深信服 aTrust（零信任）部署常见问题、风险与坑点 aTrust 分

深信服 aTrust（零信任）部署常见问题、风险与坑点

aTrust 分为**控制中心 SDPC + 代理网关 Proxy**两大组件；支持硬件一体机、虚拟机；部署模式：单臂旁挂（主流）、网关模式；替代传统 SSL‑VPN。下面按**架构部署、服务端 HA / 集群、客户端兼容性、业务访问、权限与准入、升级运维、迁移替换 SSL‑VPN**分类整理生产环境高频问题深信服。

一、架构部署层面问题（上线前期最容易踩坑）
1. 单臂旁挂部署（最常用）
1. **回程路由遗漏**
代理网关只能处理外网进来隧道流量；**内网业务服务器回包必须配置静态路由回指代理网关**，否则隧道 UP，业务访问不通，很多实施只做单向路由。

注意：不是默认网关，是明细网段路由。

2. 防火墙端口放通不全

- SPA 敲门 TCP 443；隧道 UDP 4430；集群心跳、数据库同步端口。
- 外网防火墙 NAT / 端口映射，**不要对代理网关报文做源 NAT**，会破坏 SPA 敲门源 IP 校验。

3. 虚拟 IP 池规划错误
多代理网关集群，**各代理网关虚拟 IP 地址池不能重叠**，IP 冲突用户拿不到隧道虚拟 IP，业务完全不通深信服。

4. 内网 DNS 问题
代理网关需要能解析所有内网业务域名；内网 DNS 服务器防火墙需要放通代理网关访问 DNS 端口。

2. 网关模式（串接）
- 串接在网络路径，设备故障会直接中断外网访问，生产环境尽量少用。
- 多线路场景，运营商线路 MTU 不统一，VPN 隧道大包丢包，建议 MTU 设置 1400。

3. 证书坑点

1. 导入国密证书**不能带证书链**，否则浏览器可访问、客户端无法登录；新版本才支持自动剥离证书链深信服。
2. 自签名证书终端未导入根证书，Windows/mac 客户端报证书风险，部分终端直接拒绝连接。
3. 证书过期，全部用户无法接入，**证书到期不会强告警，容易被忽略**。

二、HA / 集群高可用问题
1. **控制中心 SDPC 双机主备**

- 主备之间依赖心跳、数据库同步；心跳中断会脑裂，两台都变为主节点，用户登录异常、配置不一致。
- 用户目录同步（钉钉 / 飞书 / AD），脑裂状态下两边用户库不一致，账号权限错乱深信服技术...。
- 主备切换后，**会话不会保持**，所有在线客户端全部重连。

2. 代理网关 Proxy 集群多活
- 源 IP 会话保持：同一个外网源 IP 会始终调度到同一台代理网关，负载均衡效果差，大量用户集中单台代理网关，负载不均衡深信服技术...。
- 必须开启`时延+负载`选路策略，否则客户端不会自动选最优节点，部分节点压力过载，延迟高深信服。
- 控制中心与代理网关时间必须严格同步，时间偏差 SPA 敲门直接校验失败，用户无法登录。
重要：SDPC（控制中心）与 Proxy（代理网关）可以分开集群；**控制中心故障，已建立隧道的用户还能继续访问业务，但新用户无法登录**。

三、客户端兼容性问题（生产故障占比最高）
1. **驱动冲突（Windows）**
aTrust 安装内核网络驱动`aTrustNetFlt`，和 EDR、其他 VPN（AnyConnect、奇安信零信任、华三沙箱）冲突，现象：登录后本机断外网、DNS 解析超时、蓝屏、隧道无法建立深信服。
现象：登录零信任后，内网能访问，上不了公网；卸载恢复。

2. 信创系统兼容
麒麟 V10 开启 SecureBoot 安全启动，内核模块签名校验拦截 aTrust 驱动，客户端隧道启动失败。
UOS ARM 版本沙箱 UEM 功能支持不完善。

3. 安卓模拟器**不支持 aTrust APK**，会识别模拟器环境直接卡死 logo，不能用雷电、MuMu 模拟器运行移动端 aTrust，只能真机。

4. 特殊业务软件兼容
EDA、部分工业软件，与 aTrust 流量劫持驱动冲突，出现内存泄漏、程序卡死；需要配置进程排除列表，不走隧道引流深信服技术...。

5. 本地网段冲突
终端本地内网网段与零信任发布业务网段重叠，路由被隧道改写，本地局域网访问异常（访问共享文件夹、本地打印机异常）深信服技术...。

6. Mac 客户端
PF 防火墙规则被其他 VPN 清理，导致 DNS 解析异常；升级 macOS 大版本后，内核扩展被系统拦截，需要手动允许驱动。

四、业务资源访问故障
1. **Web 资源两种访问模式**
- 浏览器 SPA 无客户端模式：部分老业务、表单、上传下载存在兼容性问题；
- 隧道客户端模式：安装完整客户端，流量经过虚拟网卡。
很多项目误以为 aTrust 完全不需要客户端，复杂业务系统必须安装完整客户端。

2. 发布资源配置错误
代理网关与业务服务器之间防火墙 ACL 拦截，**客户端诊断提示资源连通异常**，但客户端本身隧道正常，流量故障发生在代理网关到业务服务器之间，不是用户终端问题深信服。
- 域名资源：代理网关 DNS 解析错误，导致部分业务间歇性打不开。

3. UEM 安全沙箱问题
- 沙箱内应用路径含中文，程序无法启动；沙箱文件隔离，文件丢失，服务端无备份；部分视频会议软件在沙箱内共享屏幕异常深信服技术...。

4. 资源权限下发
用户 / 用户组变更后，权限不会实时生效，需要重新同步用户目录；AD / 钉钉 / 飞书用户同步失败，用户看不到已发布资源。

五、身份认证、终端准入问题
1. SPA 敲门机制依赖**终端与服务端时间严格一致**，终端时间偏差几分钟，直接敲门失败，无法接入，与时区无关，只看绝对时间戳深信服技术...。

2. 多因素认证：短信、邮件、USBKey 对接配置错误，批量用户登录失败。

3. 终端准入检查：EDR、杀毒软件、系统补丁检查策略过严，大批量合规终端被拦截无法接入；策略太松失去防护意义。
4. 账号会话：同一账号多终端登录，会话抢占逻辑容易出现异常。

六、升级、运维与迁移（从 SSL‑VPN 迁移 aTrust）
1. 版本升级风险
- SDPC 控制中心升级，代理网关也要同步升级；版本跨度太大不能跨版本直接升级，需要迭代升级。
- 升级过程所有在线用户隧道全部断开，需要业务窗口。
- 升级后部分 API、VPN 对接参数会重置，Sangfor VPN/IPSec 对接需要重新配置深信服技术...。

2. 和 EasyConnect（SSL‑VPN）共存
- 不建议同一台终端同时安装 EasyConnect 与 aTrust，驱动互相冲突，网络异常。
- 迁移替换：旧 SSL‑VPN 的资源不能直接导入 aTrust，需要全部重新发布。

3. 授权问题
- 控制中心、代理网关、UEM 沙箱授权分开；授权过期，新用户无法接入，已在线用户会话超时断开。