F1000防火墙开sslvpn，连上不上问题

手机热点（运营商 4/5G 大 NAT）能正常打通 SSLVPN 访问内网；家用宽带（光猫拨号 / 路由器 PPPoE）可以完成 SSL 握手、防火墙存在客户端会话，但内网双向流量不通。
出现 “有会话但不通”，说明SSL 加密隧道链路通、TCP 443 握手正常，但内网三层回程 / 转发被拦截，宽带侧与手机侧唯一区别：家用宽带存在双层 NAT、光猫路由 / 桥接模式、MTU、运营商端口封锁、内网网段冲突、SNAT 排除策略缺失。
一、最高概率根因（家用宽带双层 NAT / 光猫问题）
1. 光猫路由模式（双层 NAT，最常见）
手机热点：仅运营商一层大 NAT；
家用宽带：光猫做路由拨号 + 下级路由器二次 NAT = 双层 CGNAT。
SSL VPN 封装报文经过两次 NAT 端口转换，ESP/SSL 分片、保活报文丢失，隧道控制通道建立成功（防火墙生成会话），业务数据报文无法回程。
解决：
联系运营商把光猫改成桥接模式，下级路由器 PPPoE 拨号，消除一层 NAT；
若无法改桥接：路由器开启DMZ 主机，把 SSLVPN 客户端电脑 IP 完整暴露公网；
路由器开启UPnP，放行 443 端口隧道报文。
2. 家用宽带运营商封锁 443 / 大报文分片
部分家庭宽带运营商对 443 端口深度检测、拦截大 SSL 分片报文；手机移动网络无该限制。
验证 & 解决：
修改防火墙 SSLVPN 服务端口（不要默认 443），例如 4433，公网映射端口；
plaintext
ssl vpn gateway GW
port 4433
强制降低 MTU（双层 NAT 极易分片丢包）
防火墙全局配置：
plaintext
interface Untrust
tcp mss 1300
# SSLVPN地址池MTU限制
ssl vpn address pool pool1
mtu 1300
客户端网卡手动设置 MTU=1300 测试。
二、防火墙侧配置缺陷（手机不受影响、宽带触发故障）
1. 缺少 SSLVPN 地址池不做 SNAT策略（头号配置坑）
故障逻辑：
内网服务器回包去往 SSLVPN 客户端网段，防火墙匹配默认上网 SNAT，把回包源地址转换成公网地址，报文发往互联网，不走 SSL 隧道回程，防火墙只能看到客户端主动发起的单向会话，无回程响应。
手机热点场景：流量特征简单不易触发，家用宽带多层 NAT 放大该问题。
标准修复配置：
定义 SSLVPN 地址池网段对象
plaintext
object-group ip-address SSL-POOL
ip 10.254.0.0 0.0.255.255
源 NAT 策略置顶，访问该网段不转换
plaintext
nat address-group NO-SNAT
rule 0 permit source trust all destination SSL-POOL
no nat
2. 内网无指向 SSLVPN 地址池的回程静态路由
内网三层交换机 / 核心没有去往 SSLVPN 虚拟地址池的路由，下一跳为防火墙 Trust 接口 IP。
内网服务器收到 VPN 客户端请求，回包找不到路由直接丢弃；手机流量小包偶然通，宽带大包完全不通。
修复：
核心交换机添加静态路由：
ip route-static 10.254.0.0 255.255.0.0 防火墙内网接口IP
3. 安全策略放行不全（单向通、无回程）
仅放行了 Untrust→Trust（VPN 客户端访问内网），未放行 Trust→SSLVPN 地址池回程流量。
查看会话只有客户端主动发起的单向 TCP 会话，无内网回包报文。
完整安全策略：
plaintext
security-policy
rule 1 permit source SSL-POOL destination trust all
rule 2 permit source trust destination SSL-POOL all
4. SSLVPN 地址池与家用宽带内网网段冲突
家用路由器默认网段多为192.168.1.0/24，若防火墙 SSLVPN 地址池也使用 192.168.x 段，客户端本地路由冲突：访问内网网段流量直接走本地局域网，不走 VPN 隧道；手机热点网段多为 10/172 段，不会冲突。
修复：
修改 SSLVPN 地址池为独立不冲突网段（推荐 10.254.0.0/24、172.31.0.0/24）。
三、宽带客户端本地环境问题
电脑管家 / Windows 防火墙拦截 VPN 虚拟网卡回程流量；
临时关闭系统防火墙、杀毒软件测试。
家用路由器 QoS / 防火墙拦截超大 SSL 封装包；
关闭路由器智能限速、应用识别、SSL 检测功能。
PPPoE 拨号线路丢包、延迟高；
tracert 公网网关，查看是否持续丢包，更换宽带线路测试。
四、防火墙快速定位排错命令（直接定位单向流量）
查看 SSLVPN 在线客户端与分配地址
plaintext
display ssl vpn user
查看客户端访问内网的会话，确认是否只有单向报文计数
plaintext
display session table source-address 10.254.0.10 verbose
Bytes (源→目的) 有数值，Bytes (目的→源) 为 0 = 回程流量丢失，锁定路由 / NAT / 安全策略问题
抓流确认内网回包是否上防火墙 Trust 口
plaintext
debugging ip packet source 内网服务器IP destination SSL客户端IP
有报文打印：防火墙没转发，排查 no nat 策略；
无报文打印：内网核心缺少回程路由。
最简排查顺序（现场优先操作）
光猫改为桥接，路由器 PPPoE 拨号，消除双层 NAT；
防火墙添加 SSLVPN 地址池不做 SNAT策略；
内网交换机添加 VPN 地址池回程静态路由；
调整 SSL MTU=1300，更换非 443 VPN 端口；
检查网段是否冲突，修改 VPN 地址池；
关闭客户端家用路由器 / 电脑本地防火墙。