头像被屏蔽
新手899116 发表于 2023-11-23 18:46
  
提示: 作者被禁止或删除 内容自动屏蔽
头像被屏蔽
新手899116 发表于 2023-11-24 16:18
  
提示: 作者被禁止或删除 内容自动屏蔽
头像被屏蔽
真男人 发表于 2023-12-5 00:02
  
提示: 作者被禁止或删除 内容自动屏蔽
头像被屏蔽
新手780102 发表于 2023-12-7 18:24
  
提示: 作者被禁止或删除 内容自动屏蔽
头像被屏蔽
talent 发表于 2024-1-16 14:01
  
提示: 作者被禁止或删除 内容自动屏蔽
月光下的眼睛 发表于 2024-3-7 14:12
  
打卡学习,感谢大佬分享!
阿7 发表于 2024-7-19 08:36
  
感谢分享,有助于学习
王老师 发表于 2024-12-9 12:16
  
在您的描述中,AC(假设是深信服的AC设备)配置了两个网口,其中一个连接到局域网并正常对接总部的SSL-VPN,而另一个连接到一个独立的子网,该子网无法通过IPSec-VPN访问总部的服务器。您提到将此子网添加到AC的本地子网时,提示“此子网为本地子网,不需要添加”。这表明AC已经识别该子网为本地网络的一部分,因此不需要再次添加。

要解决这个问题,您可以考虑以下几个方面:

### 1. **检查路由配置**
   - **静态路由**:确保AC上为第二个子网配置了正确的静态路由,指向正确的下一跳地址。如果这个子网没有正确的路由配置,流量可能无法正确转发到总部的SSL-VPN。
     - 检查AC上的路由表,确保有指向总部SSL-VPN的默认路由或特定路由,适用于第二个子网的流量。
   - **VLAN和三层交换机**:确认三层交换机上的VLAN配置是否正确,确保所有相关的VLAN都有适当的路由设置,并且可以与AC通信。

### 2. **检查防火墙规则**
   - **ACL(访问控制列表)**:检查AC上的防火墙规则,确保没有阻止从第二个子网到总部SSL-VPN的流量。有时候,默认的安全策略可能会限制某些子网的访问权限。
   - **NAT(网络地址转换)**:如果使用了NAT,确保NAT配置不会影响第二个子网的流量。特别是,确认NAT规则不会将第二个子网的流量错误地转换为其他IP地址。

### 3. **检查SSL-VPN配置**
   - **隧道配置**:确保IPSec-VPN隧道配置正确,包括对端网段、加密算法等参数。虽然您提到IPSec-VPN到总部的SSL-VPN是正常的,但仍然需要确认隧道配置是否涵盖了第二个子网。
   - **子网映射**:检查SSL-VPN服务器端的配置,确保它允许第二个子网的流量通过。有时,服务器端可能需要明确指定允许哪些子网通过VPN隧道。

### 4. **检查二层交换机配置**
   - **VLAN配置**:如果第二个子网使用了VLAN,确保二层交换机上的VLAN配置正确,并且该VLAN能够与AC的第二个网口通信。
   - **STP(生成树协议)**:如果启用了STP,确保没有因为STP问题导致网络环路或链路阻塞,影响流量转发。

### 5. **确认子网划分和IP地址规划**
   - **IP地址冲突**:确保第二个子网的IP地址范围不会与总部或其他子网发生冲突。IP地址冲突可能导致路由混乱,影响通信。
   - **子网掩码**:确认第二个子网的子网掩码配置正确,避免由于掩码不匹配导致的路由问题。

### 6. **测试和诊断**
   - **Ping测试**:尝试从第二个子网中的设备ping AC的第二个网口IP地址,确保本地网络通信正常。
   - **Traceroute**:使用`traceroute`或`tracert`命令,从第二个子网中的设备追踪到总部服务器的路径,查看流量是否正确通过AC和IPSec-VPN隧道。
   - **抓包分析**:使用Wireshark等工具,在AC的第二个网口和相关设备上进行抓包分析,查看是否有异常的流量丢弃或错误。

### 7. **联系技术支持**
   - 如果经过上述步骤后问题依然存在,建议联系深信服的技术支持团队,获取专业的帮助。他们可以根据您的具体配置提供更详细的指导和解决方案。

### 8. **特殊注意事项**
   - **多网口设备的路由选择**:对于具有多个网口的设备(如AC),确保设备能够正确选择出口接口。有时候,设备可能会根据默认路由或其他策略选择错误的出口接口,导致流量无法正确转发。
   - **负载均衡或冗余配置**:如果您使用了负载均衡或冗余配置,确保这些配置不会影响第二个子网的流量路径。

通过以上步骤,您可以更全面地排查和解决第二个子网无法通过IPSec-VPN访问总部服务器的问题。希望这些方法能帮助您找到问题的根源并解决问题。
_家宁 发表于 2024-12-20 10:14
  
已学习,感谢已学习,感谢
用AC和总部的sslvpn对接,AC具有两个网口,一个是局域网,后

不知名的鱼 10204

{{ttag.title}}
用AC和总部的sslvpn对接,AC具有两个网口,一个是局域网,后面接三层交换机,有VLAN和多个子网,这些子网都在vpn的本地网段指定了,ipsecvpn到总部的sslvpn是正常的,可以访问总部的服务器。
但是AC还有一个第二个网口,后面接一个二层交换机,就一个子网。这个子网和总部sslvpn的ipsecvpn是不通的。在这个子网无法ping通总部服务器。我将这个子网添加到AC VPN的本子子网里面,提示我此子网为本地子网,不需要添加。
是不是其他什么地方需要设置一下?
谢谢

解决该疑问,预计可以帮助到 17623 人!

回帖即可获得
2S豆
,被楼主采纳即奖励20S豆+10分钟内回帖奖励10S豆 [已过期] ,了解更多S豆奖励信息

完善手机号和公司名称,让服务更省心更便捷!立即完善

等我来答:

换一批

发表新帖
热门标签
全部标签>
每日一问
功能体验
新版本体验
产品连连看
标准化排查
纪元平台
【 社区to talk】
GIF动图学习
高手请过招
解决方案
安全效果
安装部署配置
安全攻防
用户认证
社区新周刊
技术笔记
秒懂零信任
每周精选
西北区每日一问
信服课堂视频
畅聊IT
答题自测
专家问答
技术圆桌
在线直播
MVP
网络基础知识
升级
上网策略
测试报告
日志审计
问题分析处理
流量管理
每日一记
运维工具
原创分享
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
SDP百科
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
排障笔记本
产品预警公告
玩转零信任
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
2023技术争霸赛专题
卧龙计划
华北区拉练
天逸直播
以战代练
技术晨报
平台使用
技术盲盒
山东区技术晨报
文档捉虫
齐鲁TV
华北区交付直播
2024年技术争霸赛
北京区每日一练
场景专题
故障笔记
排障那些事
升级&主动服务
高频问题集锦
POC测试案例
全能先锋系列
云化安全能力
专家说
热门活动
产品动态
行业实践
产品解析
关键解决方案

本版达人