sslvp内网资源不通

tracert看下路径情况

既然配置都没问题， 这种大概率要抓包分析了

SSL VPN 拨入可通内网网关、无法访问内网服务器完整故障排查（H3C SecPath+iNode）
一、核心现象拆解
iNode 拨号 SSL VPN 成功：
VPN 虚拟网卡 IP 正常、能 ping 通防火墙内网网关；
内网 PC 之间跨网段互通正常；
域间安全策略、全局路由表看似完整；
仅 VPN 客户端无法直达内网业务服务器，典型回程路由 / 源 NAT / 地址池 / 拆分路由 / 终端防火墙五类问题。
二、按优先级从高到低根因 + 修复方案
1. 内网服务器无指向 SSL VPN 地址池的回程路由（最高发）
故障逻辑
VPN 客户端网段（例：10.255.0.0/24）属于独立虚拟地址段，内网三层交换机 / 核心仅存在内网业务网段路由，没有去往 VPN 地址池的静态路由；
数据包流程：VPN 客户端→防火墙（通网关）→内网服务器，服务器回包无路由，直接丢弃，表现为只能 ping 通网关、服务器不通。
验证 & 修复
在内网核心交换机执行：display ip routing-table 你的VPN地址池网段，无条目即缺失回程；
三层设备添加静态路由：目的 = VPN 地址池，下一跳 = 防火墙内网接口 IP；
若内网是单三层仅防火墙：无需额外路由，跳过本条。
2. SSL VPN 拆分路由配置缺失 / 掩码错误（iNode 客户端无服务器网段路由）
故障逻辑
SSL VPN 推送拆分路由规则仅下发部分内网段，服务器网段未加入资源列表；客户端路由表无服务器网段，流量直接走本地互联网出口，无法进入 VPN 隧道。
修复
防火墙 SSL VPN 资源管理，添加全部内网业务网段；
核对掩码精确匹配，不能用超大掩码导致匹配失效；
iNode 断开重连，route print查看虚拟网卡路由是否生成服务器网段。
3. 内网安全域源 NAT 未放通 VPN 网段（双向单向阻断）
故障逻辑
内网 Trust 域访问 Untrust/VPN 域默认做 EasyIP NAT，VPN 客户端访问服务器时，服务器回包识别源为外网转换地址，安全策略拦截；
即便域间 policy permit ip all，NAT 转换依然会造成单向不通。
修复
plaintext
acl number 3999
rule permit ip source VPN地址池 0.0.0.255 destination 内网业务段 0.0.0.255
nat address-group 0 出口公网IP段
nat policy
rule deny source acl 3999 # VPN访问内网不做NAT转换
rule permit source any destination any address-group 0
4. SSL VPN 地址池与内网网段冲突 / 重叠
VPN 分配虚拟 IP 和内网业务网段重合，防火墙转发逻辑紊乱，能通网关但服务器寻址异常；修改 VPN 地址池为独立不冲突网段。
5. 服务器本地系统防火墙拦截 VPN 虚拟网段
内网 PC 互访正常，但服务器 Windows/Linux 防火墙限制陌生 VPN 地址段 ICMP、业务端口；临时关闭服务器防火墙测试，放行 VPN 地址池入站流量。
6. 安全策略细节遗漏（你自查存在盲区）
仅放通 Trust-VPN 单向策略，缺少服务器回包 VPN→Trust 放行；
安全策略必须双向放行：
source:VPN 域 destination:Trust 域 permit
source:Trust 域 destination:VPN 域 permit
7. iNode 客户端虚拟网卡异常
关闭电脑 360、火绒等终端防护，拦截 VPN 虚拟网卡转发；
iNode 卸载重装，删除旧虚拟网卡残留；
关闭客户端 “智能分流 / 加速代理” 功能，强制全部内网流量走隧道。
8. 防火墙 SSL 隧道接口相关限制
全局开启 ip forwarding；
无黑洞路由、无 ACL 阻断 VPN 隧道流量；
关闭 TCP MSS 固定值，避免大包 ping 通小包不通。
三、快速定位诊断命令
防火墙看 VPN 在线分配地址：display sslvpn session user
防火墙跟踪流量（带源 VPN 客户端 IP）：tracert source VPN_IP 服务器IP
查看 NAT 匹配计数：display nat session
查看域间策略匹配：display security-policy count
客户端查看 VPN 路由：Windows route print
极简总结
最常见根因：内网三层设备缺少 VPN 地址池回程静态路由；
第二高发：SSL 拆分路由未下发服务器网段、内网访问 VPN 存在多余源 NAT；
排查顺序：核对内网回程路由 → 检查 VPN 拆分资源网段 → 配置 VPN 不做 NAT 策略 → 双向域间安全策略放行 → 关闭服务器 / 终端防火墙测试。