H3C防火墙基础配置3-配置对象策略

1.对象策略简介

     对象策略基于全局进行配置，基于安全域间实例进行应用。在安全域间实例上应用对象策略可实现对报文流的检查，并根据检查结果允许或拒绝其通过。对象策略通过配置对象策略规则实现。

 

     一个对象策略中可以包含多条对象策略规则。对象策略规则通过指定对象组来描述报文匹配条件的判断语句，匹配条件可以是报文的源 IP 地址、目的 IP 地址、服务类型、应用和应用组等设备依照这些规则匹配出特定的报文，并根据规则预先设定的动作对其进行处理。创建规则时可以不指定任何可选条件，则规则对任意报文生效。

 

2. 对象策略规则的编号

一个对象策略中可包含多条规则，每条规则都拥有唯一的编号进行标示，此编号在创建规则时由用

户手工指定或由系统自动分配。在自动分配编号时，系统会将对应对象策略中已使用的最大编号加

一作为新的编号，若新编号超出了编号上限（65534），则选择当前未使用的最小编号作为新的编号。

3.对象策略规则的匹配顺序

当一个对象策略中包含多条规则时，报文会按照配置顺序与这些规则进行匹配，一旦匹配上某条规则便结束匹配过程。对象策略规则的配置顺序可在对象策略视图下通过 display this 命令查看，配置顺序与规则的创建顺序有关，先创建的规则优先进行匹配。同时，也