防火墙将流量的属性与安全策略的条件进行匹配。

如果所有条件都匹配，则此流量成功匹配安全策略。如果其中有一个条件不匹配，则未匹配安全策略。同一域间或域内应用多条安全策略，策略的优先级按照顺序进行排序，越先配置的策略优先级越高，越先匹配报文。如果报文匹配到一条策略就不再继续匹配剩下的策略，如果没有匹配到任何策略就按缺省包过滤处理。所以配置策略要先粗后细。