文章总结： 本文针对防火墙策略臃肿问题，提出清理三类脏数据（冗余、影子、过期规则）的方法。通过displaysecurity-policyrule和displayfirewallsession命令排查零命中规则，并利用Python脚本批量比对规则字段以标记可疑项。强调定期清理策略是运维优化关键，可提升匹配效率并减少误放行风险。 综合评分： 85 文章分类： 安全运营,安全工具,网络安全,安全建设

运维的防火墙策略清理 3类脏数据 + 2条命令

宝十八 宝十八

网络安全老宋

2026年7月10日 12:00 山东

在小说阅读器读本章

去阅读

导语： 你好，我是网络安全老宋。安全攻防干货准时送达！

策略不是越厚越安全。积下的脏规则只会拖慢匹配、埋误放行的雷。每月一次，自动瘦身。

上周排查一台华为防火墙不通，display security-policy rule 一列拉到底，hit count 为 0 的规则占了快三成。三成规则从没被命中过，还每天陪着真正干活的规则一起被顺序扫描。策略库只增不减，是运维现场最常见的慢性病。

01

先认清楚：3类脏数据

规则越长越乱，先分清楚你面对的是哪一类。

02

两条命令：先把家底摸清楚

别上来就删。先看见数据。

BASH

display security-policy rule # 打出策略列表 + 每条命中次数(hit count) # 重点看 hit count 为 0 的批次，它们是优先排查对象 # 导出后按月排序，长期零命中一眼筛出

BASH

display firewall session # 看当前会话实际匹配到哪条策略 # 某条该放行的流量死活过不去，用它确认： # 是没匹配到规则，还是被上游某条 deny 截了# 配合抓包一起看，定位最快

03

Python 批量揪出脏规则

规则几十条往上，肉眼对是折磨。导出防火墙配置，写个脚本批量比对。核心思路：解析每条规则的源地址、目的地址、服务端口、动作四个字段，两两组合对比。

PYTHON

# 把规则解析成结构化对象后两两比较 # 重复关系：四条字段完全一致      -> 标记"冗余规则" # 包含关系：A 的源/目的/服务范围 完全覆盖 B -> 标记"影子规则(B 被 A 遮蔽)" # 输出到 Excel，按"可疑程度"排序，给运维逐条确认

04

优化原则：Checklist 直接照做

// 老宋的话

策略臃肿的本质不是运维懒，是没人把”清理”当成和”开通”一样的正经活。华为官方文档也把”定期清理长期不命中规则”列为优化项，说明这是共性难题。你今天花半小时排一次 hit count，省下的是以后每次故障排查时，在几百条规则里大海捞针的命。现在就去防火墙敲一条 display security-policy rule，看你那三成零命中里，有没有早该走的。

往期精彩

运维的内网DNS进阶：Split Horizon 配置指南

渗透测试从业者的全能工具箱：76,700+ Star、185+工具一键到位（HackingTool 从零到实战）

甲方运维应急响应的日志分析利器：Klogg 大文件秒开，朴实可靠

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：网络安全老宋 宝十八 宝十八《运维的防火墙策略清理 3类脏数据 + 2条命令》