| AF版本:8.0.6 
 
    一、故障现象    不同PC终端,间歇性断网,然后隔几分钟、十几分钟后就又好了。这些终端分布广泛,分布在不同的楼层的接入交换机,所属网段也很广泛,有1、3、5等几个网段。 
   二、网络环境   AF+核心交换机+接入交换机+PC终端 
    三、排查    1、确认故障范围。    客户反馈从4月1日更换AF设备后,有数10个终端报故障,故障现象一致,时间也不固定。范围比较广。 
    2、从终端到网关逐导排查。    1)发现故障终端后,先ping网关,没有问题;再ping核心交换机上联口,没有问题;再ping防火墙的下联口,无法ping通。    2)登录核心交换机,尝试ping防火墙下联口,没有问题。    3)在同一个交换机下,发现直连交换机的PC没有问题,而PC连接无线AP有问题。登录无线AP,从AP去ping防火墙的下联口,无法ping通;从防火墙往回ping无线AP的上联口,可以通。    4)抓包    路径【系统】-【排障】-【抓包取证】,抓包。    发现AF接收到终端发的数据包,但没有回应。 
    5)将无线AP的上联口IP加入放行名单。故障排除。 
    6)检查AF设备策略,发现配置了内网到外网的DoS/DDoS防护策略。    关闭该策略即可。因为AP下连终端很多,当其访问连接数或请求数超过阈值后,会触发DoS/DDos防护策略,导致该AP下的所有终端无法联网。 
 
    注意:如果内网到防火墙本机之间是SNAT的部署环境,请勿启用此防护策略! 
 
    四、其他    1、从标准版本AF7.2开始的SSL VPN 支持移动客户端EASY CONNECT软件登陆,如果版本低于AF-7.2,需要使用IE浏览器登录。    2、AF配置双向地址转换的源区域和目的区域一般一致。如果是内网以公网IP访问内网的服务器,则双向地址转换的源区域和目的区域均为LAN。 |