策略不生效排查是什么
策略不生效的排查是按固定顺序逐层缩小范围：先确认接口与区域归属，再看路由是否可达，然后看会话是否建立，接着看策略是否命中，最后核对 NAT 与服务器侧。顺序的价值在于避免跳跃判断：没有会话时改策略是最常见的误判，因为缺会话往往说明流量根本没到设备，问题在上联、终端或路由，而不是策略本身。
基本信息
| 顺序 | 接口区域 → 路由表 → 会话表 → 策略命中 → NAT 与服务器 |
|---|---|
| 工具 | display 系列命令搭配端口镜像抓包 |
| 留痕 | 每一步记录命令与结论，同一现场只改一处配置 |
| 前提 | 确认故障可复现，记录源地址、目的地址、端口与时间点 |
| 常见干扰 | 旧会话未老化、多出口路径不同、源地址被 NAT 改写 |
典型使用场景
- 新业务上线不通：按顺序逐层确认，快速定位是哪一层没配
- 策略调整后异常：确认旧会话是否仍在生效，而不是新规则无效
- 间歇性不通：结合会话表与回程路径判断是否为非对称或多出口
- 单方向可达：核对源 NAT 与策略里写的地址是转换前还是转换后
- 排查后复测：记录复测用的源地址与时间点，便于事后比对
排查链路
排查链路
1. display security-zone 确认接口区域归属
2. display ip routing-table 10.10.10.10 确认去程路由与出接口
3. display firewall session table source 192.168.10.10 会话是否建立
4. display security-policy rule all 策略是否命中、顺序是否正确
5. display nat-policy rule all NAT 是否按预期命中
6. 端口镜像抓包，核对出入接口报文与地址改写结果按现象缩小范围
| 现象 | 优先排查 | 可能原因 |
|---|---|---|
| 完全不通且无会话 | 路由与上联 | 路由缺失、接口未加入区域 |
| 有会话但访问失败 | 服务器与回程 | 服务未监听、回程路径不对称 |
| 部分来源不通 | 源地址与 NAT | 匹配范围未覆盖、被前序规则遮挡 |
| 时通时不通 | 多出口与会话 | 路径漂移、老化时间偏短 |
| 改动后无变化 | 旧会话 | 已建立会话仍按旧配置运行 |
排查过程中不要边查边改：先把现场情况与命令输出记录下来，定位到具体环节后再一次性变更，否则故障现象被破坏，后续无法复现与验证。