AF 访问控制策略是什么
深信服 AF 是下一代防火墙，策略通过 Web 控制台配置，按源/目的区域、地址对象、服务与端口、应用、用户或组等维度匹配，动作可选允许、拒绝或只记录。策略自上而下匹配，命中即生效，因此策略顺序与对象命名规范直接决定长期可维护性。与命令行设备相比，AF 更容易堆积大量人工添加的策略，定期评审比初始配置更关键。
基本信息
| 配置入口 | Web 控制台 → 策略 → 访问控制 → 新增 |
|---|---|
| 匹配要素 | 源/目的区域、IP 组、服务或端口、应用、用户/组、时间 |
| 可用动作 | 允许、拒绝、记录（只记录不阻断，用于观察） |
| 生效顺序 | 自上而下匹配，先命中的策略决定结果 |
| 辅助功能 | 策略命中统计、日志与流量分析用于评审 |
典型使用场景
- 按部门定义上网权限：划分 IP 组后按组放行或阻断应用
- 服务器区访问控制：只允许指定前端访问数据库端口
- 上网行为管理：按应用而非端口限制娱乐与风险类应用
- 临时开通：用时间条件放行外部支持人员的访问，到期自动失效
- 变更观察期：新策略先用记录动作观察命中情况，再切阻断
策略梳理要点
策略梳理要点
1. 先建地址对象（分组命名，如 grp-office、grp-db）
2. 再建服务对象（按端口范围，命名体现用途）
3. 策略引用对象而非裸 IP，避免后续无法维护
4. 每条策略填写备注：用途、申请人、有效期
5. 开启日志，便于命中统计与审计追溯策略维护要点
| 问题 | 后果 | 做法 |
|---|---|---|
| 策略只增不减 | 宽泛策略挡住新策略，命中统计失真 | 按命中统计定期评审，零命中进入待删清单 |
| 裸 IP 直接写策略 | 变更时无法判断影响面 | 统一沉淀为命名地址对象 |
| 缺备注与责任人 | 无人敢删，长期挂着形成敞口 | 新增即填用途、负责人与有效期 |
| 全开日志 | 高峰时段日志量过大，服务器吃紧 | 关键区域对开日志，其余按需开启 |
AF 策略自上而下匹配，把精细策略放在宽泛策略之前；定期用策略命中统计清理零命中条目，删除前留一个完整业务周期的观察期。
在控制台上调整策略顺序会影响全部匹配该条件的业务，建议在变更窗口执行，并准备好导出配置用于回退。