الـ firewall policy هي قلب الـ FortiGate: بتعمل match للـ traffic وتقرّر ACCEPT ولا DENY. كل policy بتتكوّن من مجموعة شروط زي الـ incoming و outgoing interface و source و destination و service و schedule، وعليها action و NAT toggle و security profiles و logging. المهم تفتكر إن الـ matching بيمشي top-down وأول match بيكسب، وفيه implicit deny في الآخر بيرفض أي حاجة مش متطابقة.

• 1مكوّنات الـ policy: incoming (source) interface و outgoing (dest) interface و source address/user و destination address و service (port/protocol) و schedule و action و الـ NAT toggle و security profiles و logging.
• 2الـ matching بيشتغل top-down وأول match بيكسب (first match wins)، عشان كده القواعد الـ specific لازم تكون فوق القواعد الـ general عشان ما يحصلش shadowing للقاعدة الأدق.
• 3فيه implicit deny-all في آخر الـ policy list بيرفض أي traffic ما عملش match لأي policy فوقه، وتقدر تفعّل عليه logging عشان تشوف اللي اترفض.
• 4الـ policies بتستخدم reusable objects زي address objects و service objects و schedules، فبدل ما تكتب IP أو port في كذا مكان، تعمل object مرة واحدة وتستخدمه في كذا policy.
• 5على الـ policy بتربط security profiles (AV, web filter, IPS, application control) وتختار الـ inspection mode، وتقدر تستخدم "Policy Lookup" عشان تختبر أنهي policy هيعمل لها match flow معيّن. ملاحظة مهمة: الترتيب/السيكوينس هو اللي بيهم، مش رقم الـ policy ID.

• الـ implicit deny في النهاية لا يُسجّل افتراضياً، لذا فعّل Log Violation Traffic أو أنشئ deny policy صريحة فوقه لرؤية الـ traffic المرفوض في الـ logs.
• الـ policy ID ثابت ولا يتغيّر عند إعادة الترتيب، بينما الـ sequence (الترتيب من الأعلى للأسفل) هو ما يحدد المطابقة فعلياً، لذا لا تعتمد على رقم الـ ID في الترتيب.
• أداة Policy Lookup تحاكي 5-tuple معيّن وتُظهر أي policy ستطابقه، مما يسرّع troubleshooting بدلاً من قراءة الجدول يدوياً.