f100-a-g2防火墙设备

苹果能通，代表防火墙 SSL‑VPN 基础配置、账号、证书、安全策略大体没问题；问题集中在安卓客户端版本、手机系统限制、运营商网络、TLS 握手、中间链路对安卓特征报文拦截这几类。

按顺序排查（由简到繁）

1、客户端版本（最高概率）

1. 安卓 iNode‑MC 版本不要使用老旧版本，旧版本对部分安卓 12‑15 存在兼容性 BUG，会报网络连接失败H3C。
2. 不要从应用商店随便下载，必须从 F100‑A‑G2 SSL‑VPN 门户页面下载对应客户端安装包，门户下载的才是和防火墙版本匹配的 iNode‑MC。

操作：安卓手机卸载旧 iNode‑MC，浏览器访问 SSL‑VPN 网页门户，重新下载 APK 安装包，重新配置接入地址测试。

2、区分手机网络：Wi‑Fi / 4G/5G 移动数据分别测试

• 安卓连家里 Wi‑Fi 可以成功，只有手机流量报错：运营商防火墙对 SSL/TLS 特征报文拦截；部分运营商对安卓客户端 TLS 握手报文做 DPI 拦截，iOS 报文特征不一样不拦截。
• 无论 Wi‑Fi 还是移动数据都报错，问题在手机本身 / 客户端 / 证书校验。

3、证书与手机系统时间

1. 安卓手机日期时间必须自动同步，时间偏差过大 TLS 握手直接失败，提示网络连接失败，苹果容错相对宽松。
2. 如果防火墙使用自签名证书：安卓对自签证书校验比 iOS 严格很多。
   • 方案 1：正式环境使用公网可信 CA 证书；
   • 方案 2：把防火墙 SSL‑VPN 根证书导入安卓手机系统证书存储，仅导入 APP 内证书部分安卓版本不生效。

4、安卓系统权限与电池优化（非常容易忽略）

1. iNode‑MC 需要：网络权限、VPN 系统权限；部分安卓会后台冻结 VPN 应用。
2. 进入手机设置‑电池，把 iNode‑MC 设置为无限制，关闭电池省电 / 后台冻结；安卓休眠会直接中断 VPN 握手流程，提示网络连接失败。
3. 手机上其他 VPN、代理、安全类 APP 全部卸载关闭，会抢占 VPN 接口，导致 iNode‑MC 无法创建隧道。

5、防火墙侧配置排查

1. SSL‑VPN 网关监听端口，默认 TCP443；部分运营商对 443 端口深度检测，可以修改 SSL‑VPN 监听为其他 TCP 端口（例如 8443），安卓客户端填写端口重新测试。
2. 检查 SSL 加密套件：安卓新版本对老旧弱加密套件不再支持。

不要保留已经淘汰的 TLSv1.0/TLSv1.1，仅保留 TLS1.2、TLS1.3。

3. 安全策略：外网 Untrust→Local 域放行 SSL‑VPN 网关端口；苹果走通说明策略大体没问题，但抓包看安卓的 TCP 握手是否被中间设备 RST。

6、抓包定位

1. 防火墙侧抓外网入方向报文，看安卓客户端访问 SSL‑VPN 网关，是否完成 TCP 三次握手；
   • 如果 TCP 握手都建立失败：运营商 / 中间设备拦截；
   • TCP 握手成功，TLS 握手阶段收到 RST 断开：证书、加密套件不兼容。

inode提示的吗