H3C SecPath F1010，内网终端通过公网 IP 访问内网服务器，时通时不通

配置没问题的话可能得抓包分析了

这种应该是安全策略的问题，没有完全放通。

我之前测试过l2tp，电脑链接上后，ping会出现丢包。安全策略全放开之后，丢包也没了，延迟也小了。

后面通过dis 查看会话，把另外的一部分安全策略补上就好了。

你遇到的这个“所有内网网段同时中断，且能自行恢复”的现象，结合你已排查的结果，问题根源很可能不在 hairpin 配置本身，而在于设备的资源状态或配置冲突。你提供的内存使用率 83% 是一个关键突破口。

 首要嫌疑：内存高企导致的会话表异常

你设备的内存（1008MB）使用率达到 83%，这是一个危险信号。H3C 官方建议内存使用率不高于 70%，持续高于 70% 就需要高度关注。

在内存资源紧张时，防火墙的会话表（Session Table） 会变得非常脆弱：

• 新会话无法建立：内存不足时，设备可能无法为新的 hairpin 访问创建必要的 NAT 会话，导致所有内网用户的访问请求被丢弃。

• 老会话提前老化或表项错乱：已有的会话可能因内存压力被异常清除或处理错误，造成连接中断。而故障的“自行恢复”，很可能是因为某些占用内存的异常会话或进程被系统回收，暂时释放了资源。

下一步行动：

1. 检查会话表状态：在故障发生时（或平时），执行 display session statistics，查看当前会话总数是否接近设备规格上限。

2. 排查异常会话：执行 display session table verbose，检查是否存在大量半连接（状态为SYN_RCVD） 或永不老化的长连接。误配的会话长连接（session persistent aging-time 0）会导致会话永不释放，持续消耗内存直至耗尽。

3. 定位内存消耗进程：执行 display memory 和 display process memory，确认是哪些进程（如 dpid、iked 等）占用了大量内存。如果开启了 DPI（入侵防御、URL过滤等）功能，可以尝试临时关闭以观察内存是否下降，因为低端防火墙在开启DPI后内存容易飙升。

 次要排查：配置冲突与隐藏问题

如果内存问题排除后故障依旧，请检查以下配置冲突点。

1. 全局NAT与接口NAT冲突
这是一个已知的、会导致 hairpin 间歇性失效的经典问题。当防火墙同时配置了全局NAT（nat global-policy） 和接口NAT（如 nat hairpin enable） 时，特定功能（如DPI）的开启可能会改变报文标记，导致全局NAT意外生效，从而破坏 hairpin 的处理流程。

• 核查方法：执行 display current-configuration | include global-policy，确认是否存在全局NAT策略。如果有，建议移除全局NAT，统一使用接口NAT来实现所有NAT功能。

2. 缺少 nat hairpin server 配置
如果内网终端与内网服务器处于同一网段（例如，终端 192.168.5.100 访问服务器 192.168.5.190），仅配置 nat hairpin enable 可能不够。TCP 三次握手的 SYN-ACK 包可能因路由问题无法正确返回，导致连接时好时坏。

• 核查方法：确认内网接口下是否配置了 nat hairpin server。如果没有，可以尝试添加此配置。

3. 堆叠环境下的跨框NAT问题（如果适用）
如果你的 F1010 是两台设备堆叠部署的，这是一个已知问题。出问题时，如果只开启了标准的会话同步（session synchronization enable），跨框的NAT流量可能无法正确同步，导致部分访问失败。

• 解决方案：启用非对称会话同步：session synchronization enable asymmetric。