深信服社区»版块 安全类 下一代防火墙NGAF 总部和分支建立IPsecVPN后,分支可以访问总部,总部访问 ...

总部和分支建立IPsecVPN后,分支可以访问总部,总部访问不了分支

查看数: 1696 | 评论数: 7 | 收藏 0
关灯 | 提示:支持键盘翻页<-左 右->
    组图打开中,请稍候......
发布时间: 2025-2-21 09:08

正文摘要:

本帖最后由 新手760538 于 2025-2-21 09:12 编辑     总部设备为AF2000,版本号:8.0.95,部署在内网;分支也为AF2000,版本号:8.0.65,部署在网关;双方成功建立sangforvpn后,分公司ping总部的内网 ...

回复

新手103738 发表于 2025-2-28 10:16
总部升级后不通,看一下总部上的策略,是不是升级后有变动了?
信子_ 发表于 2025-2-26 15:14
总部升级后不通,检查下总部的应用控制规则,是否未添加总部到分支的允许策略;
小小胖吃不胖 发表于 2025-2-23 21:57
测试隧道状态:
确认 SangforVPN 隧道是否正常工作,可以通过查看设备日志或使用诊断工具。
如果隧道状态异常,尝试重新建立连接。
taoyb 发表于 2025-2-21 15:19
测试隧道状态:
确认 SangforVPN 隧道是否正常工作,可以通过查看设备日志或使用诊断工具。
如果隧道状态异常,尝试重新建立连接。
是小鲤鱼哦 发表于 2025-2-21 14:35
检查路由表:
确保总部 AF2000 上有指向分支内网的静态路由。
检查分支 AF2000 是否有返回总部的路由。
使用 route print 或类似命令验证路由是否正确。
王老师 发表于 2025-2-21 11:14
建议排查步骤
检查路由表:
确保总部 AF2000 上有指向分支内网的静态路由。
检查分支 AF2000 是否有返回总部的路由。
使用 route print 或类似命令验证路由是否正确。
核对防火墙策略:
检查总部 AF2000 的安全策略,确保允许 ICMP 流量(ping)从总部到分支。
如果有新的默认策略生效,可能需要手动调整。
确认 NAT 配置:
检查 SangforVPN 的 NAT 设置,确保总部和分支之间的流量没有被错误转换。
升级可能导致 NAT 规则发生变化,需重新验证。
测试隧道状态:
确认 SangforVPN 隧道是否正常工作,可以通过查看设备日志或使用诊断工具。
如果隧道状态异常,尝试重新建立连接。


喜欢请点赞,满意请采纳,赚点豆豆买奶粉。
当代牛马 发表于 2025-2-21 09:36
抓包看看,防火墙和路由器上面抓包,看一下有没有收到ping包,收到后看看转发了没有