F100-C-G5配置sslvpn后客户端无法连接
- 0关注
- 0收藏，28浏览
1. 检查SSLVPN服务状态：
display sslvpn gateway
display sslvpn context
2. 确认网关监听端口和地址：
display current-configuration | include sslvpn
确认sslvpn gateway配置了正确的公网接口IP，端口默认443。
3. 检查安全策略是否放行SSLVPN流量：
display security-policy
需放行从外网到防火墙公网IP的443端口（或自定义端口）的HTTPS流量。
4. 检查NAT和路由：
确认客户端能ping通防火墙公网IP，且443端口可达：
telnet 公网IP 443
5. 查看SSLVPN日志：
display logbuffer | include sslvpn
6. 检查用户认证配置：
display sslvpn user
display local-user
确认用户已关联SSLVPN资源且状态正常。
7. 客户端侧检查：
确认使用iNode客户端或浏览器访问https://公网IP:端口
检查证书是否被拦截，尝试添加例外
查看客户端日志定位具体报错
常见原因：
安全策略未放行443端口
SSLVPN网关未绑定正确接口
用户未关联SSLVPN策略组
证书问题导致TLS握手失败
建议先执行debugging sslvpn all抓取详细日志，再根据报错定位。
Connect server failed.看不到资源并且还提示这个，麻烦问下啥情况
一、基础信息检查
1、检查 SSLVPN 许可 license
display license
F100‑C‑G5 默认自带 15 个 SSLVPN 并发授权；超过 15 个用户会拒绝新连接；看 SSLVPN 项状态为
In‑use才正常新华三知了...。
2、检查 SSL‑VPN 网关运行状态
display sslvpn gateway
Operation state: Up才代表网关已启用；如果 Down，进入网关视图开启服务：
system‑view
sslvpn gateway GW1
service enable
quit
⚠️修改网关端口 / 证书配置后，必须执行
undo service enable再service enable，配置才会生效H3C。
3、端口冲突高频坑 防火墙 Web 管理 HTTPS 默认 443；SSLVPN 网关默认也是 443，会端口冲突，导致 SSLVPN 网关起不来。
- 解决：SSLVPN 网关修改端口，例如
port 4430，iNode 填写网关地址格式：https://公网IP:4430。
sslvpn gateway GW1
port 4430
service enable
4、证书检查
display sslvpn gateway verbose
网关必须绑定有效的 SSL 证书；没有导入证书，握手直接失败。
二、网络连通与安全策略（外网客户端访问防火墙）
1、外网客户端优先测试端口连通性
telnet 防火墙公网IP 4430
- telnet 失败：说明 TCP 报文根本没到达防火墙 SSLVPN 进程，查外网路由、运营商 NAT 映射、防火墙安全策略。
2、安全策略必须放行：外网域 → Local 域，放行 SSLVPN 端口 HTTPS
display security‑policy
策略示例：
- 源安全域：Untrust；目的安全域：Local；服务：HTTPS（自定义端口则自定义服务）；动作：允许。
报文到达防火墙本身进程，目的域必须是
Local，不能是 Trust。
3、接口加入安全域 SSLVPN 网关绑定的公网接口，务必加入 Untrust 安全域，不能留在缺省域。
4、NAT 场景：如果防火墙前面还有路由器做端口映射，确认外网 4430 完整映射到防火墙公网 IP 对应端口。
三、SSLVPN 访问实例 context 配置检查（握手成功之后认证阶段）
display sslvpn context
- 网关绑定：context 必须绑定 sslvpn‑gateway；
- IP 地址池：配置 ip‑tunnel 地址池，掩码正确，地址池网段不能和网关 IP 冲突H3C；
sslvpn ip address‑pool vpnpool 10.255.100.2 10.255.100.100
sslvpn context CTX1
ip‑tunnel address‑pool vpnpool mask 255.255.255.0
gateway sslvpn‑gateway GW1
quit
3、本地用户配置
display local‑user
- 用户类型必须是
class network； - service‑type 包含
sslvpn； - 用户绑定对应的 SSLVPN 资源组。
local‑user test class network
password simple Test@1234
service‑type sslvpn
authorization‑attribute sslvpn‑policy‑group PG1
quit
四、日志定位报错
#查看SSLVPN相关日志
display logbuffer | include sslvpn
#查看会话表，看SSLVPN报文是否建立会话
display session table | include 4430
#开启安全策略deny报文调试（谨慎，生产环境复现完关闭debug）
debug security‑policy packet denied
terminal debugging
terminal monitor
五、iNode 客户端侧检查
- iNode 版本建议使用 7.3 系列适配 F100‑C‑G5；
- 连接地址格式：
https://IP:端口，不要省略 https； - 客户端网络测试：切换手机热点排除本地局域网拦截；
- Windows 系统确认 iNode 虚拟网卡可以正常安装，没有杀毒 / Defender 拦截驱动。
六、两种典型现象快速判断
表格
| 现象 | 故障方向 |
|---|---|
| telnet 公网 IP 端口不通 | 安全策略、端口冲突、NAT 映射、接口安全域 |
| telnet 端口通，但是 iNode 握手 / 认证失败 | SSL 证书、context 绑定、用户权限、license 超限 |
七、容易踩坑清单
- ❗443 端口被 Web 管理占用，SSLVPN 网关无法 UP，修改 SSLVPN 端口；
- ❗放行 SSLVPN 流量目的域写成 Trust，正确应为 Local 域；
- ❗修改 sslvpn‑gateway 参数后，忘记重启
service enable； - ❗local‑user 用户类型写成
class manage（管理员账号），SSLVPN 登录必须class network； - ❗license 达到最大并发，拒绝新用户接入。
如果客户端拨号成功后能连上 VPN 但是访问不了内网资源，需要额外检查：①context 下发拆分路由；②内网核心存在去往 VPN 地址池的回程路由，下一跳指向防火墙内网接口 IP。
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
Connect server failed.看不到资源并且还提示这个，麻烦问下啥情况