Security policy

华为 USG 安全策略配置技能 (security-policy)

适用平台: USG6000E 系列（USG6300E/6500E/6600E/6680E/6712E/6716E） 适用版本: V600R007C20 及以上 文档来源: HUAWEI USG6000E V600R007C20 产品文档

安全策略是 USG 防火墙的核心功能，控制不同安全区域间流量的转发或阻断。本技能覆盖安全策略的完整生命周期：创建、修改、移动、复制、删除、查看、排错。

---

触发场景

用户描述以下任一需求时加载此技能：

• "配置安全策略" / "放通某个区域的流量"
• "创建一条安全策略规则"
• "安全策略默认动作" / "default action"
• "查看安全策略命中"
• "安全策略不生效" / "策略排错"
• "策略组" / "policy group"
• "基于用户/应用/地址的安全策略"

不适用: NAT 策略（→ nat-config/）、认证策略（→ auth-policy）、IPS/AV 内容安全配置（→ content-security/，但安全策略中引用 profile 属本技能）

---

核心概念

安全策略工作流

流量进入 → 匹配源安全区域 → 逐条匹配规则（从上到下）→ 命中 → 执行动作（permit/deny）
                                         → 未命中 → 执行默认动作（default action）

匹配要素（七元组）

要素	命令	说明
源安全区域	source-zone	流量进入的区域
目的安全区域	destination-zone	流量去往的区域
源地址	source-address	源 IP / 地址组 / 地址集
目的地址	destination-address	目的 IP / 地址组 / 地址集
服务	service	协议+端口（HTTP/DNS/自定义等）
应用	application	应用层识别（微信/钉钉等）
用户	user / access-authentication	基于用户或用户组的策略

规则匹配顺序

从上到下，先命中先生效。规则顺序至关重要。

---

命令参考

1. 进入安全策略视图

system-view
security-policy                    ← 进入安全策略视图
[sysname-policy-security]

2. 创建规则

security-policy
 rule name <rule-name>             ← 创建/进入规则
  source-zone <zone-name>          ← 源安全区域（可配多条）
  destination-zone <zone-name>     ← 目的安全区域
  source-address <ip> <mask>       ← 源地址（或地址组）
  source-address address-set <name>← 源地址集
  destination-address <ip> <mask>  ← 目的地址
  destination-address address-set <name>
  service <service-name>           ← 服务（可配多条）
  service protocol <tcp|udp> source-port <port> destination-port <port>
  application <app-name>           ← 应用识别
  action permit                    ← 动作：permit 或 deny
  description <text>               ← 规则描述（可选）
  profile <profile-name>           ← 引用内容安全 profile（可选）
  policy logging                   ← 开启命中日志
  enable                           ← 启用规则

3. 排除地址

 rule name <rule-name>
  source-address-exclude <ip> <mask>      ← 排除源地址
  destination-address-exclude <ip> <mask> ← 排除目的地址
  service-exclude <service-name>          ← 排除服务

4. 默认动作

security-policy
 default action permit              ← 未命中任何规则时允许（慎用）
 default action deny                ← 未命中任何规则时拒绝（推荐）
 default session logging            ← 默认动作的会话日志
 default policy logging             ← 默认动作的策略日志
 default traffic logging            ← 默认动作的流量日志

5. 策略组（批量管理）

security-policy
 group name <group-name>                  ← 创建策略组
  rule name <rule-name>                   ← 组内规则
  parent-group <group-name>               ← 规则归属组
 group name <group-name> from <n> to <m>  ← 调整组顺序
 group move <group-name> to <position>    ← 移动组
 group rename <old> <new>                 ← 重命名组

6. 规则操作

security-policy
 rule move <rule-name> to <position>     ← 移动规则顺序
 rule copy <src-rule> name <dst-rule>    ← 复制规则
 rule rename <old-name> <new-name>       ← 重命名

7. 查看命令（display）

命令	用途
display security-policy rule all	查看所有规则
display security-policy rule name <name>	查看指定规则详情
display security-policy rule source-zone trust destination-zone untrust	按区域过滤
display security-policy rule source <ip> destination <ip> protocol tcp destination-port 80	按五元组过滤
display security-policy group	查看策略组
display policy default-action	查看默认动作
display security-policy statistic	查看策略命中统计

