是做untrust（v1-untrust）-dmz（v1-dmz）的限制吗？开放策略的时候，比如有一个WEB服务要发布，那么就只开放80端口就可以了，其他端口是默认不开的。防火墙中已经有很多常用端口可工选择，如果你是自定义的端口，就创建一个自定义的端口（分清楚是TCP还是UDP的）juniper防火墙执行策略是从上到下的。建议你可以建立一条默认阻止策略放在最后。
