深信服防火墙常见问题FAQ

排查步骤：

1. 检查WAN口是否获取到IP地址【网络】→【接口】→【物理接口】
2. 检查默认路由是否存在【网络】→【路由】→【路由表】
3. 检查源NAT策略是否配置【策略】→【NAT策略】
4. 检查安全策略是否允许LAN到WAN的访问
5. 在PC上ping 公网IP（如 8.8.8.8），测试网络连通性
6. 在PC上ping 域名（如 www.baidu.com），测试DNS解析

常见原因：

• WAN口未获取到IP（检查网线、运营商线路）
• 默认路由缺失（手动添加 0.0.0.0/0 指向WAN口网关）
• 源NAT策略未配置（内网IP未转换为公网IP）
• DNS服务器配置错误（建议使用 114.114.114.114 或 8.8.8.8）

排查步骤：

1. 检查安全策略是否拦截（查看【监控】→【安全日志】）
2. 检查应用控制策略（可能阻止了特定应用）
3. 检查URL过滤策略（可能加入了黑名单）
4. 尝试关闭"入侵防御"功能测试（可能是误报）
5. 检查MTU设置（建议设置为 1492 或 1450）

解决方案：

• 在【对象】→【应用库】中，将需要访问的网站加入白名单
• 在【策略】→【安全策略】→【高级选项】中，关闭对应策略的"应用控制"
• 调整MTU值【网络】→【接口】→【物理接口】→【高级选项】

排查步骤：

1. 检查防火墙CPU和内存使用率【监控】→【系统状态】
2. 检查接口带宽使用率【监控】→【流量监控】
3. 检查是否开启了过多安全功能（IPS、AV、应用控制等会消耗性能）
4. 使用【系统】→【数据包捕获】抓包分析

优化建议：

• 关闭不必要的安全功能（如内网互访不需要IPS）
• 启用硬件加速（如果设备支持）
• 调整策略顺序（高频匹配的策略放前面）
• 升级设备固件到最新版本
• 如果性能不足，考虑升级到更高型号的防火墙

排查步骤：

1. 检查对端公网IP是否可达（在【系统】→【诊断工具】→【Ping】中测试）
2. 检查预共享密钥是否一致（两端必须完全相同）
3. 检查IKE版本是否匹配（v1或v2）
4. 检查加密算法和认证算法是否一致
5. 检查本端和对端子网配置是否镜像（本端子网=对端子网，对端子网=本端子网）
6. 查看【VPN】→【日志】中的错误信息

常见错误：

• no proposal chosen：加密算法不匹配
• invalid HASH：预共享密钥错误
• no route to peer：到对端IP的路由不可达

排查步骤：

1. 检查SSL VPN功能是否已启用【VPN】→【SSL VPN】→【全局配置】
2. 检查用户是否有权限【VPN】→【SSL VPN】→【策略管理】
3. 检查用户账号状态【对象】→【用户管理】
4. 检查端口是否开放（默认4430，可能被运营商封禁）
5. 尝试更换端口（如改为 443）

客户端连接地址格式：

• 如果SSL VPN端口是4430：https://防火墙公网IP:4430
• 如果SSL VPN端口是443：https://防火墙公网IP

排查步骤：

1. 检查策略是否"启用"（策略前面的勾要打上）
2. 检查策略顺序（策略是从上往下匹配，第一条匹配即停止）
3. 检查源/目的区域、地址、服务是否配置正确
4. 在【监控】→【会话列表】中查看流量是否匹配到策略
5. 使用【系统】→【数据包捕获】抓包分析

技巧：

• 在策略中开启"记录日志"，然后在【监控】→【安全日志】中查看是否匹配
• 使用【监控】→【策略命中统计】查看策略匹配次数

排查步骤：

1. 检查目的NAT策略是否配置【策略】→【NAT策略】→【目的NAT】
2. 检查安全策略是否允许WAN到DMZ的访问（NAT转换后还需要安全策略允许）
3. 在【监控】→【会话列表】中查看是否有会话建立
4. 在内网PC上测试访问服务器（排除服务器本身问题）

解决方案：

1. 使用console线连接设备console口
2. 重启设备，在启动过程中按 Ctrl+B 进入bootmenu
3. 选择"跳过当前配置启动"（不同型号可能不同）
4. 设备启动后，使用默认密码登录
5. 导出原配置，修改密码后再导入

备份配置：

1. 进入【系统】→【配置管理】→【配置备份】
2. 点击"备份当前配置"
3. 下载配置文件到本地（文件后缀为 .cfg）

恢复配置：

1. 进入【系统】→【配置管理】→【配置恢复】
2. 上传之前备份的配置文件
3. 点击"恢复配置"并重启设备

最佳实践：

• 每次重大配置变更前，务必备份配置
• 定期备份配置（建议每周一次）
• 保留多个版本的配置备份

排查步骤：

1. 检查HA接口是否连接正常（建议使用独立HA接口）
2. 检查两台设备的软件版本是否一致
3. 检查HA配置是否一致（组ID、优先级等）
4. 查看【高可用性】→【HA状态】中的详细信息

注意事项：

• 主备设备的硬件型号必须一致
• 主备设备的接口配置必须一致
• 建议使用专用HA接口（不要用业务接口做HA）