H3C F1000-9320 防火墙
- 0关注
- 0收藏，133浏览
第一步：PC 端基础定位（先区分 DNS 还是连通性问题）
在内网故障 PC 上执行
nslookup 目标网址
ping 目标网址
tracert 目标网址
- 如果nslookup 解析失败：DNS 解析问题；
- 如果解析出 IP，但 ping 不通网页端口 443：防火墙 / 安全业务拦截、MTU、NAT 公网 IP 被对方站点限制。
手机热点能访问，代表目标网站本身服务正常，不是对方服务器宕机。
第二步，防火墙 F1000‑9320 逐项排查（V7 版本）
1、查看日志，看是否被业务模块拦截（最高优先级）
Web 页面：监控→日志中心→安全日志 / 威胁日志 / URL 过滤日志，搜索该网站 IP / 域名，看是否有丢弃记录H3C。
- 出现丢弃日志：被 URL 过滤、IPS 威胁、域名信誉、应用控制策略拦截。 处理：把该网站加入URL 白名单 / 域名信誉白名单。
外单位业务系统，很多老 HTTPS 证书、特殊报文容易被 IPS 特征库误报拦截。 临时测试手段：关闭 IPS、URL 过滤、应用控制，再访问；能打开，说明就是 DPI 安全模块误拦截，做白名单放行即可。
2、DNS 解析问题
- 内网 PC 使用防火墙 DNS 代理，防火墙 DNS 解析该域名异常，PC 拿到错误 IP 就打不开网页。
测试：PC 手动改成公网 DNS
223.5.5.5，绕过防火墙 DNS 代理，再访问网站。 - 如果改完 DNS 就能打开：防火墙 DNS 代理故障，可在防火墙上配置 DNS 服务器，或者内网终端不使用 DNS 代理。
3、MTU 分片问题（非常常见，政务 / 外单位老业务系统高频坑）
防火墙出接口 WAN MTU 值过大，网站设备不支持大分片报文，网页打不开，别的网站正常。
display interface GigabitEthernet 1/0/0
WAN 接口 MTU 建议改成 1400‑1460 测试，PPPoE 场景建议 1492。
interface GigabitEthernet1/0/0
mtu 1440
4、NAT 公网出口 IP 被对方网站限制 / 拉黑
手机热点是运营商不同公网 IP；内网走防火墙的公网 IP，被外单位业务站点做了访问限制。 排查：在防火墙上多配一个 NAT 地址池，临时切换另一个公网 IP 做源 NAT 测试。
现象：ping 能通，TCP 三次握手失败，网页一直转圈。
5、SSL 解密（SSL 代理）导致访问失败
如果开启 SSL 解密（应用代理），部分外单位老业务证书不兼容，访问直接失败。 处理：将该业务域名加入SSL 代理白名单，不做解密检测。
display app‑proxy ssl whitelist hostname
6、安全策略确认
普通上网策略已经放行，但确认该目标 IP 没有被 ACL / 对象策略 deny；
display security‑policy hit‑count
看访问该网站流量的策略命中情况。
快速现场测试流程（排错顺序）
- 内网 PC 更换公网 DNS 测试；
- 防火墙临时关闭 IPS、URL 过滤、应用控制，复现访问；
- 查看威胁日志有无丢弃记录；
- 修改 WAN 口 MTU 测试；
- SSL 代理场景添加 SSL 白名单；
- 更换 NAT 公网 IP，排查对方站点拉黑我方出口 IP。
一句话精简版
网站本身没问题，优先看防火墙威胁日志确认是否被 IPS/URL 过滤误拦截，可临时关闭 DPI 模块验证；其次排查 DNS 代理、WAN 接口 MTU、SSL 解密白名单，最后确认我方 NAT 公网 IP 是否被外单位业务站点限制。
换DNS也不行，各种日志里什么记录都没有
换DNS也不行，各种日志里什么记录都没有
排查步骤：
1. 确认PC的DNS解析是否正常，在防火墙ping目标域名，看解析出的IP是否与热点一致。
ping domain <目标域名>
如果解析失败或IP不同，检查防火墙DNS配置：
dns server
2. 检查安全策略是否放行了PC所在安全域到Untrust的访问。
display security-policy
确认源安全域、目的安全域、目的IP/域名是否匹配，动作是否为pass。若没有放行，添加策略：
security-policy
rule name to-website
source-zone trust
destination-zone untrust
source-ip
destination-ip <目标IP或域名>
action pass
3. 检查NAT策略，确认PC上网的NAT地址池是否被目标网站限制。查看NAT配置：
display nat policy
display nat address-group
如果多个公网IP，可尝试更换NAT地址池或使用不同出接口IP，看是否恢复。
4. 查看会话和日志，确认流量是否被丢弃及原因。
display session table ipv4 destination-ip <目标IP>
display logbuffer | include <目标IP>
若日志显示被策略阻断，按提示调整策略。
5. 若目标网站有地域限制或对源IP有要求，确认防火墙出接口公网IP是否被对方拉黑，联系对方或更换出口IP测试。
建议先做第1、2步，大部分情况是安全策略未放行或DNS解析问题。
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明