华为 USG 安全策略是什么
华为 USG6000 系列较新版本把包过滤统一收进 security-policy 视图：每条 rule 用源/目的安全区域、源/目的地址、服务或应用、用户、时间段描述流量，动作只有 permit 与 deny。设备自上而下逐条匹配，命中第一条即执行并停止比较；所有规则都不命中时按默认动作丢弃并记日志，所以「没写策略」与「被策略拒绝」在现场现象上完全一样。同系列较老版本使用域间策略包过滤，升级后配置形态差别较大，动手排障前先确认版本。
基本信息
| 适用设备 | 华为 USG6000 / USG6600 系列，V500R005 及以后版本 |
|---|---|
| 配置入口 | system-view → security-policy → rule name 名称 |
| 匹配要素 | 源/目的区域、源/目的地址、服务、应用、用户、时间段 |
| 动作 | action permit 放行 / action deny 拒绝，新规则默认追加在末尾 |
| 查看命令 | display security-policy rule all，或 rule name 指定单条 |
典型使用场景
- 放行内网访问互联网：源区 trust、目的区 untrust，只开 http/https/dns 等必需服务
- 服务器发布：untrust 到 dmz 只放行指定业务端口
- 管理面收口：按源地址段限制哪些终端能登录设备，目的区为 local
- 应用管控：对走 80/443 的加密 SaaS 按应用识别结果放行或阻断
- 临时开通：按时间段放行厂商远程支持流量，到期规则自动失效
- 策略收敛：把宽松放行替换为按业务系统、按端口的最小放行集合
放行内网访问互联网
放行内网访问互联网
system-view
security-policy
rule name net-to-internet # 命名体现方向与业务
source-zone trust # 源区域：内网
destination-zone untrust # 目的区域：互联网
source-address 192.168.10.0 mask 255.255.255.0
service http https dns # 只放开必需服务
action permit
quit
quit查看与调序
查看与调序
display security-policy rule name net-to-internet # 单条详情与命中计数
list security-policy rule # 列出全部规则及实际顺序
system-view
security-policy
rule move net-to-internet before default # 调整匹配顺序
quit不通的常见原因
| 现象 | 排查方向 | 参考命令 |
|---|---|---|
| 新建连接超时 | 会话是否建立、规则是否命中 | display firewall session table |
| 部分应用不通 | 规则中服务或应用范围不全 | display security-policy rule name X |
| 改了策略不生效 | 旧会话仍在，需等待老化 | display firewall session table |
| 行为与预期相反 | 存在更靠前的宽泛规则 | list security-policy rule |
| 统计为零 | 规则被前置规则遮挡 | display security-policy rule all |
排障与维护要点
- 先看会话再改策略：查不到会话说明流量没到设备或已被丢弃，盲目改规则会破坏现场
- 核对实际顺序：用 list security-policy rule 确认精细规则排在宽泛规则之前
- 改动前导出配置：策略条数与顺序属于核心配置，回退靠备份而不是记忆
- 命中计数定期清零后跨一个完整业务周期观察，零命中规则再进入待删清单
- 临时规则用时间段作为条件，避免人工遗忘造成长期敞口
管理面流量（destination-zone local）同样受策略约束：改动或删除与 local 相关的规则前保留一个已登录会话，改完立即用新窗口验证登录，确认无误再关闭旧会话。
地址写法是 source-address 192.168.10.0 mask 255.255.255.0，不要套用 ACL 反掩码或斜杠长度。服务与应用是两套匹配维度：未做应用识别时只按端口匹配，走 443 的第三方应用可能与预期规则不一致。
规则条数增长后建议按「方向 + 业务系统」命名并定期导出清单评审，把零命中规则、被遮挡规则与到期临时规则一起清理，避免策略库长期只增不减。
规则里引用应用（app）会同时依赖应用识别结果：识别失败的流量按未匹配处理。上线新应用前可先用记录动作观察一段时间，确认识别稳定后再改为放行或拒绝，减少误拦截。