外网环境无法连接报什么错误呢

查看应用实例的网关配置

 第一步：确认并更新证书

1. 检查当前证书状态

• 查看输出中的 Not After 字段，确认时间是否早于当前时间。

2. 解决方案 A：重新生成自签名证书（最快恢复方法）

1. 删除旧证书（注意：这会导致正在使用的HTTPS管理或SSL VPN服务暂时中断）：
   
   

   1# 进入PKI域视图 2pki domain <你的域名名称> 3# 删除本地证书 4pki delete-certificate local
2. 重新生成证书：
   你可以直接在SSL VPN服务配置中重新调用自签名证书，或者重新生成密钥对：
   
   

   1# 重新生成RSA密钥对（可选，如果密钥没坏可跳过） 2public-key local create rsa 3# 重新申请/生成证书（根据配置模式，通常是自动生成或手工申请） 4pki request-certificate domain <你的域名名称>
   注意：对于H3C F1000系列，通常配置 ssl server-policy 时引用本地证书，重新生成后需确保策略引用正确。

3. 解决方案 B：导入新的CA证书（企业正规做法）

1. 在CA机构重新申请新的证书文件（通常是 .cer 或 .crt 和 .pfx / .key）。
2. 通过FTP/TFTP将证书文件上传到防火墙。
3. 导入新证书：
   
   

   1pki import domain <你的域名名称> der ca filename <CA证书文件名> 2pki import domain <你的域名名称> p12 local filename <服务器证书文件名>

 第二步：重启 SSL VPN 服务

 第三步：客户端清理与重连

1. 清理客户端证书缓存：
   • 找到 iNode 客户端安装目录，通常在 C:\SLink\pem 或类似路径下。
   • 删除该文件夹下的所有证书文件。
2. 重新连接：
   • 打开 iNode 客户端，点击“属性”或“设置”，保存一下配置。
   • 重新拨号，客户端会自动从防火墙拉取新的证书并信任。

 补充排查建议

1. 设备系统时间：
   如果防火墙的系统时间重置（例如变成了 2020 年），而你使用的是有效期为 2024-2025 年的证书，设备会认为证书“尚未生效”。
   • 检查命令：display clock
   • 确保时间与当前实际时间一致。
2. 安全策略（域间策略）：
   虽然你说端口测试是通的，但请再次确认 Untrust（外网）到 Local（设备本身） 的安全策略是否允许了 HTTPS (TCP 443) 和 SSL VPN 端口的流量。

F1000-9320-AI SSL VPN 外网无法登录、内网能拨入、证书过期 完整解决办法

先定现象 & 根因

1. 内网 iNode 拨 SSL VPN 正常
2. 外网端口通（443 / 自定义 SSL VPN 端口能通）、SSH 也通，但SSL VPN 握手失败
3. 抓包 / AI 判定：SSL 证书过期
4. 本质：防火墙 SSL VPN 全局 / 虚拟网关使用的自签名证书过期，外网浏览器 /iNode 校验证书直接拒绝建立 SSL 隧道，内网可能客户端忽略了校验、所以能通。

解决方法分 3 种（按实操优先级）

方法一：重新生成新自签名证书（最简单、不用买证书，首选）

步骤 1：防火墙生成新自签名 SSL 证书

1. 网页登录防火墙 Web 管理
2. 进入：对象 → 证书 → 证书管理
3. 新建 自签名证书
   • 证书名称：SSLVPN-New
   • 公用名称：填你的 SSL VPN 外网域名 / 公网 IP
   • 有效期：设 10 年 / 永久
   • 勾选 用于 SSL VPN、HTTPS 管理
     生成后保存。

步骤 2：SSL VPN 全局 / 虚拟网关替换证书

1. 进入 VPN → SSL VPN → 全局配置

   把原来过期证书，换成刚新建的 SSLVPN-New
2. 若有虚拟网关：

   进入 SSL VPN → 虚拟网关

   编辑每个网关，SSL 配置里替换为新证书。

步骤 3：保存配置，不用重启

方法二：导入公网可信证书（正式环境推荐，浏览器不告警）

1. 申请域名可信证书（Let’s Encrypt、商用证书）PFX/PEM 格式
2. 防火墙 证书管理 → 导入证书
3. 同上，SSL VPN 全局 + 虚拟网关绑定新可信证书
4. 外网终端完全无证书告警，正常拨入。

方法三：iNode 客户端强制忽略证书校验（临时应急）

1. 打开 iNode → SSL VPN 连接属性
2. 高级设置里 取消「校验服务器 SSL 证书」
3. 保存后外网重新拨号

补充：为什么内网能拨、外网不行？

• 内网 iNode 很多默认宽松证书校验，过期也能握手
• 外网运营商链路、浏览器 / 系统安全策略严格，证书过期直接阻断 SSL 握手，端口通也没用。

额外排查点（你顺带核对）

1. 外网映射端口是否正确：SSL VPN 默认 443，改了端口要完整映射TCP 端口
2. 安全策略：Untrust→Local 放行 SSL VPN 端口、HTTPS
3. 时间：防火墙系统时间不准也会误判证书过期，执行 display clock 核对，配置 NTP 同步。