配置互联网边界和NAT边界访问控制策略后，当流量经过云防火墙时，云防火墙会依次匹配流量报文的四元组、应用和域名，当云防火墙无法识别流量的应用或域名时，为了不影响业务，云防火墙会默认放行这些流量。如果您不希望直接放行这些流量，您可以开启互联网边界防火墙的严格模式。
访问控制引擎模式介绍
配置互联网边界和NAT边界访问控制应用策略（即应用类型非ANY）或域名策略（即目的类型为域名）后，当流量经过云防火墙时，云防火墙会匹配流量报文的四元组（访问源地址、目的地址、目的端口、传输层协议）、应用或域名。
配置了域名策略，且应用类型配置为HTTP、HTTPS、SMTP、SMTPS或SSL时，云防火墙按照四元组、应用和域名顺序匹配流量报文。
配置了应用策略，或者配置了域名策略但应用类型不是HTTP、HTTPS、SMTP、SMTPS和SSL时，云防火墙按照四元组、应用顺序匹配流量报文。
当流量报文携带的不是标准应用或域名时，云防火墙可能无法识别流量的应用或域名。在匹配应用策略或域名策略的时候，云防火墙会默认放行未识别应用或域名的流量。
开启严格模式后，云防火墙不会直接放行未识别应用或域名的流量，而是继续匹配下一优先级策略，直到命中某一条访问控制策略，然后执行命中策略的动作（放行或拒绝）。如果匹配完所有访问控制策略后仍没有命中，则云防火墙默认放行该流量。
开启了严格模式后，如果云防火墙误丢弃了正常的流量，建议您在请求报文中添加必要的应用协议信息，或者关闭严格模式。
开启或关闭访问控制引擎严格模式
当前互联网边界和NAT边界支持配置访问控制引擎模式，访问控制引擎模式默认为宽松模式。该模式下，如果出现未识别应用或域名的业务流量时，为了不影响业务，云防火墙默认放行这部分流量。您可以根据实际业务需要切换为严格模式。
切换互联网边界访问控制引擎模式，请参见配置互联网边界ACL引擎模式。
切换NAT边界访问控制引擎模式，请参见配置NAT边界ACL引擎模式。
常见问题
如何查看未识别的流量日志？
登录云防火墙控制台。
在左侧导航栏，选择。
在，设置规则来源为访问控制，在全部ACL预匹配状态搜索框中选择应用未识别或域名未识别进行查询。
查看严格模式的流量记录，例如时间、源IP、目的IP、目的端口等。
相关文档
访问控制策略的工作原理，请参见访问控制策略概述。
互联网边界访问控制策略的详细配置指导，请参见配置互联网边界访问控制策略。
查询更多流量日志及流量日志字段说明，请参见日志审计。