问

SecPath F1060 防火墙无法使用Inode

2021-06-20提问

0关注
1收藏，2140浏览

zhiliao_TSVrCs

zhiliao_TSVrCs 零段

粉丝：0人关注：0人

问题描述：

SecPath F1060 防火墙ssl-vpn有授权，2年前开始投入使用，同期使用INode 7.3版本进行VPN连接，对应于服务器进行远程管理，但突然今年突然发现无法使用INode 创建VPN连接隧道（但是通过WEB 可以正常使用VPN功能）。

期间换了多个版本的INode 版本均可完成网关的测试，但都出现创建隧道失败的提示，日志如下：

2021-06-20 17:57:01] [Info] [258c] ::main =======================SSL VPN Daemon is starting now========================= [2021-06-20 17:57:01] [Warn] [258c] ProtoDirector prsCfg: log-level is 2.

[2021-06-20 17:57:01] [Err] [258c] CInodeNetCmd::loadSslVpnRoutes failed to load the route file.

[2021-06-20 17:57:01] [Err] [258c] CInodeNetCmd::clearLastVpnRoutes failed to load last VPN routes.

[2021-06-20 17:57:02] [Warn] [258c] CInodeNetCmd::init the computer supports the dns validate option.

[2021-06-20 17:57:02] [Warn] [258c] CInodeNetCmd::init the computer has route command with netsh.

[2021-06-20 17:57:02] [Warn] [258c] CSslHttpOper::init failed to open the file: C:\Program Files (x86)\iNode\iNode Client\Data\sslvpnparameters.txt

[2021-06-20 17:57:07] [Warn] [628] CSslVpnMgr::startConnSpecial begin to start the SSL VPN connection.

[2021-06-20 17:57:07] [Fatal] [628] CHttpsAuth::buildSslAuthPacketV7: request=%3Cdata%3E%3Cusername%3Ehtcf%3C%2Fusername%3E%3Cpassword%3E123456%3C%2Fpassword%3E%3CvldCode%3E%3C%2FvldCode%3E%3Clanguage%3ECN%3C%2Flanguage%3E%3COS%3EWindows%3C%2FOS%3E%3CmacAddress%3Ec03c%2D59ac%2D2d0d%3C%2FmacAddress%3E%3Cprivate%3EARZpMgwVEAZkciseGGgqVCt7EDq3Zg%3D%3D%3C%2Fprivate%3E%3C%2Fdata%3E

[2021-06-20 17:57:08] [Err] [628] CSslClient::getVpnAllocParam the response is not OK.

[2021-06-20 17:57:08] [Err] [628] CSslClient::configVirtNetwork failed to get VPN paramters.

[2021-06-20 17:57:08] [Warn] [628] CSslClient::conn2Remote failed to build the SSL VPN network.

[2021-06-20 17:57:08] [Err] [628] CSslVpnMgr::startConnSpecial failed to connect the remote gateway, return code: 1

[2021-06-20 17:57:08] [Err] [628] CInodeNetCmd::loadSslVpnRoutes failed to load the route file.

[2021-06-20 17:57:08] [Err] [628] CInodeNetCmd::clearLastVpnRoutes failed to load last VPN routes.

[2021-06-20 17:57:08] [Err] [628] CProtoBase::startConn failed to start the connection by protocol.

[2021-06-20 17:57:11] [Warn] [3198] CSslVpnMgr::startConnSpecial begin to start the SSL VPN connection.

[2021-06-20 17:57:11] [Fatal] [3198] CHttpsAuth::buildSslAuthPacketV7: request=%3Cdata%3E%3Cusername%3Ehtcf%3C%2Fusername%3E%3Cpassword%3E123456%3C%2Fpassword%3E%3CvldCode%3E%3C%2FvldCode%3E%3Clanguage%3ECN%3C%2Flanguage%3E%3COS%3EWindows%3C%2FOS%3E%3CmacAddress%3Ec03c%2D59ac%2D2d0d%3C%2FmacAddress%3E%3Cprivate%3EARZpYgtOSwE0citOHzNxU3t7jKvrWQ%3D%3D%3C%2Fprivate%3E%3C%2Fdata%3E

[2021-06-20 17:57:12] [Err] [3198] CSslClient::getVpnAllocParam the response is not OK.

[2021-06-20 17:57:12] [Err] [3198] CSslClient::configVirtNetwork failed to get VPN paramters.

[2021-06-20 17:57:12] [Warn] [3198] CSslClient::conn2Remote failed to build the SSL VPN network.

[2021-06-20 17:57:12] [Err] [3198] CSslVpnMgr::startConnSpecial failed to connect the remote gateway, return code: 1

[2021-06-20 17:57:12] [Err] [3198] CInodeNetCmd::loadSslVpnRoutes failed to load the route file.

