五步定界法

步驟 1：核對訪問規則集

檢查策略規則中是否誤將正常業務流量（如 HTTP/HTTPS/DNS/ICMP）設為 Deny。注意規則匹配順序（自上而下首匹配），靠前的 Deny 會阻斷後續 Allow。

步驟 2：檢查應用識別/模組規則

啟用了 IPS、AV、URL 過濾、應用控制等模組時，查看模組內部規則是否阻斷相關流量（如識別為「高風險應用」被 Drop）。

步驟 3：深度分析防火牆日誌

重點關注三大事件類別：

• IP 事件： 來源/目的 IP、協議、動作；
• UDP 事件： 埠號、方向、負載特徵；
• TCP 事件： 連接狀態、Seq/Ack、Flag、應用層識別結果。

過濾「動作=Deny/Drop/Reject」的記錄，提取被阻斷的五元組（SIP、DIP、SPort、DPort、Proto），即為阻斷點。

步驟 4：新增「全盤拒絕+記錄」調試規則

1. 進入「規則設置 → IP 規則 → 增加」；
2. 名稱：Deny_All_Debug，動作：**禁止**；
3. 本地地址：**所有地址**，對方地址：**任意地址**；
4. 協議：**All**；
5. 報警方式：**記錄日誌**；
6. 將此規則置於**最底部**（最後匹配）。

步驟 5：複現故障 → 讀取調試日誌

觸發故障現象後，查看日誌中 Deny_All_Debug 記錄，確認被攔截的具體五元組與應用層特徵，反向修正上層業務規則或模組策略。

避坑提示

• 調試規則驗證後**立即刪除或禁用**，避免長期阻斷所有流量；
• 日誌保留策略需覆蓋排查窗口（建議 ≥ 7 天）；
• 生產環境建議用「模擬模式」或「僅記錄模式」驗證新規則，再轉正式生效。