AF防火墙断网

终端突然都上不了外网，然后查看下面终端能ping通出口地址，但ping不通出口网关，放终端的地址到白名单就通了，再然后重启设备所有终端就好了，查看日志也没有发现拒绝的日志，这是怎么回事？

排查步骤
1. 检查会话表状态
命令（以深信服AF为例）：
bash
display connection  # 查看当前会话表
display connection count  # 查看会话总数
display connection filter src-ip <终端IP> dst-ip <网关IP>  # 过滤特定会话
关键点：
确认是否存在终端到网关的会话。
检查会话状态（如ESTABLISHED、TIME_WAIT）是否正常。
若会话数接近上限，需调整会话老化时间或升级设备。
2. 验证策略匹配顺序
操作：
登录AF管理界面，检查安全策略顺序。
确保允许终端访问网关的策略优先级高于拒绝策略。
临时启用策略日志（即使全局日志级别为低），观察是否触发拒绝记录。
示例：
若存在一条“源区域：内网，目的区域：外网，动作：拒绝”的策略，且未明确放行网关IP，可能导致隐性拒绝。
3. 检查NAT和路由配置
NAT规则：
确认终端访问网关的流量是否需要NAT（通常不需要）。
检查是否存在错误的SNAT/DNAT规则覆盖网关流量。
路由表：
bash
display ip route  # 查看路由表
display arp <网关IP>  # 检查ARP缓存
确认防火墙存在到网关的直连路由或静态路由。
若网关为动态获取（如DHCP），检查DHCP中继或客户端配置。
4. 监控硬件资源
命令：
bash
display cpu-usage  # 查看CPU占用
display memory-usage  # 查看内存占用
display interface <接口名>  # 查看接口流量和错误包
关键点：
若CPU/内存占用超过80%，需优化流量或升级设备。
检查接口是否存在丢包（Input/Output Drops）。
5. 升级软件版本
操作：
登录深信服官网，查询当前AF版本的已知bug。
若存在类似问题（如会话管理缺陷），升级到最新稳定版本。

深信服AF防火墙出现终端断网（能ping通出口地址但无法ping通网关，放行白名单后恢复，重启设备后问题消失且无拒绝日志）的问题，可能涉及会话表异常、策略匹配冲突、NAT/路由配置错误、硬件资源过载或软件bug。

策略日志记录勾选上了吗，大概率还是策略阻拦的事

建议您联系下400，分析设备日志看看。