F5000防火墙视频会议问题

排查步骤：

1. 检查NAT配置：确认MCU的私网IP到公网IP的1:1 NAT映射配置正确，且未与其他规则冲突。
display nat static

2. 检查安全策略：确认安全策略允许视频会议协议（如H.323、SIP、RTP/RTCP）双向通过。需放行MCU的私网IP到`any`的流量。
display security-policy rule

3. 检查ASPF策略：这是关键。视频会议协议（尤其是H.323）需要ASPF来动态创建关联通道，以允许多媒体流（音频、视频）通过。确认已启用针对H.323或SIP协议的ASPF检测。
display aspf policy
典型配置：
aspf policy 1
application h323
application sip
quit
firewall interzone trust untrust
detect aspf policy 1

4. 检查ALG状态：确认H.323/SIP ALG功能已启用（通常ASPF会联动启用，但需确认）。
display alg status

5. 检查会话表：在会议建立后，查看会话表确认数据流（控制流和媒体流）是否已正确创建。
display session table verbose
重点查看源/目的IP和端口是否正确，协议是否为`h323`/`rtp`等。

6. 抓包分析：在防火墙内外侧接口同时抓包，对比分析信令（如H.225、H.245）中的媒体IP和端口地址是否正确（应为NAT后的公网地址），以确认NAT ALG是否正常工作。

信息补充：请提供具体的网络拓扑（MCU位置）、NAT和安全策略的详细配置、以及使用的视频会议协议类型（H.323或SIP）。

interface GigabitEthernet 0/1 

 # 修改映射规则，加上 reversible 

nat server protocol tcp global <公网IP> 1720 inside <MCU内网IP> 1720 reversible 

nat server protocol udp global <公网IP> 1720 inside <MCU内网IP> 1720 reversible 

 # 如果是SIP协议，对5060端口也要同样操作 

nat server protocol tcp global <公网IP> 5060 inside <MCU内网IP> 5060 reversible 

nat server protocol udp global <公网IP> 5060 inside <MCU内网IP> 5060 reversible
第三步：检查端口映射的完整性

# 假设你映射的是公网7100端口到内网MCU的7100端口 port-mapping application sip port 7100这能确保所有发往7100端口的流量都被视为SIP协议，ALG才能正常工作。