F100-C-G5-1L

检查下网络情况，

飞书文字聊天、消息走 TCP 443 HTTPS（可靠长连接），而会议音视频画面 / 语音完全依靠 UDP 50000~55000 动态高端口传输。
H3C F100-C-G5 默认全局 UDP 空闲会话老化仅 30 秒：
开会时画面静默、没人说话的间隙，UDP 流短暂停顿，防火墙 30 秒就把 UDP 会话表删掉；后续飞书继续发送视频 UDP 包时，防火墙没有对应回程会话，直接丢弃视频流量 → 会议 1 分钟左右断连，飞书弹窗提示「防火墙 / 代理拦截连接」。
你防火墙两年没改动，但近 2 个月飞书客户端持续升级，新版会议静默场景更多、UDP 静默时间变长，刚好触发防火墙 UDP 会话超时断流；
只用 MAC 白名单放行，没有单独给飞书会议 UDP 延长会话老化、没完整放行飞书媒体网段，最终只断会议、文字正常。
次要诱因（叠加导致恶化）
原先白名单只放行了飞书域名 / 443 端口，没有放行飞书媒体服务器网段 + UDP 50000-55000 端口，早期飞书版本媒体复用 443，新版拆分独立 UDP 媒体端口；
防火墙开启了 DPI 应用识别、入侵防御，新版飞书会议特征被防火墙误识别为异常流量间歇性丢包；
MAC 白名单模式下，如果员工电脑网卡变更、WiFi 漫游更换 MAC，终端命中默认拒绝策略，视频流量断续被拦截。
分步修复方案（无需改动原有 MAC 白名单，业务在线配置）
步骤 1：给飞书安全策略延长 UDP 会话老化（核心根治，必配）
进入防火墙命令行，找到你放行飞书的 MAC 白名单规则，单独加长这条规则的会话超时，让会议 UDP 不会空闲被删掉：
h3c
system-view
security-policy ip
# 替换成你自己飞书白名单规则名称
rule name Feishu_Mac_Allow
# TCP长连接老化1天，UDP会话老化2小时（彻底解决静默断流）
session aging-time tcp-est 86400
session aging-time udp-ready 7200
# 保存配置
save
步骤 2：完整补全飞书会议放行规则（适配新版飞书媒体架构）
原有仅 MAC 放行 443 已经不够，新增放行飞书媒体网段 + UDP 媒体端口，叠加在现有白名单内：
1）创建飞书媒体地址对象
h3c
object ip Feishu_Media
subnet 3.7.25.128 255.255.255.128
subnet 3.101.32.0 255.255.255.128
subnet 3.235.69.128 255.255.255.128
subnet 18.141.149.128 255.255.255.128
subnet 47.113.76.128 255.255.255.128
# 飞书会议UDP媒体端口段
object service Feishu_Media_UDP
service udp destination-port range 50000 55000
service tcp destination-port range 50000 50500
2）在原有 MAC 白名单规则内追加放行媒体流量
h3c
security-policy ip
rule name Feishu_Mac_Allow
permit destination ip Feishu_Media service Feishu_Media_UDP
步骤 3：全局优化防火墙 UDP 默认老化时间（兜底优化）
如果内网大量人员开会，全局调高 UDP 空闲超时，避免所有 UDP 视频业务被误删：
h3c
system-view
# UDP就绪状态空闲超时改为120秒（默认30s）
session aging-time state udp-ready 120
步骤 4：关闭容易误拦截飞书会议的安全功能（解决间歇性丢包）
新版飞书会议加密 UDP 流容易被 IPS、应用检测误拦截：
h3c
system-view
# 在飞书放行策略里关闭深度安全检测
security-policy ip
rule name Feishu_Mac_Allow
undo application filter enable
undo ips apply policy
步骤 5：校验 MAC 白名单有效性（防止员工 MAC 变动导致断网）
查看当前飞书规则命中次数，确认员工终端流量正常匹配白名单：
h3c
display security-policy rule name Feishu_Mac_Allow hit-count
员工更换网卡、连手机 WiFi 时 MAC 改变，会落到防火墙默认拒绝策略，视频直接断开，及时更新 MAC 对象组即可。
步骤 6：开启 ALG 辅助飞书 NAT 穿越（NAT 组网必开）
F100 做出口 NAT 时，开启 STUN / 媒体 ALG，保障会议 P2P 媒体流正常回程：
h3c
system-view
firewall alg stun enable
firewall alg rtcp enable
验证排查命令（配置完成后检测是否生效）
开会期间查看飞书 UDP 会话是否稳定存在，不会 30 秒消失：
h3c
display session table destination-port range 50000 55000 protocol udp
查看防火墙是否存在丢包（IPS / 安全策略丢弃会议流量）：
h3c
display packet-drop reason ips
display packet-drop reason security-policy
查看飞书策略命中计数持续上涨，无 deny 丢弃。
补充临时测试方案（快速定位是不是会话老化问题）
任选一台故障电脑，连上内网 WiFi 开会：
防火墙临时把 UDP 全局老化改成 300 秒，开会测试；
若会议不再断开，100% 确认是 UDP 会话超时导致，完成上面步骤 1 即可彻底解决。
为什么两年正常、近 2 个月才故障？
旧版飞书会议媒体流复用 443 TCP 端口，TCP 老化 1 小时不会断；
近 2 个月飞书迭代更新，会议音视频改用独立 UDP 高端口传输，静默场景变多，撞上防火墙默认 30 秒 UDP 超时机制；
防火墙配置从未改动，规则逻辑没变，但上游飞书应用协议发生变化，最终出现「文字正常、会议断开」的差异化故障。
配置完成后，飞书会议静默挂机、长时间开会都不会被防火墙踢断。