[2021-06-20 17:57:12] [Err] [3198] CInodeNetCmd::clearLastVpnRoutes failed to load last VPN routes.

[2021-06-20 17:57:12] [Err] [3198] CProtoBase::startConn failed to start the connection by protocol.

[2021-06-20 18:00:09] [Warn] [7e0] CSslVpnMgr::startConnSpecial begin to start the SSL VPN connection.

[2021-06-20 18:00:09] [Fatal] [7e0] CHttpsAuth::buildSslAuthPacketV7: request=%3Cdata%3E%3Cusername%3Ehtcf%3C%2Fusername%3E%3Cpassword%3E123456%3C%2Fpassword%3E%3CvldCode%3E%3C%2FvldCode%3E%3Clanguage%3ECN%3C%2Flanguage%3E%3COS%3EWindows%3C%2FOS%3E%3CmacAddress%3Ec03c%2D59ac%2D2d0d%3C%2FmacAddress%3E%3Cprivate%3EARYyMFoZHFBmKXAcTmQmAikgUveGIA%3D%3D%3C%2Fprivate%3E%3C%2Fdata%3E

[2021-06-20 18:00:10] [Err] [7e0] CSslClient::getVpnAllocParam the response is not OK.

[2021-06-20 18:00:10] [Err] [7e0] CSslClient::configVirtNetwork failed to get VPN paramters.

[2021-06-20 18:00:10] [Warn] [7e0] CSslClient::conn2Remote failed to build the SSL VPN network.

[2021-06-20 18:00:10] [Err] [7e0] CSslVpnMgr::startConnSpecial failed to connect the remote gateway, return code: 1

[2021-06-20 18:00:10] [Err] [7e0] CInodeNetCmd::loadSslVpnRoutes failed to load the route file.

[2021-06-20 18:00:10] [Err] [7e0] CInodeNetCmd::clearLastVpnRoutes failed to load last VPN routes.

[2021-06-20 18:00:10] [Err] [7e0] CProtoBase::startConn failed to start the connection by protocol.

[2021-06-20 18:00:12] [Warn] [7e0] CSslVpnMgr::startConnSpecial begin to start the SSL VPN connection.

[2021-06-20 18:00:12] [Fatal] [7e0] CHttpsAuth::buildSslAuthPacketV7: request=%3Cdata%3E%3Cusername%3Ehtcf%3C%2Fusername%3E%3Cpassword%3E123456%3C%2Fpassword%3E%3CvldCode%3E%3C%2FvldCode%3E%3Clanguage%3ECN%3C%2Flanguage%3E%3COS%3EWindows%3C%2FOS%3E%3CmacAddress%3Ec03c%2D59ac%2D2d0d%3C%2FmacAddress%3E%3Cprivate%3EARY9bQxITQY7Jn9BGDV3VHQvtKr8Iw%3D%3D%3C%2Fprivate%3E%3C%2Fdata%3E

[2021-06-20 18:00:13] [Err] [7e0] CSslClient::getVpnAllocParam the response is not OK.

[2021-06-20 18:00:13] [Err] [7e0] CSslClient::configVirtNetwork failed to get VPN paramters.

[2021-06-20 18:00:13] [Warn] [7e0] CSslClient::conn2Remote failed to build the SSL VPN network.

[2021-06-20 18:00:13] [Err] [7e0] CSslVpnMgr::startConnSpecial failed to connect the remote gateway, return code: 1

[2021-06-20 18:00:13] [Err] [7e0] CInodeNetCmd::loadSslVpnRoutes failed to load the route file.

[2021-06-20 18:00:13] [Err] [7e0] CInodeNetCmd::clearLastVpnRoutes failed to load last VPN routes.

[2021-06-20 18:00:13] [Err] [7e0] CProtoBase::startConn failed to start the connection by protocol.

