SecPath F100-E-G3防火墙sslvpn经常掉线重连

核心现象复盘
路由列表添加 0.0.0.0/0（包含） → 该 Win11 客户端隧道反复断开重连；
删除 0.0.0.0/0，仅保留内网细分网段 → 故障消失；
同账号、同网络 Win10 客户端无问题，仅 Win11 出现；
Inode 客户端、虚拟网卡安装正常。
根本原因（H3C SSLVPN 全流量隧道经典坑）
0.0.0.0/0 强制所有流量进入 VPN 隧道，包含【去往 SSLVPN 网关自身的流量】
Win11 路由逻辑、系统网络堆栈和 Win10 存在差异；
客户端建立隧道后，系统路由表：所有流量发给 VPN 虚拟网卡；
客户端和防火墙网关的 SSL 隧道保活报文，也被路由塞进 VPN 隧道内，形成路由环路；
Inode 客户端无法和网关正常交互保活报文，防火墙判定隧道超时，主动断开，客户端立刻自动重连，形成循环掉线。
Win10 系统默认路由优先级策略不容易触发环路，Win11 更容易复现该问题，这就是 “同环境一台有问题一台正常” 的关键。
方案 1（推荐，标准规范配置，根治问题）
修改路由列表，排除 VPN 网关自身 IP，避免环路
你当前路由列表只有 0.0.0.0/0 包含，缺少排除规则。
H3C SSLVPN 路由列表支持排除类型表项，规则顺序：先排除，后包含。
操作步骤：
在路由列表 rtlist 新建一条表项：
子网地址：防火墙 SSLVPN 公网网关 IP
掩码长度：32
类型：排除
原有 0.0.0.0/0，包含 保留，顺序必须放在排除条目下方
生效逻辑：去往网关的流量不走 VPN 隧道，直接走本地物理网卡；其他所有流量进入 VPN 隧道，彻底打破环路。
网页界面配置顺序示例
XX.XX.XX.XX/32 【排除】（网关 IP）
0.0.0.0/0 【包含】
方案 2 临时规避（不推荐，功能受限）
不使用全隧道，拆分业务内网网段，不在路由列表写 0.0.0.0/0，仅填写需要访问的业务内网网段，等同于分流模式，不会产生环路。
额外补充优化（防止后续依然波动）
防火墙侧保活参数微调（可选）
plaintext
system-view
ssl vpn gateway 你的网关名称
# 调整隧道保活超时，适当放宽（默认300s）
tunnel keepalive interval 60 timeout 180
Windows 客户端侧排查辅助
Win11 关闭第三方安全软件、防火墙（部分杀毒劫持路由表，加剧冲突）
Inode 客户端升级到官网最新稳定版本，旧版 inode 对 Win11 路由处理存在兼容缺陷
客户端执行命令查看路由表，验证网关路由走向：
plaintext
route print
正常情况下：VPN 网关 IP 路由下一跳为本地物理网关，不是 Inode 虚拟网卡。
一句话总结故障逻辑
添加 0.0.0.0/0 全流量路由 → Win11 系统将和 VPN 网关通信的保活报文也送入隧道 → 保活失败 → 防火墙断开隧道 → 客户端自动重连，循环往复。
解决方案：路由列表增加网关 IP【排除】条目，并且放在 0.0.0.0/0 上方。