【partager de cas】ID de politique de pare-feu et la priorité

【Description du problème】

Le paramètre de la politique actuel est le suivant:

policy interzone trust untrust outbound

policy 1

  action permit

  policy service service-set icmp

  policy service service-set http

  policy source address-set “172.21.15.0/24”

policy 2

  action permit

  policy service service-set http

  policy service service-set https

policy service service-set smtp

  policy source address-set "172.21.4.0/24"

policy 50

  action deny

Le client contrôle le service lorsque le trafic provient de la zone de confiance vers la zone non fiable. Maintenant, le client ajoute une nouvelle politique pour contrôler le service du nouveau sous-réseau. La configuration est comme ci-dessous:

policy 3

  action permit

  policy service service-set http

  policy service service-set https

policy service service-set smtp

  policy source address-set "172.21.16.0/24"

Le client constate que la stratégie configurée ne correspond pas à ses exigences. Aucun contrôle de service n'a lieu dans ce réseau. Je trouve que la configuration est inattendue:

policy interzone trust untrust outbound

policy 1

  action permit

  policy service service-set icmp

  policy service service-set http

  policy source address-set “172.21.15.0/24”

policy 2

  action permit

  policy service service-set http

  policy service service-set https

policy service service-set smtp

  policy source address-set "172.21.4.0/24"

policy 50

  action deny

policy 3

  action permit

  policy service service-set http

  policy service service-set https

policy service service-set smtp

  policy source address-set "172.21.16.0/24"

Alarm Information

Processus de manutention 

La stratégie 50 est antérieure à la stratégie 3. Après avoir recherché les informations du document, il a été constaté que la priorité de la stratégie n’était pas liée à son ID de stratégie. 

Cause première 

Solution 

Solution: Utilisez la commande «policy move 3 before 50» pour réviser le problème. Le réglage final est:

policy interzone trust untrust outbound

policy 1

  action permit

  policy service service-set icmp

  policy service service-set http

  policy source address-set “172.21.15.0/24”

policy 2

  action permit

  policy service service-set http

  policy service service-set https

policy service service-set smtp

  policy source address-set "172.21.4.0/24"

policy 3

  action permit

  policy service service-set http

  policy service service-set https

policy service service-set smtp

  policy source address-set "172.21.16.0/24"

policy 50

  action deny