重新排序安全策略

安全策略按其在配置文件中的出现顺序执行，您应注意以下事项：

• 策略顺序很重要。
• 新策略将移至策略列表的末尾。
• 最后一个策略是默认策略，其默认操作是拒绝所有流量。

当您配置了安全策略的数量时，一个策略可能会使另一个策略黯然失色或 遮盖另一个策略。在这种情况下：

• 您可以使用 show security shadow-policies 命令在策略列表中查看影子策略列表。
• 您可以使用 and before 语句更改策略的顺序，并将更具体的策略放在其他insert策略之前。

请看以下示例：

示例 1

示例 2

在示例 1 和 2 中，策略 permit-mail 是在 permit-all 策略之后配置的，从区域 trust 到区域 untrust。来自区域 untrust 的所有流量都与第一个策略 permit-all 匹配，并且默认允许。没有流量与策略 permit-mail匹配。

由于 Junos OS 从列表顶部开始执行策略查找，因此当它找到与接收的流量匹配项时，它不会在策略列表中显示为更低的位置。要更正前面的示例，您只需颠倒策略的顺序，将更具体的策略放在首位：

在有数十个或数百个策略的情况下，一个策略被另一个策略忽略可能不那么容易检测。要检查策略是否被影子操作，请输入以下任一命令：

此命令报告影子策略和影子策略。然后，管理员有责任纠正这种情况。

注意：

策略 影子 的概念是指策略列表中较高的策略总是先于后续策略生效的情况。由于策略查找始终使用它找到的第一个策略，该策略与源和目标区域、源和目标地址以及应用程序类型的五部分元组匹配，因此，如果另一个策略应用于同一元组（或元组的子集），则策略查找将使用列表中的第一个策略，并且永远不会访问第二个策略。