结论先行：微隔离策略写不准，多数不是工具问题，而是匹配条件只用了地址和端口。可用的匹配对象至少有五类——服务对象、地址对象、范围对象、时间对象、属性对象。把它们组合起来，才能把"这个应用只在工作时间通过这两个端口被这几类角色访问"写进一条策略，既不过宽也不过碎。策略写准的直接收益是：策略总量下降、误拦截减少、业务方愿意配合。

只用地址加端口会出什么问题

写法短期效果长期后果
直接写主机地址立刻生效，看起来没问题业务扩容或迁移后策略失效，需要反复修改
全端口放行业务不再报障，工单减少暴露面扩大，隔离形同虚设
长期有效不设时限临时需求一次搞定临时授权变成永久后门，无人记得回收
按人逐条添加谁的诉求都能满足策略数量膨胀，冲突与冗余难以清理

五类匹配对象怎么用

匹配对象定义典型场景使用提醒
服务对象协议与端口的组合数据库访问、中间件通信、远程管理一次定义多处引用，端口规划变更时只改一处
地址对象地址或地址集合外部合作方、尚未标签化的遗留系统尽量少用，能标签化的资产不要走地址
范围对象连续的端口或地址区间被动端口范围、连续分配的网段区间不要图省事开大，按实际使用收敛
时间对象策略的生效时段批处理窗口、月末结算、临时变更期到期自动失效，避免临时授权长期留存
属性对象资产的静态属性按操作系统、环境、位置做兜底或例外适合做例外与过渡，不宜作为主匹配条件

一条策略的推荐写法

把"谁、在什么时间、通过什么端口、访问谁"四件事写清楚，是一条策略的及格线。示意结构如下：

来源：工作组=订单系统，角色标签=APP
目的：工作组=核心数据库，角色标签=DB
服务：服务对象=数据库访问（TCP 1521）
时间：时间对象=工作日 00:00-24:00 + 月末结算窗口
动作：允许并记录日志；其余流量默认拒绝

两类特殊机制要提前规划

默认白名单机制

面向跨区域、多站点的通用放行规则，一次配置即可在所有子域生效，例如统一的运维管理通道、日志上报通道。这类规则应集中管理并定期复核，避免成为事实上的全通策略。

加密隧道策略

跨机房或跨信任域传输敏感业务数据时，可在策略中启用端到端加密传输，让流量在经过中间网络节点时保持加密状态。规划时需注意两点：加密会影响流量可视化的可见字段，要提前确认审计所需字段是否仍可获取；加密与策略匹配的执行顺序也要与平台确认，避免出现"先放行后加密"或"加密后无法匹配"的情况。

策略写出来之后的验证清单

验证项方法通过标准
覆盖完整性测试态运行一到两周，核对预阻断日志无正常业务被记录为预阻断
最小权限抽查核心业务组的开放端口无全端口、无跨安全域的宽泛放行
临时策略导出所有带时间对象的策略均已设置到期时间，无长期挂起
可回滚确认变更前保存了策略版本快照误拦截时可在分钟级回退

策略质量比策略数量更重要

评判微隔离做得好不好，不是看策略条数多不多，而是看有多少条策略能准确描述业务意图。写准了，维护成本会持续下降；写不准，条数越多越没人敢动。

奇摩在实施微隔离项目时，通常会把"五类匹配对象的使用比例"作为策略质量的检查项——只用地址和端口的策略占比越高，后续维护压力越大。若您需要一份策略编写规范模板，欢迎预约咨询。