ipsec vpn用户访问内网问题现象排错

ipsec vpn用户访问内网问题现象排错

1、问题描述：

客户网络出口部署了AF，并开通了sangfor vpn移动用户授权，外网PC通过pdlan拨号与出口AF建立隧道，从而访问内网服务器，最近客户发现外网用户接入pdlan后，无法访问192.168.10.210的服务器，ping测试发现会通一个数据包，其他三个包都被丢弃了。然后在内网的PC去ping192.168.10.210确正常无丢包。但是ping同网段的其他服务器完全正常。

2、组网拓扑如下：

3、故障排错

首先，在出口的AF上进行ping，发现防火墙命令控制也是只通一个包，后续则被丢弃。于是在防火墙上进行全局排除尝试，故障依旧。然后开始定位下一级的核心防火墙，在核心的防火墙上ping发现正常，无丢包。最后在核心的防火墙上做排除，重新进行测试发现故障依旧。最后，排除了那么多设备还是无法解决，故将中心转向AC，二话不说，直接在AC上设置全局排除，测试发现正常。

4、故障分析

最后定位出来是由于AC引起的，原因是由于192.168.10.210的服务器是新增加的服务器，该服务器在AC上以IP作为用户名认证后被放到一个无任何外网访问权限的组中，所以服务器对外的回包被AC给拦截。

那么为什么会有一个包通呢，这个就是AC的应用识别功能了，AC在识别服务器的ping回包时，第一个数据包并不会拦截，AC设备需要收集一定的数据包来确认应用名称并随后进行拦截动作。故第一个包被AC放通，后续的包被AC拦截。

遇到过类似的。做的端口映射发现不通，发现这个服务器在无上网权限的组里，这个服务器的访问都被阻断了。。。

路过插眼，以后好找。

每天一学，水滴石穿，感谢分享