华为防火墙-4-安全策略

    安全策略中的条件，可分为多个字段，如源地址、目的地址、源端口、目的端口等，这些字段之间是“与”的关系，也就是说，只有报文中的信息和所有字段都匹配上，才算是命中了这条策略。如果同一个字段中有多个匹配项，如同时有两个源地址或三个目的地址，那么这些匹配项之间是“或”的关系，只要报文匹配了其中的一项，就算匹配了该条件。

    安全策略之间是存在顺序的，防火墙在两个安全区域之间转发报文时，会按照从上到下的顺序逐条查找域间存在的安全策略。如果报文命中了某一条安全策略，就会执行该安全策略中的动作，或允许通过或拒绝通过，不会再继续向下查找；如果报文没有命中某条安全策略，则会向下继续查找。
基于上述实现方式，我们在配置安全策略时要遵循“先精细，后粗犷”的原则。具体来说，就是先配置匹配范围小、条件精确的安全策略，然后再配置匹配范围大、条件宽泛的安全策略。相信大家都配置过 ACL规则，安全策略的配置和 ACL规则是一个道理。

时间段time-range
[USG6000V1]time-range worktime #默认存在
添加周期性时间段
[USG6000V1-time-range-worktime]period-range 08:00:00 to 18:00:00 working-day

[USG6000V1]time-range tr1
添加绝对时间段
[USG6000V1-time-range-tr1]absolute-range 00:00:00 2021/6/15 to 00:00:00 2021/6/16

<USG6000V1>display time-range all

    一体化安全策略由条件、动作和配置文件组成，其中配置文件的作用是对报文进行内容安全检测，只有动作是允许通过时才能够引用配置文件。

    一体化安全策略有以下区别，安全策略基于全局范围，不再基于安全域间，安全区域只作为可选的条件，可同时配置多个安全区域。这里有一点需要特别注意，在华为USG6000系列防火墙上，