F100-C-G5VPN 配置好了但是访问不了web资源打不开并

1. 先试直接用 IP 访问内网 web，判断是 DNS 问题还是 TCP 不通；
2. 最常见：IPSec 封装后 MTU/MSS 过大，防火墙出接口 tcp mss 设 1360；
3. 检查安全策略放通 VPN 域到内网的 HTTP/HTTPS，不要被应用过滤拦截；
4. 确认两端回程路由、VPN 感兴趣流没有漏；
5. 放行 ICMP need-fragment，方便 PMTUD；
6. SSL VPN 还要确认地址池下发内网 DNS。

F100-C-G5 VPN配置完成后无法访问Web资源，按以下步骤排查：
1. 检查VPN隧道状态
执行 display ike sa 和 display ipsec sa，确认隧道已建立且SA有加密解密计数增长。若SA不存在，重点检查两端IKE策略、预共享密钥、感兴趣流是否一致。
2. 检查路由
执行 display ip routing-table，确认到达对端内网网段的路由存在且下一跳正确。若使用隧道接口，检查 display interface Tunnel 状态是否为up。
3. 检查安全策略
F100系列默认禁止转发，需放行VPN流量。执行 display security-policy ip，确认源目安全域（如Untrust到Trust）有放行策略。若使用对象策略，检查 display object-policy ip。
4. 检查NAT豁免
若内网访问外网做了NAT，需确保VPN流量不做NAT。执行 display nat session verbose 查看是否有VPN流量被NAT，若有需在NAT策略中排除感兴趣流。
5. 检查Web服务本身
从对端内网主机直接测试Web端口（如 telnet 对端IP 80），排除服务器或中间设备问题。
6. 抓包定位
在F100接口执行 debugging ip packet 或镜像抓包，确认报文是否到达防火墙、是否被丢弃及丢弃原因。
常见原因：安全策略未放行、NAT未豁免、感兴趣流不匹配。优先检查这三项。