H3C F1000-9320 防火墙

上网线路有几条？ 如果有2条或以上。做基于目的地址的策略路由

一条专线

能正常上网应该没单独设置拦截网址吧，那换个dns，是不是这个dns解析不了这个网址

第一步：PC 端基础定位（先区分 DNS 还是连通性问题）

在内网故障 PC 上执行

1. 如果nslookup 解析失败：DNS 解析问题；
2. 如果解析出 IP，但 ping 不通网页端口 443：防火墙 / 安全业务拦截、MTU、NAT 公网 IP 被对方站点限制。

手机热点能访问，代表目标网站本身服务正常，不是对方服务器宕机。

第二步，防火墙 F1000‑9320 逐项排查（V7 版本）

1、查看日志，看是否被业务模块拦截（最高优先级）

Web 页面：监控→日志中心→安全日志 / 威胁日志 / URL 过滤日志，搜索该网站 IP / 域名，看是否有丢弃记录H3C。

• 出现丢弃日志：被 URL 过滤、IPS 威胁、域名信誉、应用控制策略拦截。 处理：把该网站加入URL 白名单 / 域名信誉白名单。

外单位业务系统，很多老 HTTPS 证书、特殊报文容易被 IPS 特征库误报拦截。 临时测试手段：关闭 IPS、URL 过滤、应用控制，再访问；能打开，说明就是 DPI 安全模块误拦截，做白名单放行即可。

2、DNS 解析问题

• 内网 PC 使用防火墙 DNS 代理，防火墙 DNS 解析该域名异常，PC 拿到错误 IP 就打不开网页。 测试：PC 手动改成公网 DNS 223.5.5.5，绕过防火墙 DNS 代理，再访问网站。
• 如果改完 DNS 就能打开：防火墙 DNS 代理故障，可在防火墙上配置 DNS 服务器，或者内网终端不使用 DNS 代理。

3、MTU 分片问题（非常常见，政务 / 外单位老业务系统高频坑）

防火墙出接口 WAN MTU 值过大，网站设备不支持大分片报文，网页打不开，别的网站正常。

WAN 接口 MTU 建议改成 1400‑1460 测试，PPPoE 场景建议 1492。

4、NAT 公网出口 IP 被对方网站限制 / 拉黑

手机热点是运营商不同公网 IP；内网走防火墙的公网 IP，被外单位业务站点做了访问限制。 排查：在防火墙上多配一个 NAT 地址池，临时切换另一个公网 IP 做源 NAT 测试。

现象：ping 能通，TCP 三次握手失败，网页一直转圈。

5、SSL 解密（SSL 代理）导致访问失败

如果开启 SSL 解密（应用代理），部分外单位老业务证书不兼容，访问直接失败。 处理：将该业务域名加入SSL 代理白名单，不做解密检测。

6、安全策略确认

普通上网策略已经放行，但确认该目标 IP 没有被 ACL / 对象策略 deny；

看访问该网站流量的策略命中情况。

快速现场测试流程（排错顺序）

1. 内网 PC 更换公网 DNS 测试；
2. 防火墙临时关闭 IPS、URL 过滤、应用控制，复现访问；
3. 查看威胁日志有无丢弃记录；
4. 修改 WAN 口 MTU 测试；
5. SSL 代理场景添加 SSL 白名单；
6. 更换 NAT 公网 IP，排查对方站点拉黑我方出口 IP。

一句话精简版

网站本身没问题，优先看防火墙威胁日志确认是否被 IPS/URL 过滤误拦截，可临时关闭 DPI 模块验证；其次排查 DNS 代理、WAN 接口 MTU、SSL 解密白名单，最后确认我方 NAT 公网 IP 是否被外单位业务站点限制。