防火墙只拦住微信，其他都正常使用

根因分析（按优先级排序）

1. NAT/ASPF 会话表老化异常，微信长连接堆积（最高概率） 微信大量 UDP 长心跳、QUIC 会话，防火墙运行约 20h 后，部分微信相关 UDP/QUIC 会话老化异常；文字走短报文可以通；图片、文件是大报文复用旧异常会话直接卡住。 重启防火墙清空全部会话表，临时恢复，运行一段时间问题复现H3C。
2. MSS/MTU 不匹配，大报文黑洞 网页、QQ 会自适应分片；微信图片上传大包不适应，出现 “小报文通，大报文丢”。PPPoE 拨号场景更容易触发。
3. 特征库识别 QUIC / 微信 CDN 异常 微信图片文件走腾讯 CDN 域名、QUIC 协议；老特征库识别错误，对图片相关报文做异常处理，不拦截网页 QQ。
4. DNS 代理、DNS 缓存异常 微信聊天和图片 CDN 使用不同域名，DNS 缓存条目异常，只影响图片资源。
5. 排除：安全策略、对象组黑名单。策略拦截是永久失效，不会重启好十几个小时。

分步排查处理（现场可直接操作）

步骤 1：检查会话老化时间（V7 Comware）

• UDP 默认老化 30s；很多环境手动改大 UDP 老化时间会导致大量微信 QUIC/UDP 僵尸会话堆积。

优先恢复默认老化时间，不要随意把 UDP 老化改很大。 如果手动改过 UDP aging‑time，请恢复出厂默认值。

临时验证（故障复现时执行，不需要重启整机）

执行后，如果微信图片立刻恢复，确认就是会话老化 / 僵尸会话堆积问题。

步骤 2：接口 MSS 调优（内外网接口都配置）

如果出口是 PPPoE 拨号：

普通以太出口：

MSS 只对新建 TCP 会话生效；QUIC (UDP) 不受 mss 控制。

步骤 3：特征库与版本校验

1. 检查应用特征库版本，升级到最新；display version查看系统版本，确认是否为推荐稳定版本。
2. 如果开启深度检测、IPS、应用过滤，可以临时关闭深度检测做对比测试，判断是否是特征库误处理微信 CDN/QUIC 报文。

步骤 4：DNS 排查

• 不使用防火墙 DNS 代理，终端直接配置公网 DNS（223.5.5.5、114.114.114.114）测试，排除防火墙 DNS 缓存问题。

步骤 5：QUIC 协议处理

微信大量使用 QUIC (UDP 443)； 如果防火墙开启应用控制，QUIC 识别异常会出现只影响图片文件； 测试方案：安全策略里放行 QUIC，或者配置策略阻断 QUIC，强制微信回落 TCP，看图片发送是否恢复。

微信 PC 端可以禁用 QUIC，用来定位问题。

故障复现时收集信息，用于 400 定位

1. display version 设备版本、特征库版本
2. display aspf policy default
3. display session summary 会话总数量
4. 故障复现时抓包：内网终端发微信图片，同时防火墙做双向抓包，看大包报文是防火墙丢弃还是没有回包。
5. 现象：重启后正常时长，复现时间点。

有没有设备做限制