防火墙接外网能ping通，网页打不开

大概率还是配置问题，出方向选路或者路由问题

不清楚还是联系供应商或400热线沟通下细节吧

配置下tcp mss 1360试试

nslookup ***.***  223.5.5.5

看看有没有回显

如果有就把你的dns换成223.5.5.5

ICMP 小包正常，TCP 80/443 网页访问异常；DNS 已经确认没问题，优先按下面顺序排查（最高概率是 PPPoE 的 MTU/TCP MSS 黑洞）

1、TOP1：PPPoE 链路 MTU 与 TCP MSS 不匹配（现场最常见）

PPPoE 封装占用 8 字节，标准 MTU=1492；如果没配置 MSS，大包的 DF 置位报文分片失败，同时运营商拦截 ICMP need-frag 报文，形成 PMTUD 黑洞：ping 小包正常、TCP 网页（大包）卡住打不开H3C。 ✅配置（拨号口 Dialer）

验证测试：ping -l 1472 -f www.baidu.com（Windows），如果不通就是典型 MTU 黑洞。

2、TOP2：安全策略放行不全（只放了 ICMP，没放行 TCP 80/443）

F1000-AK110 是 V7 下一代防火墙，安全策略按应用 / 服务区分，ping（ICMP）和 HTTP/HTTPS 是独立匹配项：

• 源域 Trust，目的域 Untrust 的安全策略，检查：服务是否包含HTTP、HTTPS，或者直接放any；
• 不要只放行 ICMP；
• 命令查看匹配计数：display security-policy ip rule hit-count，访问网页时看策略命中是否上涨；

如果策略命中不涨：接口没正确加入安全域、源 NAT 缺失（内网访问公网必须做源 NAT）。

3、TOP3：安全防护模块拦截（IPS/URL 过滤 / 应用识别）

AK 系列自带 IPS、应用控制、网址过滤：

• 现象：TCP 握手能发起，但是 HTTPS 报文被 IPS/URL 过滤丢弃；ping 不受影响；
• 测试：临时关闭 IPS 策略、URL 过滤、应用管控，访问网页；恢复正常则是特征库拦截。

4、TOP4：DNS 代理问题（虽然你说 DNS 确认无误）

两种坑：

1. PC 网关指向防火墙，防火墙开启 DNS 代理，但代理配置的 DNS 服务器不可达；nslookup 偶尔能解析，浏览器异常；
2. 双栈环境，DNS 返回 IPv6 地址，防火墙 IPv6 策略没放行，浏览器优先走 IPv6 卡住； 测试：PC 直接配置公网 DNS（223.5.5.5），绕过防火墙 DNS 代理测试。

5、TOP5：回程路由、ASPF 会话、ICMP 不可达拦截

1. ASPF：V7 默认开启，一般没问题；如果手动关闭 ASPF，部分主动会话回包异常；
2. 防火墙拦截了 ICMP 不可达 / 分片需要报文，加重 MTU 黑洞；
3. 拨号默认路由下一跳正常，但运营商侧回程有异常。

快速定位手段（现场执行顺序）

1. PC 直接telnet/nc 百度IP 443，看 TCP 能不能通：
   • TCP 不通 → 防火墙策略 / NAT/MTU 问题；
   • TCP 通、浏览器打不开 → DNS、代理、证书、浏览器问题；
2. 防火墙抓包：packet-capture抓 Dialer 口，看 SYN 报文是否发出、有没有 SYN+ACK 回来；
3. 查看会话：display session table destination-port eq 443，看会话能否建立；
4. 核对拨号配置：display pppoe-client session确认拨号在线。

最简排错顺序总结

1. 优先配置 Dialer 口 mtu 1492 + tcp mss 1452，90% PPPoE 场景这个故障直接解决；
2. 核对 Trust→Untrust 安全策略放行 HTTP/HTTPS、源 NAT；
3. 临时关闭 IPS/URL 过滤测试；
4. PC 直填公网 DNS 绕开防火墙 DNS 代理验证；
5. 抓包看 TCP 三次握手是否完成。