H3C F1000‑AI‑35 放行 126 邮箱应用，页面文字正常、缺少图片 / 控件，全放通策略显示正常

现象复盘

域间对象策略引用126 邮箱应用，一键自动添加 http、https、dns；应用授权正常、特征库已更新；终端可打开网页版 126 邮箱，只有文字，图片、CSS、JS 控件缺失，页面加载慢；改成全放通（any 应用）页面完全正常H3C。

核心根因：Web 版 126 邮箱网页资源（图片、js、css、静态资源 CDN 域名）并不匹配 “126 邮箱” 这个 DPI 应用特征；只放通该应用对象时，这些第三方 CDN 资源被防火墙拒绝，导致页面样式、图片无法渲染，仅主页面 HTML 文本可以返回。 “126 邮箱” 这个应用对象主要识别***.***主站业务流量，但网页加载会调用大量网易 CDN、静态资源域名，这些流量不属于该应用识别，一键添加 http/https 也不等于放行全部外网 https 流量。全放通 any 时所有 CDN 资源全部放行，页面就完整。

分步排查 & 解决方案

步骤 1：确认策略命中与 DPI / 内容安全是否拦截

1. 查看该安全策略命中计数，确认访问 126 时确实命中这条规则：

观察 hit‑count 是否持续增长H3C。 2. 检查该策略是否绑定URL 过滤、IPS、应用控制、SSL 解密 profile。 如果挂载了 URL 过滤 / IPS，会拦截 CDN 静态资源；临时移除 profile 做测试，页面恢复完整则定位到内容安全配置问题H3C。

命令查看策略绑定的内容安全配置：

步骤 2：浏览器 F12 抓包确认被阻断资源

1. 终端浏览器访问 126 邮箱，F12 打开开发者工具‑网络面板，刷新页面。
2. 查看状态码：大量图片、js、css 资源显示失败 /（已阻止），域名大多是网易 CDN 域名（非***.***）。

现象印证：主 HTML 页面可以加载（匹配 126 邮箱应用），CDN 静态资源不匹配该应用对象，被防火墙默认 deny 拒绝。

方案 A（推荐生产，最小权限）：白名单方式放行 CDN 资源

1. 域间策略，在 126 邮箱放行规则之上新增优先级更高规则：

• 源：内网网段
• 目的域：untrust
• 应用：http、https、dns
• 目的对象：填写网易邮箱相关 CDN 的 IP / 域名对象组

注意：H3C 对象策略的应用识别是基于流量特征，无法直接匹配域名；域名控制要使用 URL 过滤，或者目的 IP 对象。

2. 配置 URL‑Filter 白名单，把网易全部 CDN、静态资源域名加入白名单，挂载到域间策略；

注意 HTTPS 流量需要开启https‑filter enable，依靠 SNI 识别域名，TLS1.3 加密 SNI 场景会存在识别失效风险H3C。

方案 B（快速验证，适合测试）：不依赖 “126 邮箱” 应用对象

删除策略中的 “126 邮箱” 应用，策略直接放行 http、https、dns，配合 URL 过滤做域名白名单。

原因：Webmail 网页版本质就是普通 HTTPS 网页，DPI 应用对象 “126 邮箱” 主要针对邮件协议（smtp/imap/pop3），对网页依赖的外部 CDN 覆盖不全。 客户端收发邮件（Foxmail）才真正需要使用 126 邮箱应用对象；网页版邮箱不建议只依靠应用对象放行。

方案 C（临时测试）：把应用改为 any，验证业务

应用选择 any，业务完全正常，就 100% 确认是 CDN 资源流量没有被策略放行。生产环境禁止长期 any 放通，仅用于定位故障。

步骤 3：DNS 相关检查（页面慢辅助排查）

虽然一键添加 dns，确认：

1. DNS 流量是 UDP53，同时部分环境会用到 TCP53；策略确认 DNS 的 UDP/TCP 都放行。
2. 内网终端 DNS 服务器可正常解析网易 CDN 域名，无解析延迟。

补充注意点

1. 一键添加依赖协议只是补充基础协议，不等于放行网页所有关联资源，网页业务大量依赖第三方 CDN，DPI 应用对象无法覆盖全部关联域名，这是网页类应用放行的常见坑。
2. 如果开启 SSL 解密，解密异常也会造成部分资源加载失败，可以临时关闭 SSL 解密测试。
3. 区分场景：
   • Foxmail 客户端收信：用126邮箱应用对象是合适，会识别 imap/smtp/pop3 流量。
   • 浏览器网页访问邮箱：本质 web 网页，优先 URL 过滤白名单，不要仅依赖 DPI 应用对象。

排障命令清单