组网及组网描述：

城域网，通过运营商的网络连接到互联网。

最佳答案

smile_loser

smile_loser 九段

粉丝：10人关注：0人

检查一下防火墙配置吧，估计是配置问题

本电子书由CyberArticle制作。点击这里下载CyberArticle。注册版本不会显示该信息。删除广告

V7防火墙使用默认证书配置SSL VPN IP资源典型案例（命令行配置）

V7防火墙使用默认证书配置SSL VPN IP资源典型案例（命令行配置）... 1

3.4 新建SSL VPN用户，关联SSLVPN资源组... 3

3.5 将SSL VPN端口加入安全域，放通对应安全策略... 3

3.6 保存配置... 4

3.7 配置验证，查看拨号成功的用户... 4

4 注意事项... 4

1 配置需求及说明

1.1 适用的产品系列

本案例适用于软件平台为Comware V7系列防火墙：F100-X-G2、F1000-X-G2、F100-X-WiNet、F1000-AK、F10X0等。

注：本案例是在F1000-C-G2的Version 7.1.064, Release 9323P19版本上进行配置和验证的。

1.2 配置需求及实现的效果

V7防火墙设备作为出口设备，外网PC通过inode软件拨SSLVPN，认证成功后可以访问内网192.168.10.0网段的资源。IP地址及接口规划如下表所示：

外网接口	公网地址/掩码	内网接口	内网地址/掩码
GE1/0/1	222.1.1.100/24	GE1/0/3	192.168.10.1/24

2 组网图

3 配置步骤

3.1 防火墙上网配置

防火墙上网配置请参考“2.2.2 防火墙外网使用固定IP地址上网配置方法”进行配置，本文只针对SSLVPN配置进行介绍。

3.2 配置SSL VPN网关

#SSLVPN网关IP地址填写防火墙1口地址222.1.1.1.00，端口号修改为4433，缺省端口为443，443端口和https端口冲突，然后使能网关配置。

<H3C>sys

[H3C]sslvpn gateway SSLVPNGW

[H3C-sslvpn-gateway-SSLVPNGW]ip address 222.1.1.100 port 4433

[H3C-sslvpn-gateway-SSLVPNGW]service enable

[H3C-sslvpn-gateway-SSLVPNGW]quit

#创建SSL VPN AC接口1,配置接口IP为10.10.10.1/24

[H3C]interface SSLVPN-AC 1

[H3C-SSLVPN-AC1] ip address 10.10.10.1 255.255.255.0

[H3C-SSLVPN-AC1]quit

#创建地址池名称为“SSLPOOL”，指定IP地址范围为10.10.10.2——10.10.10.254

[H3C]sslvpn ip address-pool SSLPOOL 10.10.10.2 10.10.10.254

#创建ACL 3999，允许SSL VPN用户访问的内网资源192.168.10.0/24网段

[H3C]acl advanced 3999

[H3C-acl-ipv4-adv-3999]rule permit ip destination 192.168.10.0 0.0.0.255

[H3C-acl-ipv4-adv-3999]quit

3.3 配置SSL VPN实例

# 配置SSL VPN访问实例“SSLVPNSL”引用SSL VPN网关“SSLVPNGW”

[H3C] sslvpn context SSLVPN

[H3C-sslvpn-context-SSLVPN]gateway SSLVPNGW

#引用SSL VPN接口1

[H3C-sslvpn-context-SSLVPN] ip-tunnel interface SSLVPN-AC1

#引用SSL VPN地址池，掩码和dns

[H3C-sslvpn-context-SSLVPN]ip-tunnel address-pool SSLPOOL mask 255.255.255.0

[H3C-sslvpn-context-SSLVPN]ip-tunnel dns-server primary 114.114.114.114

#创建路由列表“NEIWANG”，添加路由表项192.168.10.0/24

[H3C-sslvpn-context-SSLVPN] ip-route-list NEIWANG

[H3C-sslvpn-context-SSLVPN-route-list-NEIWANG] include 192.168.10.0 255.255.255.0

# 创建SSL VPN策略组“SSLVPNZIYUAN”，引用路由列表“NEIWANG”，配置ACL限制，只有通过ACL检查的报文才可以访问IP资源

[H3C-sslvpn-context-SSLVPN] policy-group SSLVPNZIYUAN

[H3C-sslvpn-context-SSLVPN-policy-group-SSLVPNZIYUAN]filter ip-tunnel acl 3999

[H3C-sslvpn-context-SSLVPN-policy-group-SSLVPNZIYUAN]ip-tunnel access-route ip-route-list NEIWANG

[H3C-sslvpn-context-SSLVPN-policy-group-SSLVPNZIYUAN]quit

[H3C-sslvpn-context-SSLVPN] service enable

[H3C-sslvpn-context-SSLVPN]quit

3.4 新建SSL VPN用户，关联SSLVPN资源组

#创建SSLVPN本地用户,配置用户名密码user1,服务类型sslvpn，引用之前创建的SSLVPN资源组

[H3C]local-user user1 class network

[H3C-luser-network-user1]password simple user1

[H3C-luser-network-user1]service-type sslvpn

[H3C-luser-network-user1]authorization-attribute sslvpn-policy-group SSLVPNZIYUAN

[H3C-luser-network-user1]quit

3.5 将SSL VPN端口加入安全域，放通对应安全策略

#新建安全域，名称为“SSLVPN”，将SSL VPN端口1加入到安全域“SSLVPN”

