Une politique associe interface d'entrée et de sortie, sources (adresses, utilisateurs, équipements), destinations, services, horaire, action (accepter/refuser), inspection et profils de sécurité, journalisation.
Lecture de haut en bas, première correspondance ; une politique implicite refuse tout le reste.
Objets d'adresses (sous-réseau, FQDN, géographie), groupes, Internet Service Database (services cloud connus).
Bonnes pratiques : règles précises, commentées, journalisées ; pas de « tout vers tout » ; revue régulière des règles inutilisées (compteur de correspondances).