预阻断还是真阻断，日志里分得清吗

结论先行：想知道一条策略到底有没有起作用，光看「已配置」不够，要看两类日志：预阻断和正式阻断。前者说明如果把这条策略切成执行会拦掉哪些连接，后者说明实际拦住了什么。两类混写，等于把预测和事实放在同一栏里。

两种日志差在哪

分不开，就回答不了这三个问题

其一，这条策略生效了吗

配置成功只代表下发成功。真实生效要看有没有产生对应的阻断记录，以及这些记录是不是来自预期的工作负载。如果一周下来一条阻断日志都没有，可能是策略没生效，也可能是这段时间确实没有匹配的流量——两种情况处理方式完全相反，靠猜不行。

其二，切到执行会断掉什么

观察期的核心价值就在这里。预阻断日志列出的是「一旦执行就会被拒绝」的连接清单，逐条确认这些连接该不该通，就能在上线前把误拦挡下来。没有预阻断阶段的记录，就只能靠试点部门反馈，漏掉的往往是使用频率低、但关键时刻要用的连接。

其三，这次的告警是真攻击还是误配

内网里的阻断告警频繁出现，多数时候不是攻击，而是策略写得比业务实际更窄。能快速区分这两种情况的关键，是日志里能不能看到源、目的、端口、以及命中的是哪一条策略。字段缺失时，一线只能逐台去查，一个告警要花很久。

记录时该留的字段

• 身份信息：源工作负载与目的工作负载的标识，不只是 IP。工作负载会迁移、重建，只记 IP 事后追不回来。
• 策略标识：命中的是哪一条规则、属于哪个策略组、当前处于哪个状态。
• 动作与结果：预阻断还是正式阻断，是否放行，是否有例外规则参与。
• 时间与留存：两类日志都要能按时间范围检索，留存期满足内部审计要求。

边界与前提

这套区分适用于支持观察期与灰度执行的安全策略体系。对于不支持预阻断能力的工具，只能用「配置前后流量对比」的方式近似评估，精度会下降，需要在评估口径里写清。另外，日志字段的完整性取决于执行端点采集到什么，端点上装不上的设备要单独列为盲区。

深圳市奇摩计算机有限公司在做内网分区分域的方案时，会把两类日志的字段要求写进接入清单，让上线后的验证有据可查，而不是只在验收时看一眼策略列表。

本文只谈阻断日志的两类区分与字段设计，不谈策略怎么收紧、也不谈标签体系怎么维护。

如果手上的平台只能看到「阻断」两个字，可以先把预阻断与正式阻断拆成两栏，很多争论会立刻有答案。预约咨询