你看下是不是配置成了全局模式

## 核心根因（按概率）

1. **SSLVPN 上下文 context 的 policy‑group 策略组没有绑定 URL‑list/IP‑tunnel 资源**，登录用户拿到门户页面，但没有下发可访问资源列表；
2. 用户账号没有加入 SSLVPN 策略组，账号认证通过，但**无资源权限**；
3. Web‑mode 网页代理模式异常，点击资源会新开标签页做 URL 改写代理，若 ACL、回程路由、安全策略缺失，代理页面会跳转回 VPN 门户；
4. 浏览器兼容性问题，老版本固件对 Chrome 新版本 URL 改写适配缺陷；
5. 防火墙缺少从 SSLVPN 虚拟网段去往内网业务网段的回程路由；内网服务器没有返回给 VPN 虚拟地址的路由。

## 分步排查（CLI 命令）

### 1、确认 SSLVPN 网关与上下文状态

```
display sslvpn gateway
# Operation state必须是Up，如果Down，进入视图执行 service enable

display sslvpn context
#确认context下：
# 1. policy‑group 绑定了url‑list（网页资源） / filter ip‑tunnel（三层IP隧道资源）
# 2. service enable 已开启
```

>
> 常见错误：创建了 url‑list 资源，但是**没有在 policy‑group 里面引用资源列表**，登录后门户就一片空白看不到资源。

### 2、检查策略组配置示例（正确模板）

```
sslvpn context ctx‑office
policy‑group pg‑office
url‑list res‑web #网页资源列表，必须绑定到policy‑group
filter ip‑tunnel acl 3000 #三层隧道放行内网网段ACL
quit
service enable
```

>
> ❌错误：只创建 url‑list，policy‑group 下没有引用，登录看不到任何资源。

### 3、确认本地用户绑定 SSLVPN 策略组

```
display local‑user xxxuser
#查看属性：sslvpn policy‑group pg‑office
```

- 如果用户没有配置`sslvpn policy‑group xxx`，就算密码正确登录，**不会下发资源，门户空白**。

### 4、路由与安全策略（跳转回门户高发）

1）安全策略：`sslvpn‑zone` 到内网域，permit 业务网段；
2）**回程路由关键点**：

- 防火墙必须有去往 SSLVPN 虚拟地址池网段的静态路由，下一跳指向 SSLVPN 接口；
- 内网业务服务器 / 核心交换机，**必须存在 VPN 虚拟地址池的回程路由，下一跳指向 F100‑C‑G5 内网接口**。

>
> 没有回程路由：网页代理收到内网服务器回包回不来，浏览器页面代理失败，直接重定向跳回 VPN 门户登录页。

### 5、ACL 检查（ip‑tunnel 模式）

acl 3000，permit 虚拟池网段 到 内网业务网段，不要 deny。

### 6、浏览器 & 固件侧

1. 清除浏览器缓存，关闭 “阻止重定向弹窗”；网页模式会**弹出新标签页做代理改写**，浏览器拦截弹窗会导致异常；
2. 优先用 Chrome，不要用 IE；
3. 老版本固件存在 web‑proxy 改写 bug，建议升级 F100‑C‑G5 最新稳定版本 CMW710‑R9660P60H3C。

## 复现定位日志

```
display logbuffer | include sslvpn
display sslvpn session
```

看用户登录会话是否正常加载 policy‑group、资源列表是否下发成功。

## 区分两种访问模式现象

1. **Web‑mode 网页代理模式**：点击资源会**新开浏览器标签**，防火墙做 URL 改写代理；回程路由缺失，就会新标签页跳转回 VPN 门户。
2. **IP‑tunnel 三层隧道模式（iNode 客户端）**：不会新开网页，客户端获取虚拟 IP，直接访问内网 IP。

>
> 如果只是网页代理模式异常，三层 iNode 客户端接入访问内网正常，那问题 100% 集中在**网页代理资源配置、回程路由**。

## 快速修复核对清单

1. ✅sslvpn‑gateway 状态 Up，service enable；
2. ✅context 下 policy‑group 绑定 url‑list /ip‑tunnel filter；
3. ✅本地用户配置`sslvpn policy‑group xxx`；
4. ✅安全策略放行 sslvpn‑zone 到内网业务；
5. ✅内网设备存在 VPN 虚拟地址池回程路由，指向防火墙；
6. ✅浏览器允许弹出新窗口，关闭弹窗拦截。

SSLVPN？

inode连接啊