H3C F1000-t200-h3，求固件版本升级

官网没有

联系400要的

# F1000‑T200‑H3 VPN 手机无法访问 + 固件升级问题

>
> 现象：手机 VPN 拨号成功，但无法访问内网；同时需要固件升级。
> 说明：F1000‑T200‑H3 属于 V7 防火墙，**固件包不在公开下载页面，社区不能直接提供固件文件**，需要官方渠道获取。

## 一、固件获取方式

1. **拨打 400‑810‑0504，安全产品专线**，提供型号：`F1000‑T200‑H3`、设备 SN，申请对应版本固件 + 版本说明书。
2. 也可以在知了提交工单，由后台工程师下发固件下载链接。

>
> ⚠️升级注意：
> ①升级前完整备份配置，升级过程严禁断电；
> ②确认版本升级路径，不允许跨大版本直接升级；
> ③升级固件**不等于修复 VPN 问题**，部分 VPN 异常是配置问题，不是固件 bug。

## 二、手机 VPN（IPsec/L2TP）拨上但是访问不了内网排查

>
> 区分两种现象：
> A：手机 VPN 连接成功，但是 ping 内网不通、业务打不开；
> B：手机根本连不上 VPN。

### 1、外网放行（必查）

公网入方向安全策略放通：

- IPsec：UDP 500、UDP 4500，ESP 协议（协议号 50）
- L2TP：UDP 1701，同时放通 IPsec 的 500/4500/ESP

### 2、**不做 NAT 策略（最高频坑）**

手机 VPN 客户端分配的虚拟网段，访问内网时，**不能做源 NAT 转换**，需要配置 NAT 排除：

```
acl number 3000
rule permit ip source 手机VPN虚拟地址段 destination 内网业务网段
nat address-group ...
nat outbound 3000
```

>
> 没有排除 VPN 网段，VPN 流量被 NAT 转换，回包无法返回 VPN 隧道，表现为 VPN 连上但是访问不了内网。

### 3、安全策略放通

安全策略：**VPN 虚拟域（VPN‑Zone） → 内网域（Trust）**，动作 permit，源为 VPN 客户端地址段，目的内网业务网段。

>
> 很多人只做了 IKE 协商，没有配置 VPN 到内网的安全策略，导致隧道通，业务不通。

### 4、路由检查

防火墙必须存在**去往 VPN 客户端虚拟网段的路由**，下一跳指向 VPN 隧道接口；
内网交换机 / 服务器网关必须指向防火墙，否则内网回包无法返回 VPN 隧道。

### 5、客户端侧

手机 VPN 客户端：

- 确认 “允许访问内网 / 局域网” 选项开启；
- 手机不要开启本地代理；
- 测试 ping 防火墙内网网关，判断是到防火墙不通，还是到内网服务器不通。

### 6、诊断命令（防火墙）

```
display ike sa # 查看IKE第一阶段是否建立
display ipsec sa # 查看IPsec第二阶段协商
display session table # 看是否有VPN的会话；会话为空说明策略没匹配
display nat session all # 看VPN流量是否被错误NAT转换
```

>
> 调试定位：

```
terminal monitor
debugging ike all
debugging ipsec all
```

>
> 调试完成记得 `undo debugging all`关闭调试。

留下你现在的版本号。