| 先查 | 流量是否到达设备（接口计数/会话） |
|---|---|
| 再查 | 命中的策略与动作（策略分析工具） |
| 联动 | NAT、路由、双机状态是否干扰 |
排查顺序
排查顺序
1. display session table 看会话是否建立/被丢弃
2. 策略命中分析看匹配的是哪条
3. 检查 NAT 与路由是否把流量引偏
4. 对照日志确认拒绝原因先确认“流量到没到设备”，能迅速区分是网络问题还是策略问题。
防火墙策略问题速查
策略类问题排查通用顺序：查路由与可达性、查策略匹配、查 NAT 影响、查会话与日志，逐层缩小范围。
易错点
- 不查会话直接改策略，越改越乱
- 忽略 NAT 先于策略处理的顺序关系
数据来源与参考
- 通用防火墙排障实践
- 华为 USG6000 产品文档：故障处理