重新排序安全策略

Junos OS 提供了一个工具，用于验证策略列表中的策略顺序是否有效。

一个策略可能会使另一个策略黯然失色或 遮蔽。请考虑以下示例：

示例 1

示例 2

在示例 1 和 2 中，策略 permit-mail 是在策略 permit-all 之后从一个区域到另一个 trust 区域 untrust配置的。来自区域 untrust 的所有流量都与第一个策略 permit-all 匹配，默认情况下是允许的。没有与策略匹配的 permit-mail流量。

由于 Junos OS 从列表顶部开始执行策略查找，因此当它找到所接收流量的匹配项时，它在策略列表中不会处于任何位置。要更正前面的示例，您可以简单地颠倒策略的顺序，将更具体的策略放在最前面：

在有数十或数百个策略的情况下，一个策略被另一个策略黯然失色可能不那么容易检测到。要检查策略是否被隐藏，请输入以下命令之一：

此命令报告影子和影子策略。然后，管理员有责任纠正这种情况。

注意：

策略 影子 的概念是指策略列表中较高的策略始终先于后续策略生效的情况。由于策略查找始终使用它找到的第一个策略，该策略与源和目标区域、源和目标地址以及应用程序类型的五部分元组匹配，因此，如果另一个策略应用于同一元组（或元组的子集），则策略查找将使用列表中的第一个策略，并且永远不会到达第二个策略。

此示例演示如何在创建策略后移动策略。