SecPath F1000-AK9210防火墙 sslvpn 不能访问内网资源

SSLVPN能拨号成功但无法访问内网，问题通常不在隧道本身，而是出在流量被防火墙策略拦截或路由“迷路” 了。这是一个比较典型的问题，可以从以下几个方面按顺序排查。

📌 排查步骤

1. 确认SSLVPN-AC接口已加入安全域并放通策略

这是最常见的原因。SSLVPN流量解密后，会被防火墙视为从SSLVPN-AC虚接口进入。如果该接口未加入安全域或安全策略未放行，流量会被直接丢弃。

• 检查并加入安全域：

  bash

  display security-zone # 查看 SSLVPN-AC1 接口是否在某个安全域中[reference:3] system-view security-zone name Trust # 以加入 Trust 域为例 import interface SSLVPN-AC 1

• 放行安全策略：需要放行从SSLVPN-AC接口所在域到内网所在域的流量。假设AC口在Trust域，内网也在Trust域，则需要放行Trust到Trust的策略；如果内网在DMZ，则需要放行Trust到DMZ。

  bash

  security-policy ip rule 1 name SSLVPN_TO_INTERNAL source-zone Trust destination-zone Trust # 根据实际情况修改 source-ip-subnet 10.254.254.0 255.255.255.0 # VPN地址池 destination-ip-subnet 192.168.70.0 255.255.255.0 action pass

2. 检查路由：确保数据包“有去有回”

VPN客户端能拿到IP，说明“去”的路由可能没问题，但“回”的路由很容易被忽略。

• 检查防火墙路由表：

  bash

  display ip routing-table

  确保防火墙有去往192.168.70.0/24和192.168.200.1的路由，且下一跳正确。

• 检查内网设备回程路由：这是排查重点。内网服务器收到VPN客户端的请求后，需要知道如何把数据包发回给10.254.254.3。

  • 如果服务器网关是核心交换机，则需在核心交换机上添加一条静态路由：目的网段为VPN地址池（10.254.254.0/24），下一跳指向防火墙的内网接口IP。

  • 如果服务器网关就是防火墙，通常防火墙会自动处理回程流量，但最好也确认一下路由表。

3. 核对SSLVPN策略配置

确保在SSLVPN的访问实例中，正确下发了允许访问的内网网段。

• 检查IP路由列表：确认ip-route-list中已包含192.168.70.0/24和192.168.200.1。

  bash

  display sslvpn context <context-name>

• 检查ACL过滤：如果策略组下配置了filter ip-tunnel acl，请确保该ACL允许了VPN地址池到内网资源的流量。

  bash

  display acl all

4. 排查策略路由（PBR）干扰

如果防火墙内网接口配置了策略路由（PBR），回程报文可能被错误转发到其他接口导致丢包。

• 检查是否有PBR配置：

  bash

  display policy-based-route

• 优化PBR规则：如果PBR的ACL匹配了VPN的回程流量，需在ACL中增加放行规则，确保VPN流量不受影响。

5. 检查NAT配置

如果内网接口开启了NAT功能，VPN客户的访问请求可能被错误地进行了源地址转换，导致回程路由混乱或服务器无法识别。

• 检查NAT策略：确认是否有NAT规则将VPN地址池的源IP转换成了内网接口IP。

• 解决方法：配置NAT策略时，将VPN地址池的网段加入NAT的排除列表（Exclude/NAT Bypass），确保来自VPN的流量不做转换。

6. 检查地址池与AC接口IP是否冲突

有案例显示，如果VPN地址池包含了SSLVPN-AC接口的IP，会导致访问异常。

• 检查地址池范围：

  bash

  display sslvpn ip address-pool

• 检查AC接口IP：

  bash

  display interface SSLVPN-AC 1

• 解决方法：确保地址池范围不包含SSLVPN-AC1的接口IP。

✅ 验证步骤

每完成一步排查和修改，都可以用以下方法验证：

1. 从防火墙ping内网服务器：登录防火墙，ping 192.168.70.1或192.168.200.1，确认防火墙本身到内网是通的。

2. 客户端持续测试：在VPN客户端上，用ping和浏览器持续测试，观察配置修改后的变化。

3. 检查会话表：在防火墙上查看是否有VPN客户端到内网的会话表项被创建。

   bash

   display session table ipv4 source-ip 10.254.254.3