网址防火墙不了。F1000-AI-35

# F1000‑AI‑35 只能 ping 通税务局官网、打不开网页

>
> 现象：其它网站全部正常；终端连手机热点访问税务局网站正常；**ping 通（ICMP 小包），但是 HTTPS 网页打不开；安全策略看起来没问题**。
> 关键点：**ping 是 ICMP 小包，网页是 TCP 443 大包；热点正常说明网站本身没问题，故障在防火墙侧**。

## 快速定位（优先做）

1. 终端测试：`telnet 税务局IP 443` / PowerShell `Test‑NetConnection 税务局IP ‑Port 443`

- 如果 443 端口连不上：**TCP 会话被拦截 / MTU 黑洞**
- 如果 443 端口能连通，但浏览器打不开：**应用识别、IPS、URL 过滤、SSL 解密拦截**

2. 防火墙开启**直通模式（旁路）**测试：

>
> 把对应内网网段设置直通，不经过安全业务模块，直接转发。
> ✅直通之后可以打开：说明是防火墙安全模块拦截；
> ❌直通依旧打不开：MTU/MSS、NAT、链路问题。

## 常见根因（政务网站高频）

### 1、MTU 黑洞（最高概率，政务网站经常遇到）

ping 小包没问题，**TCP 大包（带 DF 不分片标记）被丢弃，网页卡死、超时**。

>
> 现象：ping 能通，HTTPS 打不开；热点正常。

```
# 出口外网接口配置TCP‑MSS（PPPoE建议1452；普通光纤1460）
interface GigabitEthernet 0/0
tcp mss 1452
```

>
> 注意：**必须放行 ICMP type3 code4（分片需要报文），不能全部丢弃 ICMP**。

```
# 确认安全策略不要拦截ICMP‑fragment‑needed
display security‑policy hit‑count
```

### 2、IPS / 应用识别 / URL 过滤误拦截税务局域名

>
> 税务局政务网站特征会被 IPS 规则误判；URL 过滤黑名单、自定义 URL 策略。

1. 查看安全日志：**防护日志、IPS 日志、URL 过滤日志**，看是否有阻断记录。
2. 临时把该域名加入白名单；或者临时关闭 IPS 测试。

### 3、SSL 解密（HTTPS 代理）导致握手失败

如果开启 SSL 解密，政务网站证书、SNI 会出现握手异常。

>
> 临时关闭 SSL 解密策略，访问测试；恢复正常则调整 SSL 解密白名单，把税务局域名加入不解密列表。

### 4、NAT ALG 异常

```
display nat alg status
```

>
> 部分版本 DNS‑ALG 会干扰政务域名解析；测试可以临时关闭

```
undo nat alg dns enable
```

### 5、会话表异常

```
display session table verbose source 终端IP destination 税务局IP
```

- 会话存在，但是只有 SYN，没有 ACK → 大包丢包（MTU）
- 会话直接被 DENY → 策略 / IPS 拦截

## 排障命令清单（直接复制）

```
#1 看会话
display session table verbose source 终端IP destination 税务局IP

#2 看IPS/URL拦截日志
display logbuffer | include 税务局域名

#3 看安全策略命中
display security‑policy hit‑count

#4 查看NAT ALG状态
display nat alg status

#5 查看出口接口MSS配置
display interface GigabitEthernet 0/0 | include mss
```

## 应急处理步骤（按顺序）

1. 终端测 443 端口连通性；
2. 防火墙开启**直通模式**验证；
3. 调整出口接口`tcp mss 1452`；
4. 临时关闭 IPS、SSL 解密，测试访问；
5. 检查是否 URL 过滤 / 黑名单拦截该域名；
6. 排查 ICMP 分片报文是否被安全策略丢弃；
7. 必要时关闭 nat alg dns。

## 简要总结

>
> ping 通≠网页通，ping 走 ICMP 小包，网页走 TCP 443 大包。
> 热点正常说明外网服务器没问题，故障点在防火墙。
> 政务网站最常见：**MTU 黑洞（MSS 不匹配）、IPS 误拦截、SSL 解密握手失败**。

先排除下运营商问题