防火墙是广泛应用的确保网络和主机安全的防护措施。防火墙策略是防火墙实现其预定义安全决策的核心部件。目前,防火墙策略算法存在一些问题。异常检测算法有些只能检测某种特定异常,如交叉冲突异常,还有一些算法对防火墙策略中规则过滤域的表示方法存在这样或那样的限制;数据包匹配算法远未达到电路级速度,仍需优化。为了检测出防火墙策略中的各种异常情况,同时突破规则过滤域的表示方法的限制,本文研究了现实中使用的防火墙策略的统计特性和在某一方面比较成功的防火墙策略异常检测算法,提出一种新的用于防火墙策略异常检测与消除的CDE算法并进行了实验仿真测试。通过对防火墙策略规则表示中IP地址前缀的表示方法的研究,提出一种可以为IP前缀trie结构提供较快查找时间和较小空间消耗的新的LE-Trie,这种结构具有惰性展开(Lazy Extend)特性,适用于以trie结构来组织IP前缀的场合,包括上面的CDE算法。为了将Grid-of-tries算法扩展到多维数据包分类,引入策略规则相对权重的概念,给策略中具有异常关系的规则分配相对权重,并将这个概念和LE-Trie应用到Grid-of-tries算法中得到一种可以用于防火墙数据包匹配的LE-GoT算法并对其进行了实验仿真测试。