新华三FW&IPS&LB等设备，地址对象组的匹配机制是什么？

机制问题可以联系400，向研发确认

新华三 SecPath FW/IPS/LB 地址对象组官方匹配机制（研发标准说明）
一、分层匹配逻辑：区分首包新建连接、后续流报文两套机制
1. 流加速（绝大多数业务报文，无遍历、硬件极速查表，无性能损耗）
防火墙 / IPS/LB 是基于会话状态检测设备：
一条流量首包完成安全策略匹配、命中规则后，设备生成硬件会话表存入 TCAM 硬件；
该流后续所有报文直接匹配硬件会话表，完全跳过地址对象组、安全策略逐条匹配流程；
上千条 GEO 地址对象仅影响新建连接首包，存量业务流转发不受任何延迟影响。
2. 首包匹配分两种模式：硬件加速模式（默认开启）/ 纯软件遍历模式
（1）对象策略加速（出厂默认开启，推荐 GEO 大地址组使用）
命令：accelerate（域间对象策略视图下）H3C
设备后台将地址对象组内所有子网 / 主机条目预编译、压缩、合并为硬件 TCAM 三元组表项；
查表底层采用并行 CAM 硬件检索（不是软件顺序遍历），上万条网段并行对比，单次查表固定硬件时延，条目数量不线性增加耗时；
匹配逻辑：地址组内任意一条 IP 网段匹配即判定该对象组命中（组内成员为或关系）H3C；
约束：地址组内不能配置排除地址（except），否则硬件加速失效，降级为软件遍历H3C。
（2）关闭加速后的纯软件模式（不推荐上万条 GEO 场景）
若关闭accelerate、或存在地址排除条目，首包匹配退化为软件顺序遍历：
软件循环逐条对比对象组内所有 7000~10000 条 IP 网段，直到匹配成功或遍历全部；
新建连接并发高时，CPU 占用会线性飙升，新建时延拉长，业务卡顿。
二、地址对象组内部匹配规则（官方文档标准定义）
单个 IPv4 地址对象组内支持主机、网段、IP 范围、嵌套子对象组（最多 5 层）；
组内成员逻辑：或逻辑，报文 IP 匹配组内任意一条条目，即判定匹配该对象组；
安全策略引用逻辑：单条规则同时匹配源 / 目的地址对象组，两组同时命中才匹配本条策略；策略按编号从上至下匹配，命中即终止后续规则匹配。
三、上万条 GEO IP 地址核心硬件限制（关键踩坑点）
限制 1：单条安全策略展开条目上限
一条域间策略直接引用包含 1 万条网段的地址组时，展开后明细条目超过 1024，配置直接报错无法提交。
解决：拆分 GEO 地址为多个小对象组，多条安全策略分别引用，每条策略内地址明细≤1024 条。
限制 2：TCAM 硬件表项容量
GEO 全球 IP 网段多为零散小段，会大量占用 TCAM 三元组资源；TCAM 耗尽后硬件加速失效，自动切软件遍历，性能暴跌。
优化：优先使用大 CIDR 子网合并零散网段，减少总条目数量。
限制 3：GEO 地理库替代方案（官方推荐，性能远优于手工地址组）
设备原生geo-load地区特征库，内置全球各国 IP 网段，底层硬件原生查表，无需手工维护上万条地址对象：
plaintext
system-view
geo-load geo-ip.dat
# 安全策略直接匹配国家/地区，无需导入上万条地址段
rule permit destination geo-country UnitedStates

地理库采用专用 IP 区间二叉树检索，查表效率远高于手工大对象组，无 1024 条目限制。
四、上万条地址组性能影响总结
开启accelerate硬件加速、无排除地址：首包硬件并行查表，条目数量不线性增加延迟，存量业务流无感知；
关闭加速 / 存在排除地址：软件顺序遍历，新建连接 CPU 高、握手延迟大；
流会话表建立完成后，后续所有报文完全不经过地址对象匹配，无性能损耗；
最优方案：放弃手工 7000~10000 条地址对象，使用设备内置 GEO 地理库实现国家 IP 管控。
五、标准优化配置（大 GEO 地址场景）
plaintext
# 1. 域间策略开启硬件加速（必配）
security-policy zone-pair trust untrust
object-policy geo-filter
accelerate # 开启对象硬件加速
# 2. 推荐使用内置地理库替代手工大地址组
system-view
geo-load geo-ip.dat
# 策略直接匹配国家，无需上万条地址对象
security-policy rule 10 deny destination geo-country UnitedStates

极简一句话总结
默认开启accelerate硬件加速时，上万条 GEO 地址组走硬件并行 CAM 查表，不会逐条软件遍历，仅首包有固定微小时延，存量业务无影响；关闭加速或配置地址排除则会软件顺序遍历，造成性能下降；管控全球 IP 优先使用设备原生 GEO 地理库，规避单策略 1024 条目上限。