策略配了不生效：USG 安全策略匹配顺序与会话表两本账
防火墙上明明加了放行规则，业务还是不通；或者反过来，加了拒绝规则，流量照样过——华为 USG 防火墙的「策略不生效」工单，九成落在两本账没读明白：一是安全策略自上而下的匹配顺序，二是会话表对已建连接的放行惯性。把这两本账会读，策略排障从玄学变算术。贵州诚鑫致达科技接手第三方配置的防火墙时，第一步永远是按顺序把策略列表读一遍。
排查思路
-
认清匹配顺序：安全策略从上往下逐条匹配，命中即执行、不再往下——所以同一段流量，写在上面的一条说了算。为什么：「明明加了拒绝却拦不住」的经典原因就是上面已经有一条更宽的放行（如按网段放行的旧策略）先命中了。
-
核对五元组与域间关系：定位到命中那条策略后逐项核对：源/目的地址（地址对象网段写没写全）、源/目的安全域（服务器区到办公区、还是 dmz 到 untrust，域选错策略形同虚设）、服务与端口。为什么：策略不生效的第二大原因是安全域没选对——接口加进哪个域，比地址写对更容易被忽略。
-
会讲会话表：
display firewall session table看该业务流量的会话是否存在、方向与转换后地址。为什么：会话表是防火墙的实测记录——有会话说明流量过了，问题在策略之外（路由、对端服务）；没会话说明没放进来，回到策略匹配查。 -
利用命中计数定位：策略视图里看命中计数（display 后每条策略的 hit count），把可疑策略的计数清零后复现业务动作，看计数是否上涨。为什么：计数涨了=这条真命中了，计数不动=命中的是别人，一条验证就把猜测排除干净。
-
排查隐 channels：默认放行类流量（如域内互访的隐含规则、会话级放行的返回流量）会影响判断——拒绝策略对已建立的会话不回溯拆除，先清会话再复现。为什么：「加了拒绝还在通」有时只是老会话还活着，清掉会话再测才是真实结果。
-
整改与文档化：定位后整改（调整策略顺序、改地址对象、补域间策略），并把最终策略列表导出存档，标注每条的用途与责任人。为什么：策略列表是防火墙的账本，没有注释的百行策略，下一个人只能靠猜。
三条边界先知道
- 先查别的再说策略：不通的流量先看会话表定「过没过防火墙」，别上来就改策略，越改越乱。
- 顺序即制度：具体策略在前、宽泛策略在后，是安全策略列表的基本纪律，新加策略想清楚插入位置。
- 变更留痕：每次策略调整记录时间、原因、执行人，出事追溯时这是唯一凭据。
防火墙排障的核心动作只有两个：看顺序、看会话。你手上的防火墙策略列表，最近一次完整读过是什么时候？
企业存储选型参考｜贵州诚鑫致达
做机房存储、虚拟化或监控归档，群晖机型参考：FS6400（全闪存阵列） · SA3610 · SA3410。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。