内网服务器→网闸→外网防火墙→外网前置机；内网能打开网闸监听地址端口，但页面无数据；前置机抓包完全收不到访问报文

现象拆解：内网浏览器可以和网闸监听端口完成 TCP 三次握手（连接成功，空白页面）；但是外网前置机抓包看不到来自内网服务器的请求报文。

关键点：TCP 握手完成仅代表内网服务器和网闸内端代理端口连接成功，不等于报文已经摆渡过网闸送到外网侧H3C。

拓扑梳理

前置机本地直接访问本机服务，页面完全正常，证明前置机应用本身没问题。

按优先级排查（从网闸向内网、外网双向抓包定位）

1、网闸通道本身配置问题（最高概率）

⚠️网闸 TCP 代理通道，监听端口可以和目标端口不一样，但目标端口必须填写前置机实际监听端口，很多人这里填成监听端口，外网服务器收不到请求。

网闸摆渡到外网之后，报文源 IP 不是内网服务器 IP，而是网闸通道配置的【连接地址】（网闸外端机地址），不是内网服务器 IP。

• 连接地址必须是网闸外端网卡 IP，该 IP 需要和外网防火墙三层可达；
• 外网防火墙安全策略的源地址，要放通这个网闸外端【连接地址】，不要放通内网服务器网段！

很多人防火墙策略放通内网服务器源 IP，但是网闸代理出去源是网闸外端 IP，策略根本不命中，报文被防火墙丢弃，前置机抓包看不到任何报文。

2、网闸外端→外网防火墙之间路由与安全策略

在网闸外端机，使用诊断工具，测试连通性：用通道的【连接地址】作为源 IP，telnet 前置机 IP 业务端口。

❌如果这里 telnet 不通，流量根本送不到防火墙，和内网无关。

• 安全策略：源 = 网闸外端【连接地址】，目的 = 外网前置机 IP，服务 = 业务端口，动作允许；
• 确认没有开启基于 IP 的反欺骗、IPS 过滤丢弃报文；
• 不要做源 NAT（不需要二次源转换）；
• 防火墙抓包：抓取防火墙靠近网闸的接口，看是否收到来自网闸外端 IP 访问前置机的 SYN 报文。
  • 如果防火墙抓包完全没有报文：问题停留在网闸外端，网闸没有把报文摆渡发送出来。
  • 如果防火墙抓到报文，但是没有转发出去：防火墙策略 / 黑名单丢弃。
  • 如果防火墙抓到报文并且转发出去，前置机抓包没有收到：中间交换机、ACL 拦截。

3、HTTP 业务特有现象：TCP 握手成功，应用层报文摆渡失败（空白页面）

4、抓包定位分界点（最快定位手段）

• ✅如果网闸外端抓包看不到向外网前置机发送的报文：故障点在网闸通道配置、访问策略、摆渡异常，流量没有跨过隔离硬件。
• ✅如果网闸外端抓包可以看到访问前置机的报文：说明网闸摆渡完成，故障在网闸外端之后（防火墙、路由、前置机侧）。

5、容易混淆的误区

误区 1：防火墙策略放通内网服务器网段。

实际 TCP 代理模式，网闸做源地址转换，外网侧看到的源 IP 是网闸外端【连接地址】，内网 IP 不会出现在外网，防火墙放内网网段策略永远不会命中。

误区 2：能 telnet 网闸监听端口，就代表网闸已经把流量转发出去。

telnet 连通，只代表内网服务器与网闸内端代理端口 TCP 握手，不代表网闸已经向目标服务器发起连接，通道策略不允许时，就会出现握手成功但是不向外发送报文。

快速验证操作清单

1. 登录网闸安全管理员账号，确认通道启用；确认【连接地址】为网闸外端 IP；目标 IP / 端口是前置机真实地址端口；通道挂载白名单策略允许内网服务器源 IP。
2. 在网闸外端做连通性测试：源 = 连接地址，telnet 前置机 IP 业务端口，看是否通。
3. 外网防火墙抓靠近网闸的接口，过滤前置机业务端口，看是否收到网闸发出报文。
4. 内网服务器执行curl -v http://网闸监听IP:端口，看详细交互输出。
5. 查看网闸系统日志、通道日志，看是否有拒绝摆渡、策略拒绝记录。