华为防火墙查看安全策略命令是什么？

Question

在华为防火墙（如USG系列）配置维护过程中，常见的问题是：如何查看已配置的安全策略规则及其匹配状态？特别是在策略数量较多时，管理员难以快速定位特定规则或判断策略是否生效。通常使用命令 `display firewall session table` 可查看会话表项，但要查看安全策略本身，应使用 `display security-policy all` 或 `display security-policy rule all` 命令来展示所有安全策略的详细信息，包括源/目的区域、地址、服务、动作及命中次数。部分工程师因混淆旧版本命令（如 `display firewall packet-filter`）导致无法正确查看策略，影响故障排查效率。掌握正确的命令对运维至关重要。

Answer 1

1. 华为USG防火墙安全策略查看的基本概念

在华为USG系列防火墙（如USG6000E、USG9500等）的日常运维中，安全策略是控制流量转发与访问权限的核心机制。管理员常需确认某条策略是否已生效、是否被匹配过，尤其是在复杂网络环境中存在大量策略时，快速定位特定规则成为关键任务。

传统上，部分工程师习惯使用 display firewall session table 查看当前会话表项，该命令可反映实际通过防火墙的数据流，但无法直接展示策略本身的配置状态或命中次数。真正用于查看安全策略的命令应为：
display security-policy all
或
display security-policy rule all

这两个命令将输出所有已配置的安全策略规则，包括源安全区域、目的安全区域、源地址、目的地址、服务类型、动作（permit/deny）、日志设置及命中次数（hit-count），是判断策略是否生效的重要依据。

2. 常见问题分析：为何无法正确查看策略？

• 混淆新旧命令语法：在早期版本的VRP系统中，ACL和包过滤策略使用 display firewall packet-filter 或 display acl 命令进行查看。但在引入“安全策略”模型后（即基于区域间策略的五元组规则），此类命令不再适用于现代策略管理。
• 误认为会话表等于策略命中：虽然 display firewall session table 能看到流量通过，但这仅说明流量最终被放行，并不能确定是由哪条策略放行，也无法得知策略是否被触发。
• 未启用统计功能：某些情况下，即使策略已生效，若未开启统计功能（policy-statistics enable），则命中次数可能不更新，导致误判策略未被匹配。

3. 正确查看安全策略的命令详解

命令	功能描述	适用场景
display security-policy all	显示所有安全策略规则的完整信息，含命中次数	全面排查策略配置
display security-policy rule name [rule-name]	按名称查询特定策略规则	精确定位某条策略
display security-policy rule from-zone [zone] to-zone [zone]	查看指定区域间的策略	跨区域流量调试
display security-policy hit-count	仅显示有命中记录的策略	快速识别活跃策略
reset security-policy hit-count	清零命中计数器	测试前后对比性能

4. 实际操作示例：定位未生效策略

system-view
[USG] display security-policy rule from-zone trust to-zone untrust

Rule ID: 5
Source Zone: trust
Destination Zone: untrust
Source Address: 192.168.10.0/24
Destination Address: 10.0.0.100
Service: HTTP
Action: permit
Hit count: 0
Log: enable

Rule ID: 10
Source Zone: trust
Destination Zone: untrust
Source Address: any
Destination Address: any
Service: ANY
Action: deny
Hit count: 1500
Log: disable

从上述输出可见，Rule ID 5 的命中次数为0，尽管其允许HTTP访问，但无流量触发；而默认拒绝策略（Rule 10）已被命中1500次，说明存在大量被拦截的流量。此时应结合日志和会话表进一步分析。

5. 高级技巧：结合日志与会话表联动分析

1. 启用策略日志：policy logging enable
2. 配置日志主机接收Syslog信息
3. 使用 display logbuffer 检查是否有策略拒绝日志
4. 执行 display firewall session table source-ip [ip-address] 查看具体会话路径
5. 比对策略命中数与会话建立情况，验证策略有效性
6. 利用ACL辅助调试：临时添加带统计的ACL绑定到策略中
7. 使用策略仿真工具（如Web界面中的“策略仿真”功能）预判匹配结果

6. 可视化流程图：策略匹配诊断流程

graph TD
    A[用户报告无法访问目标服务] --> B{检查会话表}
    B -->|无会话| C[查看安全策略配置]
    B -->|有会话| D[确认策略已放行]
    C --> E[执行 display security-policy rule from-zone X to-zone Y]
    E --> F[查找相关规则]
    F --> G{命中次数 > 0?}
    G -->|是| H[策略已生效]
    G -->|否| I[检查源/目的地址、服务是否匹配]
    I --> J[确认路由可达且接口在正确安全区域]
    J --> K[启用策略日志并复现问题]
    K --> L[分析日志判断拒绝原因]