新配的安全策略没配全条件不生效？华为安全策略必配校验与缺省动作

本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。

防火墙策略排不下优先级、配了半截的规则悄悄不生效、调试完忘了把缺省动作改回来导致全通——这些都是安全策略管理里最常见的翻车点。华为防火墙的安全策略基本功能专门提供了对应的机制：必配条件校验、缺省安全策略动作、匹配条件的完整定义，以及阻断时的反馈报文。下面按官方文档把这些逐项讲清。

第一步，开启安全策略必配条件的校验功能（可选但建议）。

system-view

security-policy required-object check enable

这个开关的价值：校验功能关闭的情况下，源 IP、目的 IP 和服务匹配条件是否配置不影响策略规则是否生效——也就是说半截规则也会"生效"，隐患很大。开启后：对已配置的规则不影响其是否生效；对新配置的规则，当源 IP、目的 IP 和服务这 3 个条件中任意一个未配置时，该安全策略不生效（但这 3 个条件均配置为 any 时，该策略仍然生效）。相当于强制你把规则写完整。

第二步，进入安全策略视图，按需配置缺省安全策略。

security-policy

default action { permit | deny }

从 local 区域到 any 的策略动作为允许；其他缺省安全策略的匹配条件均为 any，动作缺省为禁止。如果流量没有匹配到管理员定义的安全策略，就会命中缺省安全策略。官方特别强调：缺省动作配置为允许后，设备允许所有未命中其他安全策略的报文通过，可能带来安全风险——调试完成后，缺省安全策略的动作建议保持缺省状态，即禁止任何流量通过。

两个相关的缺省策略选项：一是控制同一安全区域内的流量：

default packet-filter intrazone enable

缺省情况下，同一安全区域内的流量如果没有匹配到管理员定义的安全策略，也不受缺省安全策略的影响，设备允许其通过；配置该命令后缺省策略也管域内流量。二是元数据采集功能，需要使用安全遥测功能采集数据时配置：

default traffic metadata enable

第三步，创建安全策略规则。策略名称可自定义；也可以用 rule add autoname 创建名称为时间戳格式的自动命名规则。

rule name rule-name

rule add autoname

这里说明一点：命令行配置中安全策略以"rule"的形式存在，所以文档里"安全策略规则"与"安全策略"含义相同。合理填写描述信息有助于正确理解规则功能，便于查找和维护。

第四步，配置匹配条件。匹配条件种类很多：VLAN ID、源/目的安全区域、源/目的地址（可直接配地址，也可引用地址对象、地址组、地区、威胁信息源和域名组）、安全组/用户/用户组、应用、服务（可直接配协议和端口，也可引用服务和服务组）、虚拟服务器、URL 分类、生效时间段等。几个通用规则要记住：

• 各匹配条件之间是"与"的关系；同一条件内的多个数据之间是"或"的关系。
• 源地址、目的地址、服务条件配置为 none 时，该规则不生效。
• 不要仅引用空的地址对象、地址组、地区或域名组，否则该匹配条件无法匹配。
• 策略配置应用识别后会对整机性能有一定影响，请按需选择配置。
• 有 NAT 的环境里，认证与匹配涉及的地址要用转换前/转换后的口径，源地址用转换前私网地址。

第五步，配置动作与阻断反馈。动作就两选一：

action { permit | deny }

动作为禁止时，设备不仅丢弃报文，还可以向发送端和响应端发送反馈报文，让应用层快速结束会话并让用户感知到被阻断。对 TCP 报文，配置发送 TCP reset 报文：

send-deny-packet reset { to-client | to-server }*

对 UDP/ICMP 报文，配置向客户端发送 ICMP 不可达报文：

send-deny-packet icmp destination-unreachable

为防攻击时反馈报文发个不停影响性能，还可以限速：

send-deny-packet { reset | icmp } rate-limit rate-limit

注意：被阻断的报文为跨虚拟系统、经 NAT64 转换、经 VPN 封装或 TCP 代理的报文时，设备不会发送反馈报文；设备工作在二层时不支持发送 ICMP 不可达报文。

另外，动作为 permit 的规则还可以引用内容安全配置文件，对流量做一体化检测：

profile { av | ips | url-filter | data-filter } profile-name

只有动作为 permit 的规则引用的配置文件才会生效；配置文件有增删改时，要在系统视图下通过 engine configuration commit 提交使之生效。

配置完成后怎么验证？在安全策略视图下执行 display this 查看配置信息；在任意视图下执行 display security-policy rule all 查看安全策略的配置信息和命中情况，加 hit-info 参数还能看到第一次和最后一次命中的时间——新策略上线后先看命中计数有没有动，是排查"规则没生效"最直接的抓手。

策略写得全、缺省动作守住底、阻断反馈让用户有感知，这三件事做到位，防火墙的策略管理才算扎实。欢迎搜索关注贵州诚鑫致达科技，获取更多企业边界安全策略的运维经验。

企业存储选型参考｜贵州诚鑫致达

做备份容灾一体机方案，群晖机型参考：DP7400 · DP520 · DP320。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。广西南宁企业存储与网络建设维护，本地化技术支持。