ZTNA-AK8010 零信任一体机 ssl vpn访问资源异常

现场使用过程设备异常，外网通过inode无法访问内网资源，但是访问22端口就能成功

现场平台版本

先排查pc侧是否有相关路由，经过查看确实有相关路由

再在防火墙上抓包发现加密报文上墙但是并未处理

在命令行debug ssl vpn发现有报错

*Nov 21 20:30:55:375 2024 XXXXXX_ZTNA SSLVPNK/7/SSLVPN_ERROR: -COntext=1; SDP: Can not match the app authorization. (IP address=172.XX.X.XXX, port=XXXXX, protocol=TCP). And the default app policy is deny.
*Nov 21 20:30:55:375 2024 XXXXXX_ZTNA SSLVPNK/7/SSLVPN_ERROR: -COntext=1; SDP: The App check result is deny. Reason is: The resource does not exist, and the default policy denies application access.
*Nov 21 20:30:55:375 2024 XXXXXX_ZTNA SSLVPNK/7/SSLVPN_EVENT: -COntext=1; SDP: Failed to obtain the related session or relation tables for the APP. The access permission is deny.

目前已经证明是SDP控制器侧的问题

通过在防火墙命令行下发display trusted-access controller sdp assigned-resource app，查看sdp控制器给防火墙下发的对应策略

可以发现，防火墙上只有关于ssh 22端口的配置，因此目前已定位是SDP控制器没有给防火墙下发授权资源

         临时解决办法：在防火墙命令行重新使能SDP功能

<Sysname> system-view

[Sysname] trusted-access controller sdp

[Sysname-tac-sdp] undo sdp enable  先关闭

[Sysname-tac-sdp] sdp enable  再次启动

重启后SDP控制器重新正确下发访问资源的权限

根本解决办法：在和现场沟通后，发现该设备是断电后出现的这个问题，经过研发判断，现场设备触发SDP控制器版本已知问题，将SDP控制器单独升级到E6607版本就能彻底解决该问题。