H3C V7平台F10X0 防火墙安全策略用户过滤不生效故障案例

不涉及

H3C V7平台FW上部署L2TP over IPSec功能后，用户user10，可从外网拨入VPN成功。

但用户user10，发现无法访问 或 ping通 FW 内网 trust 域内资源。

故障时，在FW上开启debug ip packet和debug packet-filter packet ip ，观察user10用户拨入VPN成功后，ping FW 内网 trust 域内资源情况：

FW收到（Receiving）user10用户发来的ICMP报文，但是被安全策略阻止denied，导致故障：

*Jul  5 14:59:35:560 2019 F1005 IPFW/7/IPFW_PACKET:

Receiving, interface = Virtual-Access0

version = 4, headlen = 20, tos = 0

pktlen = 60, pktid = 3623, offset = 0, ttl = 64, protocol = 1

checksum = 44050, s = 172.16.0.2, d = 10.10.10.108

channelID = 0, vpn-InstanceIn = 0, vpn-InstanceOut = 0.

prompt: Receiving IP packet from interface Virtual-Access0.

Payload: ICMP

  type = 8, code = 0, checksum = 0x4cc9.

*Jul  5 14:59:35:560 2019 H3C FILTER/7/PACKET: The packet is denied. Src-ZOne=l2tp_O_ipsec, Dst-ZOne=Trust;If-In=Virtual-Access0(136), If-Out=GigabitEthernet1/0/1(2); Packet Info:Src-IP=172.16.0.2, Dst-IP=10.10.10.108, VPN-Instance=,Src-Port=8, Dst-Port=0, Protocol=ICMP(1), Application=ICMP(22742), ACL=none, Rule-ID=none.

检查 FW 安全策略配置，发现设备部署了“用户”规则：

#

local-user user10 class network

 password cipher $c$3$QyD0nVYrk+nuT74azPJdt4NmvlYTV9ot+w==

 service-type ppp

 authorization-attribute user-role network-operator

#

security-policy ip

......

 rule 1 name "l2tpOipsec to Trust"

  action pass

  source-zone l2tp_O_ipsec

  destination-zone Trust

  user user10   //测试发现，若安全策略rule 1 中，取消user命令后，VPN user10用户访问正常；增加user命令后，VPN user10用户无法访问相关业务。

……

#

相关user配置，对应web部署下图红色部分：

但是，防火墙全局配置中并未开启用户身份识别功能，导致防火墙无法识别“用户”user10参数，造成故障。

在防火墙上开启用户身份识别功能后，故障可解决：

[H3C] user-identity enable