防火墙规则冲突源于策略顺序、匹配逻辑与默认动作的综合作用，需按从上到下顺序检查规则位置、精确配置IP/端口/协议、确认区域对策略启用，并通过流跟踪或日志验证真实路径。
防火墙规则冲突不是“多加几条允许就行”的事，而是策略顺序、匹配逻辑和默认动作共同作用的结果。丢包往往发生在你自以为“已放行”的流量被前面某条更宽泛的拒绝规则截住了。
看清策略匹配顺序是第一关
防火墙按从上到下的顺序逐条匹配，一旦命中就执行对应动作（允许或拒绝），不再继续往下看。所以“deny all”这类兜底规则如果放在前面，后面所有允许规则都无效。
- 检查当前策略列表顺序：华为USG用 display firewall policy，Linux iptables 用 iptables -L --line-numbers
- 重点关注是否有类似 “any to any deny”、“源IP any 目的IP any 协议 any 拒绝” 的高优先级拦截项
- 把业务所需的允许规则，移到所有 deny 规则之前；临时调试时，可先在末尾加一条带日志的 deny 规则（如 rule log deny），确认是否真被它拦了
避免隐性冲突：端口、协议、IP范围要精确
看似放行了8080端口，但若规则里写的是“TCP 8080-8090”，而客户端实际连的是8081，就可能因端口不匹配落到下一条规则里被拒；同理，“any”源IP可能被更早一条“特定网段 deny”覆盖。
- 核对规则中源/目的IP是否包含真实客户端地址（比如写了192.168.10.0/24，但客户端是192.168.20.5）
- 确认协议类型准确：TCP/UDP/ICMP不能混用；ICMP还要注意是否区分 Echo Request 和 Echo Reply
- 端口范围宁可拆成多条明确规则，也不要贪图省事写大区间——减少误匹配概率
别忽略默认动作和区域间策略
很多防火墙（尤其是企业级设备）按安全区域划分流量走向，比如 trust → untrust、dmz → inside。即使单条规则写着“允许”，如果这条规则没配置在正确的区域对之间，照样不生效。
- 查清流量实际经过的源区域和目的区域（如 display firewall session table verbose 可看到 zone info）
- 确保策略明确启用了对应区域对（例如 source-zone trust destination-zone dmz）
- 确认全局默认策略不是 deny：有些设备默认禁止所有跨区流量，必须显式开启才通
用工具验证真实路径，而不是猜
光看规则列表容易漏掉隐藏逻辑。真正发一个包，看它到底被哪条规则处理了，才是最可靠的判断方式。
- 华为USG可用 firewall packet-filter trace 或 Web 界面里的“流跟踪”，输入五元组直接模拟走查
- 抓包配合策略日志：开启策略命中日志（需单独启用，非默认），再复现问题，从日志里找哪条规则打了 mark、哪条规则最终 drop
- 若日志为空，说明包根本没走到策略模块——可能是路由不对、接口未加入区域、或被黑名单/会话限制提前拦下
