华为 USG 安全策略配置技能 (security-policy)

适用平台: USG6000E 系列（USG6300E/6500E/6600E/6680E/6712E/6716E） 适用版本: V600R007C20 及以上 文档来源: HUAWEI USG6000E V600R007C20 产品文档

安全策略是 USG 防火墙的核心功能，控制不同安全区域间流量的转发或阻断。本技能覆盖安全策略的完整生命周期：创建、修改、移动、复制、删除、查看、排错。

触发场景

用户描述以下任一需求时加载此技能：

• "配置安全策略" / "放通某个区域的流量"
• "创建一条安全策略规则"
• "安全策略默认动作" / "default action"
• "查看安全策略命中"
• "安全策略不生效" / "策略排错"
• "策略组" / "policy group"
• "基于用户/应用/地址的安全策略"

不适用: NAT 策略（→ nat-config/）、认证策略（→ auth-policy）、IPS/AV 内容安全配置（→ content-security/，但安全策略中引用 profile 属本技能）

核心概念

安全策略工作流

流量进入 → 匹配源安全区域 → 逐条匹配规则（从上到下）→ 命中 → 执行动作（permit/deny）
                                         → 未命中 → 执行默认动作（default action）

匹配要素（七元组）

规则匹配顺序

从上到下，先命中先生效。规则顺序至关重要。

命令参考

1. 进入安全策略视图

system-view
security-policy                    ← 进入安全策略视图
[sysname-policy-security]

2. 创建规则

security-policy
 rule name <rule-name>             ← 创建/进入规则
  source-zone <zone-name>          ← 源安全区域（可配多条）
  destination-zone <zone-name>     ← 目的安全区域
  source-address <ip> <mask>       ← 源地址（或地址组）
  source-address address-set <name>← 源地址集
  destination-address <ip> <mask>  ← 目的地址
  destination-address address-set <name>
  service <service-name>           ← 服务（可配多条）
  service protocol <tcp|udp> source-port <port> destination-port <port>
  application <app-name>           ← 应用识别
  action permit                    ← 动作：permit 或 deny
  description <text>               ← 规则描述（可选）
  profile <profile-name>           ← 引用内容安全 profile（可选）
  policy logging                   ← 开启命中日志
  enable                           ← 启用规则

3. 排除地址

 rule name <rule-name>
  source-address-exclude <ip> <mask>      ← 排除源地址
  destination-address-exclude <ip> <mask> ← 排除目的地址
  service-exclude <service-name>          ← 排除服务

4. 默认动作

security-policy
 default action permit              ← 未命中任何规则时允许（慎用）
 default action deny                ← 未命中任何规则时拒绝（推荐）
 default session logging            ← 默认动作的会话日志
 default policy logging             ← 默认动作的策略日志
 default traffic logging            ← 默认动作的流量日志

5. 策略组（批量管理）

security-policy
 group name <group-name>                  ← 创建策略组
  rule name <rule-name>                   ← 组内规则
  parent-group <group-name>               ← 规则归属组
 group name <group-name> from <n> to <m>  ← 调整组顺序
 group move <group-name> to <position>    ← 移动组
 group rename <old> <new>                 ← 重命名组

6. 规则操作

security-policy
 rule move <rule-name> to <position>     ← 移动规则顺序
 rule copy <src-rule> name <dst-rule>    ← 复制规则
 rule rename <old-name> <new-name>       ← 重命名

7. 查看命令（display）

8. 重置统计

reset security-policy counter        ← 重置命中计数
reset security-policy statistic      ← 重置统计

9. 全局开关

security-policy
 statistic enable                              ← 开启策略命中统计
 policy logging                                ← 全局策略日志
 security-policy accelerate delay <seconds>    ← 加速延迟

配置前必须遵守

1. 进入 system-view 再操作
2. 每条命令后读回显，检测 Error / Incomplete command
3. 规则顺序：新规则默认添加到末尾，用 rule move 调整
4. 默认动作：生产环境必须 default action deny，仅放通必要流量
5. zone 必须存在：先确认安全区域已创建（display zone）

典型配置场景

场景 1：放通 Trust→Untrust 基础上网

system-view
security-policy
 rule name trust_to_untrust
  source-zone trust
  destination-zone untrust
  source-address 192.168.1.0 255.255.255.0
  action permit
  enable
 default action deny

场景 2：放通 DMZ 服务器的 HTTP/HTTPS

security-policy
 rule name allow_web_dmz
  source-zone untrust
  destination-zone dmz
  destination-address 10.1.1.100 255.255.255.255
  service http https
  action permit
  policy logging
  enable

场景 3：基于应用控制（仅允许邮件，阻断其他）

security-policy
 rule name allow_mail_only
  source-zone trust
  destination-zone untrust
  application pop3 smtp imap
  action permit
  enable
 rule name deny_other
  source-zone trust
  destination-zone untrust
  action deny
  enable

场景 4：策略中引用内容安全 Profile

security-policy
 rule name allow_with_ips
  source-zone trust
  destination-zone untrust
  action permit
  profile ips_default av_default url_default    ← 引用 IPS/AV/URL 过滤
  enable

场景 5：策略组批量管理

security-policy
 group name web_services
  rule name allow_http
   source-zone untrust destination-zone dmz service http action permit enable
  rule name allow_https
   source-zone untrust destination-zone dmz service https action permit enable
 group name web_services from 1 to 2          ← 整组调整到位置 1-2

排错指南

策略不生效排查

常见问题

与其他技能的关联

参考文档

• references/security-policy-commands.md — 完整命令速查（含所有参数取值范围）
• references/security-policy-inspection.md — 策略巡检与排错详细流程
• 产品文档: /root/.openclaw/workspace-ops/refs/usg6000e-v600r007/cli/security-policy.html
• 配置案例: /root/.openclaw/workspace-ops/refs/usg6000e-v600r007/case_firewall/sec_case_policy_0000.html