求大神指导华三SecPath U200-CS墙中的应用层协议检测，顺道求此设备的技术手册

一、先讲【应用层协议检测】功能原理（U200-CS 老 V5 平台防火墙）
1、这个页面是干什么的
名称：应用层协议检测（ASPF）
作用：开启对应协议的 ASPF 后，防火墙自动识别协议多通道 / 子通道，主动临时开放回程端口。
典型场景：
FTP 主动 / 被动模式：控制通道 21，数据通道随机端口；开启 ftp ASPF，防火墙自动放行数据端口；
RTSP/SIP/QQ 等多媒体协议，存在动态协商端口。
工作逻辑：
内网客户端发起 FTP 连接→防火墙识别 FTP 控制流→动态监测 PORT/PASV 命令→自动开放数据通道临时会话。
2、你遇到的现象：开启大包业务不通，关闭就正常（你的故障根因）
原因拆解（U200-CS 老款 V5 平台经典 BUG）
ASPF 深度解析报文时，需要对报文进行重组、应用层解析；
大报文、分片报文、MTU 不匹配场景，老旧 ASPF 模块报文重组处理存在缺陷；
分片报文无法正常完成应用层解析，防火墙判定报文异常丢弃，表现为大包传不动、大文件传输中断；
关闭应用层协议检测 → 不再做应用深度解析，只做基础五元组会话转发，分片报文直接透传，业务恢复。
补充区分两种模式
不勾选任何协议：ASPF 全局关闭，只基于基础 TCP/UDP 五元组会话转发，不解析应用层；
勾选 ftp：仅对 FTP 协议启用 ASPF 多通道解析；其余协议不处理。
3、生产环境正确配置建议
场景① 内网正常上网，无 FTP / 多媒体业务
✅ 全部不勾选（你现在临时生效方案）
规避 ASPF 分片大包兼容性问题。
缺点：如果有人使用被动 FTP，会出现 FTP 能登录，但无法列出目录、无法传输文件。
场景② 内网有 FTP 服务器、需要被动 FTP 正常工作
只勾选 ftp，其余协议全部不勾选；
同时优化两端 MTU，尽量减少报文分片，缓解丢包。
场景③ 存在视频监控 RTSP、语音 SIP 业务
按需勾选 rtsp、sip；不需要的协议一律不要勾选。
⚠️严禁一股脑全部勾选，越多协议开启，CPU 压力越大、报文异常概率越高。
4、关键避坑
❌不要混淆【应用层协议检测 (ASPF)】和【IPS 入侵防御】
ASPF = 多通道动态端口开放；IPS = 攻击特征检测，两个独立功能。
❌U200-CS 属于老旧 EOL 设备，官方不再发布新版本固件修复这类 ASPF 分片兼容缺陷，无法通过升级根治；只能靠配置规避。
如果必须使用 FTP，优化方案：
终端 MTU 调低至 1480，减少报文分片，降低触发异常概率。
二、SecPath U200-CS 手册获取途径
U200-CS 属于非常老的 V5 平台设备，已经停止维保（EOL）
获取渠道
知了社区（zhiliao.h3c.com）
搜索关键词：SecPath U200-CS 配置手册，可以找到存档电子版；
官方方式：拨打 400-810-0504，提供设备型号，客服推送历史文档；
关键词全称文档名称：
H3C SecPath U200-CS Web配置指导、命令参考
手册重点查阅章节
防火墙 → ASPF（应用层协议检测）章节。
三、落地总结给你
故障根源：U200-CS 老旧 ASPF 模块对 IP 分片大报文处理存在缺陷，开启应用层协议检测后大包丢包；关闭 ASPF 规避该问题。
配置策略：无 FTP/RTSP/SIP 业务，应用层协议检测全部不勾选；
如果后续需要被动 FTP，仅勾选 ftp，同时调整终端 MTU 减少分片；
设备老旧无新版固件，无法彻底修复该底层缺陷，只能配置规避。