策略匹配顺序是什么
安全策略的匹配是自上而下逐条进行的，命中第一条即执行动作并停止比较，后面的规则不再参与判断。这意味着同样的规则集合，顺序不同会产生完全不同的结果：一条宽泛放行排在精细拒绝之前，后者等于从未存在。顺序问题在策略库长期迭代后最容易被忽略，也最容易造成「配置写了但不生效」的困惑。
基本信息
| 匹配方式 | 顺序匹配、命中即停，不做最优匹配 |
|---|---|
| 调整手段 | 华为 rule move 调整相对位置；H3C 用规则编号；AF 在控制台排序 |
| 查看命令 | list security-policy rule 看实际顺序，display ... rule all 看命中计数 |
| 设计原则 | 精确规则在前、宽泛规则在后；高频小流量规则靠前减少无谓比较 |
| 风险点 | 顺序调整属于全局影响变更，需窗口期执行并准备回退 |
典型使用场景
- 策略收敛：把精细放行规则上移，宽泛兜底规则下移到末尾
- 排障核对：确认某流量命中的到底是哪条规则，而不是文档里记录的那条
- 临时规则管理：临时放行规则上移后设置到期时间，避免长期驻留
- 新增业务上线：新规则默认在末尾，若被遮挡需主动上移
- 审计取证：导出规则清单并核对顺序与实际生效结果是否一致
华为规则排序
华为规则排序
system-view
security-policy
rule move net-to-internet before default # 移动到指定规则之前
rule move temp-vendor after net-to-internet
quit
list security-policy rule # 调整后确认实际顺序是否符合设计
# 顺序调整后继续观察命中计数，确认业务未受影响再清理旧规则顺序问题的典型现象
| 顺序问题 | 表面现象 | 确认方法 |
|---|---|---|
| 宽泛规则在前 | 精细拒绝不生效，业务照常放行 | 看两条规则的命中计数 |
| 完全重叠的规则 | 后面那条命中计数长期为零 | 导出清单按命中排序 |
| 临时规则未下移 | 到期前业务可用，到期后中断 | 核对规则时间段与位置 |
| 方向写反 | 流量走另一组规则，结果反直觉 | 核对区域对与源目地址 |
规则数量不多且变更频繁时，保持默认追加也可以接受；规则上百条后建议按「精确到宽泛、高频到低频」定期重排，并把重排结论记入变更记录。
调整顺序会同时影响多条业务：变更前导出配置与规则清单，变更后按业务清单逐项抽样验证，出现异常立即恢复原顺序而不是继续微调。