8. 重置统计

reset security-policy counter        ← 重置命中计数
reset security-policy statistic      ← 重置统计

9. 全局开关

security-policy
 statistic enable                              ← 开启策略命中统计
 policy logging                                ← 全局策略日志
 security-policy accelerate delay <seconds>    ← 加速延迟

---

配置前必须遵守

1. 进入 system-view 再操作
2. 每条命令后读回显，检测 Error / Incomplete command
3. 规则顺序：新规则默认添加到末尾，用 rule move 调整
4. 默认动作：生产环境必须 default action deny，仅放通必要流量
5. zone 必须存在：先确认安全区域已创建（display zone）

---

典型配置场景

场景 1：放通 Trust→Untrust 基础上网

system-view
security-policy
 rule name trust_to_untrust
  source-zone trust
  destination-zone untrust
  source-address 192.168.1.0 255.255.255.0
  action permit
  enable
 default action deny

场景 2：放通 DMZ 服务器的 HTTP/HTTPS

security-policy
 rule name allow_web_dmz
  source-zone untrust
  destination-zone dmz
  destination-address 10.1.1.100 255.255.255.255
  service http https
  action permit
  policy logging
  enable

场景 3：基于应用控制（仅允许邮件，阻断其他）

security-policy
 rule name allow_mail_only
  source-zone trust
  destination-zone untrust
  application pop3 smtp imap
  action permit
  enable
 rule name deny_other
  source-zone trust
  destination-zone untrust
  action deny
  enable

场景 4：策略中引用内容安全 Profile

security-policy
 rule name allow_with_ips
  source-zone trust
  destination-zone untrust
  action permit
  profile ips_default av_default url_default    ← 引用 IPS/AV/URL 过滤
  enable

场景 5：策略组批量管理

security-policy
 group name web_services
  rule name allow_http
   source-zone untrust destination-zone dmz service http action permit enable
  rule name allow_https
   source-zone untrust destination-zone dmz service https action permit enable
 group name web_services from 1 to 2          ← 整组调整到位置 1-2

---

排错指南

策略不生效排查

步骤	命令	检查点
1. 确认规则存在	display security-policy rule all	规则已创建且 enable
2. 确认规则顺序	display security-policy rule all	上方无 deny 规则先命中
3. 确认区域匹配	display zone	源/目的区域正确
4. 确认地址匹配	display security-policy rule name <name>	地址范围覆盖流量
5. 确认默认动作	display policy default-action	非预期流量是否被 deny
6. 查看命中统计	display security-policy statistic	规则是否有 hit count
7. 查看会话表	display firewall session table	流量是否建立会话

常见问题

问题	原因	修复
策略配了但不生效	规则未 enable	规则视图下 enable
规则生效但流量仍不通	上方有更宽泛的 deny 规则	rule move 调整顺序
特定 IP 不应放通但被放通	地址范围过大	用 source-address-exclude 排除
流量匹配了默认动作	所有规则都未命中	检查 zone/address/service 匹配条件
策略日志看不到	未开 policy logging	规则视图下 policy logging

---

与其他技能的关联

关联技能	交互点
nat-config/	安全策略放通后，NAT 策略决定地址转换
health-check/	巡检时查看策略命中统计、默认动作
interface-config/	接口加入安全区域（zone）
attack-defense/	安全策略可引用攻击防范 profile
ipsec-vpn/	VPN 流量需安全策略放通
ha-hrp/	双机热备时策略自动同步

---

参考文档

• references/security-policy-commands.md — 完整命令速查（含所有参数取值范围）
• references/security-policy-inspection.md — 策略巡检与排错详细流程
• 产品文档: /root/.openclaw/workspace-ops/refs/usg6000e-v600r007/cli/security-policy.html
• 配置案例: /root/.openclaw/workspace-ops/refs/usg6000e-v600r007/case_firewall/sec_case_policy_0000.html