SecPath F5000 可以建立VPN连接获取地址，但是不能访问ip资源
- 0关注
- 0收藏，108浏览
IP‑Access（网络扩展模式）流量：源安全域是
untrust（sslvpn‑ac 接口归属 untrust）；目的内网一般是trust域，流量走向：untrust‑>trust，很多人只放通 untrust‑local，漏掉 untrust‑trust 策略，导致内网全部不通H3C。 Web 门户 “域不显示”：大多是策略组 / 资源组没有正确绑定 SSL‑VPN 访问上下文、用户组没有关联策略组，不影响隧道拨号，只影响 web 门户展示资源。
按优先级排查定位
1、检查 sslvpn‑ac 接口归属安全域（你已经划入 untrust，确认无误）
display security‑zone name untrust
确认输出包含
interface sslvpn‑ac X；IP‑Tunnel 接口必须加入 untrust 域，不能在 local/trust。
2、安全策略最容易漏配（最高概率故障点）
你已经配置untrust‑local（用来 ping 防火墙本机 ssl 网关）；访问内网服务器需要额外配置 untrust‑>trust 安全策略，源是 SSL‑VPN 地址池网段，目的内网网段，动作 pass。
❗只放通 untrust‑local 只能访问防火墙本机，不能访问内网业务网段。
示例：SSL 地址池10.254.1.0/24，内网192.168.1.0/24
security‑policy ip
rule name sslvpn‑to‑inner
source‑zone untrust
destination‑zone trust
source‑ip‑subnet 10.254.1.0 255.255.255.0
destination‑ip‑subnet 192.168.1.0 255.255.255.0
service‑object any
action pass
logging enable
quit
同时保留 untrust‑local 策略，用于客户端 ping 通 ssl 虚拟网关（IP‑Tunnel 接口 IP）。
3、SSL‑VPN 上下文内部配置核查（域不显示根源）
display sslvpn‑context your‑ctx‑name
ip‑tunnel access‑route：确认已经下发内网网段路由给 iNode 客户端；没有 access‑route，客户端不会生成指向隧道的内网路由。
sslvpn‑context xxx
ip‑tunnel access‑route 192.168.1.0 255.255.255.0
# 或者下发全部 force‑all（全部流量走隧道，谨慎使用）
iNode 客户端执行
route print，核对是否学到内网网段路由。
- policy‑group 资源组绑定：
- IP 接入资源要加到 policy‑group；
- SSLVPN 本地用户 / 用户组必须关联该 policy‑group；
用户没有绑定 policy‑group：Web 门户 “域、资源列表空白不显示”，但 iNode 网络扩展拨号依然可以成功，就是你现在遇到现象。
4、双向路由检查（极易忽略内网回程路由）
- 防火墙本身：确认到内网服务器路由可达
display ip routing‑table
在防火墙控制台，用
ping 内网服务器IP测试；如果防火墙本身 ping 不通内网服务器，VPN 用户肯定不通。
- 内网三层设备 / 核心交换机：必须存在 SSL‑VPN 地址池回程路由
内网收到 VPN 客户端访问报文，回包目标为 SSL 地址池网段；内网网关需要添加静态路由：
SSL地址池网段 掩码 下一跳=防火墙trust侧接口IP。 ❗内网没有回程路由，防火墙有路由也不通，报文有去无回H3C。
5、会话表抓包定位，快速判断丢包位置
拨号 iNode，尝试 ping 内网服务器，同时执行：
display session table ipv4 source‑ip 【iNode获取的虚拟IP】 verbose
- 如果看不到会话：安全策略拒绝报文（缺少 untrust‑trust 放行规则）
- 如果能看到会话，但是没有返回报文：内网回程路由缺失；
- 会话存在有来回字节：业务本身拦截 ICMP（服务器禁 ping），业务端口实际可以访问。
6、其他次要坑点
- IP‑Tunnel 地址池网段不要和内网网段冲突；
- 不要配置源 NAT：IP‑Access 模式默认不需要 SNAT；手动错误配置 SNAT 会引发异常；
- 多 VSYS 环境：确认所有配置都在正确 vsys 视图；
- iNode 版本老旧，建议升级匹配 F5000 版本的 iNode 客户端。
关键现象解释
1、iNode 拨号成功拿到 IP，但是 web 门户 “域不显示”：只是 SSL‑VPN policy‑group 没有正确绑定用户 / 用户组，iNode 网络扩展隧道功能不受影响，不代表隧道配置错误。 2、ping 不通 ssl 虚拟网关 IP：优先检查 untrust‑local 安全策略，源是 SSL 地址池，目的是 sslvpn‑ac 接口 IP。 3、能拿到 IP 但完全访问不了内网：90% 是缺少
untrust‑>trust安全策略，或者内网设备缺少 SSL 地址池回程路由。
1. 确认SSL VPN接入接口与安全域
检查SSL VPN网关配置的接口是否在Untrust域：
display ip vpn-instance
display current-configuration interface GigabitEthernet x/x
display security-zone
若SSL网关接口不在Untrust域，需加入：
security-zone name Untrust
import interface GigabitEthernet x/x
2. 检查地址池路由回程
在核心交换机或内网网关上看是否有回程路由指向F5000的SSL VPN地址池网段。若没有，添加静态路由。
3. 检查域间策略
需要放通 Untrust → Trust（或资源所在域）的策略，而不仅是Untrust → Local：
security-policy ip
rule name ssl-to-trust
source-zone Untrust
destination-zone Trust
source-ip-address <地址池网段>
destination-ip-address <内网服务器网段>
action pass
同时确认 Local → Trust 方向（若SSL VPN网关在Local域终结）：
rule name local-to-trust
source-zone Local
destination-zone Trust
source-ip-address <地址池网段>
destination-ip-address <内网服务器网段>
action pass
4. 检查SSL VPN资源与ACL
确认IP接入资源引用的ACL目的地址正确：
display sslvpn ip-resources
display acl
资源需包含内网服务器网段，且路由模式（非隧道模式）下需下发路由。
5. 检查NAT与路由
若内网服务器回包需经过F5000，确认无NAT转换丢弃。查看会话：
display session table ipv4 source-ip <地址池IP> verbose
若会话建立但无回包，检查内网服务器网关是否指向F5000或存在回程路由。
6. 检查SSL VPN用户授权
确认用户关联了正确的资源组和策略组：
display sslvpn user
display sslvpn policy-group
7. 常见原因
最常见是域间策略缺失（只配了Untrust→Local，没配Local→Trust或Untrust→Trust）。
其次是回程路由缺失，内网设备无法将回包送回F5000。
若ping不通SSL网关接口本身，检查该接口是否允许ping（安全策略放通Untrust→Local的ICMP）。
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
哪里显示无，inode哪里吗