如何查看华为防火墙策略命中次数？

Question

如何查看华为防火墙策略命中次数？在日常运维中，管理员常需统计安全策略的匹配次数以评估策略有效性或排查流量路径。但在华为USG防火墙上，默认情况下策略命中次数不直接显示。需通过命令行执行`display firewall session table`结合`display security-policy statistics`等命令启用并查看策略命中统计。然而，部分版本需先开启统计功能（如`security-policy statistics enable`），否则无法获取数据。常见问题包括命令无效、返回无统计信息或命中数长期为0。这通常因未开启统计功能、策略未实际匹配流量或版本差异导致。如何正确配置并验证策略命中次数统计？

Answer 1

一、华为防火墙策略命中次数查看方法详解

在现代网络安全运维中，安全策略的有效性评估离不开对实际流量行为的分析。华为USG系列防火墙作为企业级边界防护的核心设备，其安全策略的命中情况直接反映了网络访问控制的实际执行效果。然而，默认情况下，华为防火墙并不开启策略命中统计功能，导致管理员无法通过常规命令获取关键数据。

1. 基础概念：什么是策略命中次数？

策略命中次数（Security Policy Hit Count）是指某条安全策略自启用以来，被实际流量匹配并处理的总次数。该数值可用于：

• 识别长期未被触发的“僵尸策略”
• 验证新策略是否按预期生效
• 辅助排查跨区域通信失败问题
• 优化策略顺序以提升性能

但需注意：命中数为0不一定代表策略无效，可能是无匹配流量或统计未开启。

2. 查看命令与基础流程

在华为防火墙上，查看策略命中次数依赖以下核心命令：

display security-policy statistics
display firewall session table

其中，display security-policy statistics 是主命令，用于展示各策略的累计命中数；而 display firewall session table 可辅助确认当前活跃会话是否匹配目标策略。

3. 启用策略命中统计功能（关键步骤）

多数华为USG版本默认关闭统计功能，必须手动启用：

system-view
security-policy statistics enable

执行后建议保存配置：

save

部分V600R019C00及以上版本可能需要额外启用日志模块支持：

firewall log policy enable

4. 不同版本差异对比

版本号	是否默认开启统计	所需命令	备注
V500R001C60	否	security-policy statistics enable	老版本需重启生效
V600R007C00	否	同上	支持按策略组统计
V600R019C00	可选	firewall log policy + 统计命令	集成于安全日志框架
V600R021C00	是（默认开启）	无需额外配置	Web界面也可查看
V600R023C00	是	直接显示	支持TOP N排序输出
V600R025C00	是	N/A	增强型流量洞察功能内置
USG6000E 系列	依赖版本	同主控板逻辑	云管理平台同步数据
HiSecEngine USG6000	默认开启	display security-policy verbose	新命名体系
USG9500	需手动开启	全局+域间双层控制	高性能场景建议分时段采样
USG-FW-AC	不支持	-	无线控制器集成防火墙模块限制较多

5. 故障排查路径图

graph TD
            A[发现命中数为0] --> B{是否已启用统计?}
            B -- 否 --> C[执行 security-policy statistics enable]
            B -- 是 --> D{是否有实际流量?}
            D -- 否 --> E[检查路由/NAT/会话表]
            D -- 是 --> F{策略是否匹配?}
            F -- 否 --> G[调整源/目的/IP端口等条件]
            F -- 是 --> H[检查策略优先级]
            H --> I[确认动作是否允许]
            I --> J[查看会话表确认建立]
            J --> K[最终验证命中数增长]

6. 验证配置有效性

完成配置后，可通过如下方式验证：

1. 发起测试流量（如ping、telnet、HTTP访问）
2. 执行 display security-policy statistics 观察对应策略计数变化
3. 结合 display firewall session table source-ip x.x.x.x 定位会话归属
4. 等待1~2分钟再次查询，确认数值递增
5. 若仍无数据，使用 debugging security-policy packet 追踪匹配过程（生产环境慎用）
6. 检查ACL预过滤机制是否提前丢弃流量
7. 确认策略所属zone-direction正确（如trust→untrust）
8. 查看系统时间是否准确（影响日志与时序判断）
9. 检查是否存在策略冲突或冗余规则
10. 导出统计报告供后续分析

7. 高级技巧与最佳实践

对于资深工程师，可采用以下进阶方法提升效率：

• 定时任务采集：通过Python脚本定期SSH登录抓取统计数据，构建趋势图
• 日志联动分析：将命中数与Syslog中的deny日志结合，定位阻断源头
• 策略生命周期管理：设定阈值自动标记超过90天无命中的策略
• 性能影响评估：开启统计功能后监控CPU使用率，避免高并发下性能劣化
• 自动化清理脚本：基于命中数批量归档低频策略

此外，在大型部署中建议启用NetStream或Telemetry功能，实现集中化策略行为监控。