[H3C]security-zone name SSLVPN

[H3C-security-zone-SSLVPN]import interface SSLVPN-AC1

[H3C-security-zone-SSLVPN]quit

#创建服务对象组，组名称为4433，匹配SSLVPN端

[H3C]object-group service 4433

[H3C-obj-grp-service-4433]service tcp destination eq 4433

[H3C-obj-grp-service-4433]quit

#配置配置安全策略将Untrust到Local域目的端口为TCP4433端口放通

[H3C]security-policy ip

[H3C-security-policy-ip]rule 5 name Untrst-Local

[H3C-security-policy-ip-5-Untrst-Local]action pass

[H3C-security-policy-ip-5-Untrst-Local]source-zone Untrust

[H3C-security-policy-ip-5-Untrst-Local]destination-zone Local

[H3C-security-policy-ip-5-Untrst-Local]service 4433

[H3C-security-policy-ip-5-Untrst-Local]quit

#配置配置安全策略,放通源安全域为SSLVPN，目前安全域为“Trust”的数据流量

[H3C-security-policy-ip]rule 10 name SSLVPN-Trust

[H3C-security-policy-ip-10-SSLVPN-Trust] action pass

[H3C-security-policy-ip-10-SSLVPN-Trust] source-zone SSLVPN

[H3C-security-policy-ip-10-SSLVPN-Trust] destination-zone Trust

[H3C-security-policy-ip-10-SSLVPN-Trust]quit

3.6 保存配置

save force

3.7 配置验证，查看拨号成功的用户

<H3C>dis sslvpn session verbose

User : user1

Context : SSLVPN

Policy group :SSLVPNZIYUAN

Idle timeout : 30 min

Created at : 18:16:02 UTC Sun 08/26/2018

Lastest : 18:32:32 UTC Sun 08/26/2018

User IPv4 address : 222.1.1.99

Alloced IP : 10.10.10.2

Session ID : 3

Web browser/OS : Windows

4 注意事项

1、本案例适应的是默认证书，不需要手工导入CA证书和本地正常

2、不需要配置SSL服务器端策略，SSLVPN网关不需要引用SSL服务器端策略

暂无评论

1 个回答

按时间按赞数

知了小白

粉丝：人关注：人

这问题后来咋解决的

暂无评论

编辑答案

分享扩散:

➤

网站相关: 关于我们; 服务条款; 帮助中心; 经验与权限; 积分规则

联系我们: 联系我们; 建议反馈

常用链接: 标杆的神器下载

关注我们: H3C官网; 新华三服务公众号; 安仔远程运维服务; 新华三商城

内容许可: 除特别说明外，用户内容均可采用知识共享署名-相同方式共享3.0中国大陆许可协议进行许可

本图标版权归新华三集团所有，仅限本社区使用，切勿用做商业目的，违者必究

浙ICP备09064986号-1 浙公网安备 33010802004416号

✖

亲~登录后才可以操作哦!

确定

✖

亲~检测到您登陆的账号未在http://hclhub.h3c.com进行注册

注册后可访问此模块

跳转hclhub

✖

你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作

✖

侵犯我的权益 >

对根叔社区有害的内容 >

辱骂、歧视、挑衅等（不友善）

侵犯我的权益

泄露了我的隐私 >

侵犯了我企业的权益 >

抄袭了我的内容 >

诽谤我 >

辱骂、歧视、挑衅等（不友善）

骚扰我

泄露了我的隐私

您好，当您发现根叔知了上有泄漏您隐私的内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。

1. 您认为哪些内容泄露了您的隐私？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）

侵犯了我企业的权益

您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。

1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
3. 是哪家企业？（营业执照，单位登记证明等证件）
4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）

我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

抄袭了我的内容

原文链接或出处

诽谤我

您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。

1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）

我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

对根叔社区有害的内容

垃圾广告信息

色情、暴力、血腥等违反法律法规的内容

政治敏感

不规范转载 >

辱骂、歧视、挑衅等（不友善）

骚扰我

诱导投票

不规范转载

举报说明

产品线		搜索取消
案例类型
发布者
是否解决
是否官方
时间
搜索引擎
匹配模式	默认策略匹配全词匹配整句

SecPath F1060 防火墙 无法使用Inode

问题描述：

组网及组网描述：

V7防火墙使用默认证书配置SSL VPN IP资源典型案例（命令行配置）

3.2 配置SSL VPN网关

3.3 配置SSL VPN实例

3.4 新建SSL VPN用户，关联SSLVPN资源组

3.5 将SSL VPN端口加入安全域，放通对应安全策略

编辑答案

提出建议

SecPath F1060 防火墙无法使用Inode