不管是企业运维人员日常维护站点间IPsec VPN，还是普通用户使用合规的SSL VPN远程接入办公内网，经常会遇到隧道协商失败、连通后资源无法访问的问题，这类故障九成以上都和防火墙规则配置错位直接相关。本文分享的VPN与防火墙规则：基础检查方法全部来自一线运维的落地操作经验，不需要复杂的付费工具就能完成大部分常见问题的定位。
检查前的基础环境确认前提
正式开始规则检查之前，首先要明确当前使用的VPN部署类型，是站点到站点的IPsec VPN，还是面向移动用户的SSL VPN，不同类型VPN需要放通的协议和端口完全不同，没有先理清类型就盲目调整规则，很容易做无用功。
接下来要先确认当前防火墙的默认处理策略，是默认拒绝所有未明确放通的流量，还是默认允许所有流量，防火墙规则的优先级是从上到下匹配，很多新手排查时只看自定义放通规则，完全忽略排在更上方的拒绝规则，也没考虑默认策略的兜底作用，浪费大量排查时间。
VPN隧道建立阶段的防火墙规则检查
针对IPsec VPN场景，首先要检查防火墙是否放通了UDP 500、UDP 4500两个端口的双向通行权限，同时还要确认ESP协议本身的通行权限，不少运维人员只关注TCP/UDP类的端口规则，完全忽略ESP是独立的三层协议，不属于任何端口范畴，很容易漏配对应的放行规则。
运维人员现场实操排查VPN与防火墙规则相关配置故障
操作时可以在VPN两端的防火墙同时开启对应流量的抓包，观察IKE协商报文的交互状态，如果发现本地发出的协商报文始终没有收到对端的回应，先排查本地防火墙有没有丢弃出方向的协商报文，再确认运营商侧没有封禁对应端口，旋风加速器最后检查对端防火墙的入站规则配置。
如果是SSL VPN场景，优先核对防火墙对应接入服务端口的放通状态，很多企业会把SSL VPN的后台管理端口和用户接入服务端口分开配置，不少人检查时只核对了管理端口的规则，完全漏掉了普通用户接入的服务端口，导致所有用户都无法正常拨入VPN。
VPN隧道连通后的转发规则校验
很多运维人员会遇到VPN隧道显示已经正常建立，但两端内网设备完全无法互访的问题，这类场景下的VPN与防火墙规则：基础检查方法，核心是核对不同安全域之间的访问控制策略。要确认VPN实例对应的安全域，和本地内网业务域的互访权限已经被明确放通。
接下来要检查NAT规则的排除配置，很多防火墙默认配置的源NAT规则，会把VPN返回的私网回程流量也做地址转换，旋风加速器导致对端内网设备收到的报文源地址不是预期的私网网段，直接把报文丢弃，这类故障可以通过查看防火墙的会话表，确认VPN流量有没有匹配到错误的NAT策略。
验证规则有效性的时候，可以从VPN对端的内网设备发起对本地内网网关的ping测试，同时在中间防火墙上开启会话日志记录，直接观察流量是在哪一条规则节点被丢弃，不要随意重启防火墙清空会话表，这类操作会直接清除故障现场，反而增加后续排查的难度。
常见检查操作的误区规避
不少人为了快速定位故障，会临时把防火墙的默认策略改成全部允许，这类操作会直接打破现有网络的隐私边界，把原本受保护的内网资源直接暴露在公网环境中，很多人排查完故障之后忘记改回默认拒绝的配置，会给整个内网带来极大的安全隐患。
还有很多人检查规则时只核对入站方向的配置，机场推荐完全忽略出站方向的访问限制，很多企业内网的终端自带防火墙，或者核心出口防火墙配置了陌生私网段的出站限制，哪怕VPN服务侧的所有规则都配置正确，终端侧的出站限制也会导致VPN连通后无法访问内网资源。
所有规则调整完成之后，要做双向的连通性验证，旋风加速器不仅要从VPN接入侧主动访问总部内网的常用业务服务，还要从总部内网主动发起访问VPN接入侧的内网设备，确认双向的规则都没有遗漏，避免出现单向连通的隐性故障。
