建立、是否被丢弃
# 2. 用策略命中分析看匹配的是哪一条、动作是什么
# 3. 检查地址转换与路由是否把流量引到别的出口
# 4. 对照日志确认拒绝原因（策略未匹配、被安全模块阻断）
# 5. 改配置前先记录现状，便于对比与回退现象与排查方向
| 现象 | 优先排查 |
|---|---|
| 完全不通 | 流量是否到达设备、路由是否可达 |
| 部分网段不通 | 策略与源地址的匹配范围 |
| 放行后仍失败 | 应用端口、地址转换与服务器侧配置 |
| 首次慢后续快 | 策略中开启了内容检测或会话建立过程 |
| 切换后异常 | 双机状态与配置是否同步 |
先确认流量到没到设备，能迅速区分是网络问题还是策略问题。
不查会话表直接改策略，往往越改越乱：现象变化了，却说不清是哪条改动起了作用。
排查过程本身也要留痕：查过的会话、看过的策略命中、改动的配置记进工单，换人接手时不必从头来过。