问
F1090通过sslvpn连接访问直播视频不通
42分钟前提问
- 0关注
- 0收藏，33浏览
zhiliao_Gixe
九段
针对F1090 SSL VPN访问直播视频黑屏、本地正常且抓包显示分片异常的问题，排查步骤如下：
1. 检查接口MTU与TCP MSS
SSL VPN会增加封装开销，导致报文过大被分片。在防火墙出接口配置合理MSS，强制TCP分段，避免分片失败。
命令：
interface GigabitEthernet1/0/X
ip tcp mss 1200
2. 检查SSL VPN虚接口MTU
默认SSL VPN虚接口MTU可能较小，确认是否低于业务报文长度。
命令：
display interface SSLVPN-AC 0
若MTU过小，可调整：
interface SSLVPN-AC 0
mtu 1400
3. 检查分片报文处理策略
防火墙默认对分片报文有安全检测，若分片失败可能是重组或丢弃。查看会话和丢包统计：
display aspf statistics
display ip statistics
若存在分片丢包，可尝试关闭分片重组检测（谨慎操作）：
undo ip fragment-forward enable
4. 检查安全策略是否放行分片报文
安全策略需放行SSL VPN网段到业务网段的所有报文，包括分片后的IP报文。
命令：
security-policy ip
rule name sslvpn_to_biz
source-zone sslvpn
destination-zone trust
action pass
5. 抓包确认分片位置
在防火墙出接口和SSL VPN虚接口同时抓包，确认是防火墙分片失败还是业务服务器无法重组。
命令：
packet-capture interface GigabitEthernet1/0/X direction out
packet-capture interface SSLVPN-AC 0 direction in
6. 升级版本
若上述无效，检查当前版本是否存在分片处理BUG，建议升级到最新R版本或咨询H3C售后确认补丁。
优先调整MSS和MTU，通常可解决SSL VPN视频类大流量分片问题。
1. 检查接口MTU与TCP MSS
SSL VPN会增加封装开销，导致报文过大被分片。在防火墙出接口配置合理MSS，强制TCP分段，避免分片失败。
命令：
interface GigabitEthernet1/0/X
ip tcp mss 1200
2. 检查SSL VPN虚接口MTU
默认SSL VPN虚接口MTU可能较小，确认是否低于业务报文长度。
命令：
display interface SSLVPN-AC 0
若MTU过小，可调整：
interface SSLVPN-AC 0
mtu 1400
3. 检查分片报文处理策略
防火墙默认对分片报文有安全检测，若分片失败可能是重组或丢弃。查看会话和丢包统计：
display aspf statistics
display ip statistics
若存在分片丢包，可尝试关闭分片重组检测（谨慎操作）：
undo ip fragment-forward enable
4. 检查安全策略是否放行分片报文
安全策略需放行SSL VPN网段到业务网段的所有报文，包括分片后的IP报文。
命令：
security-policy ip
rule name sslvpn_to_biz
source-zone sslvpn
destination-zone trust
action pass
5. 抓包确认分片位置
在防火墙出接口和SSL VPN虚接口同时抓包，确认是防火墙分片失败还是业务服务器无法重组。
命令：
packet-capture interface GigabitEthernet1/0/X direction out
packet-capture interface SSLVPN-AC 0 direction in
6. 升级版本
若上述无效，检查当前版本是否存在分片处理BUG，建议升级到最新R版本或咨询H3C售后确认补丁。
优先调整MSS和MTU，通常可解决SSL VPN视频类大流量分片问题。
暂无评论
一、优先调整 SSL VPN AC 接口 MTU（F1090 V7）
SSLVPN-AC 是 SSL VPN 虚拟接入接口，修改这个接口的 MTU，降低隧道报文上限：
system-view
interface SSLVPN-AC 0
mtu 1400
1400 为推荐起始值；如果还不行，逐步下调到 1360/1320。 改完需要用户断开 iNode 重连 SSL VPN，新 MTU 才生效。
二、在外网出接口配置 TCP MSS（TCP 业务辅助优化）
interface GigabitEthernet 0/0 (F1090外网口)
ip tcp mss 1360
注意：MSS 只优化 TCP，无人机 UDP 直播流不受 ip tcp mss 控制，UDP 必须靠上面 SSLVPN-AC 的 mtu 解决。
三、放行 ICMP 需要分片报文（PMTU 黑洞，非常关键）
防火墙安全策略，允许外网→内网、VPN 域之间的 ICMP type=3 code=4（需要分片）。 如果这个 ICMP 被策略拦截，源端永远不会自动降低报文大小，分片失败持续发生。
acl advanced 3000
rule permit icmp icmp-type unreachable fragmentation-needed
把该 ACL 应用到对应安全域策略。
四、iNode 客户端侧调整（客户端 MTU）
iNode 客户端 VPN 虚拟网卡 MTU，在 iNode 高级设置里手动设置 1400；
Mac/Windows iNode 都可以手动指定 VPN 网卡 MTU，降低客户端发出的 UDP 直播报文大小。
五、业务侧补充排查（UDP 直播特有）
- 无人机直播是 UDP 流，不像 TCP 会自动分段，UDP 大包带 DF 标记就直接丢包；
- 检查 F1090 全局分片配置：
display ip fragmentation，确认分片功能没有全局关闭； - 带宽：VPN 接入后上行带宽不足也会视频黑屏，查看防火墙会话 / 带宽监控；
- 版本 bug：老版本 F1090 对大 UDP 报文分片重组存在缺陷，调整 MTU 无效时升级防火墙版本。
六、抓包定位命令（F1090）
#同时抓外网口和SSLVPN-AC接口
packet-capture interface GigabitEthernet0/0 direction both
packet-capture interface SSLVPN-AC 0 direction both
display packet-capture buffer
对比两处抓包：看是内网服务器发出大包 DF 置位，还是F1090 封装 SSL 隧道后超限。
推荐操作顺序
- 修改
SSLVPN-AC 0 mtu 1400，用户重连 VPN 测试直播； - 放行 ICMP 分片不可达报文；
- 仍异常，下调 SSLVPN-AC MTU 到 1360；
- 最后排查带宽、会话数、固件版本。
补充说明
内网访问正常，是因为内网链路 MTU=1500，无 SSL 封装开销；流量经过 SSL VPN 时，外层 SSL/TLS 头部增加几十字节，导致原始 1500 的报文封装后超限，UDP 直播流无自动分段机制，直接黑屏。
暂无评论
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明
暂无评论