深信服产品故障判断指引
深信服行为管理操作文档-11.0-最新版本
网卡的工作模式full 全双工，100Mb
网口收到的错误的 包和错误的帧数
查看网口ip
抓包工具的使用
（TCPDUMP）抓包的使用
将抓到的数据包下载到PC 机本地，用Sniffer或Ethereal， Wireshark等抓包软件打开 通过抓取的数据包，分析数据的通信是否正 常（是否有双向通信的数据，源和目标IP是 否正确等）
ቤተ መጻሕፍቲ ባይዱ
抓包工具的使用
注意事项：
1. 高级（TCPDUMP）抓包的过滤表达式使用的是Linux下的标准TCPDUMP
上网故障排除功能使用案例
1. 设置开启条件，开启实时拦截日志并直通。
为便于定位问题， 在内网找一台电 脑测试
同时开启数据直通
上网故障排除功能使用案例
2. 开启拦截日志并直通后，测试电脑打开网页操作，发现可以打开网页， 再到上网故障排除中刷新实时拦截日志，如下图：
通过这些日志，可发现浏览网站的请求被URL过滤 丢包了，需要检查上网权限策略中应用控制中的访 问网站的相关网站类型的配置。
上网故障排除功能介绍 命令控制台的使用 抓包工具的使用 其他排错工具的使用 深信服公司简介
SANGFOR AC
上网故障排除功能介绍
上网故障排除功能介绍
上网故障排除功能用于查询一个数据包在通过AC&SG设备时是被哪个 模块拒绝，是什么原因被拒绝。当用户上网出现故障时，便于快速定位 故障原因，也可用来测试一些规则是否生效 。 设置拦截日志过滤条件： 设置需要针对哪些IP地址，协议和端口开启拦截日志。默认开启所有 的拦截日志。 开启数据直通： 开启后，AC&SG上设置的上网策略将不生效，符合策略设置应该被 拒绝的数据包会被设备放行，同时会将符合策略设置应该被拒绝数据 包的情况以日志的方式显示出来
FortiGate基本故障排错
电话: (010)62960376
查看指定网络接口的速率及双工,数据收发信息 get hardware nic port4
3.4 MAC 地址表
查看 FortiGate arp 地址表
清除 FortiGate arp 地址表
北京市海淀区北四环西路 52 号中芯大厦 12 层
电话: (010)62960376
FortiGate 基本故障排错
版本 时间 作者 支持的版本 状态
1.0 2011 年 12 月 胡丹丹(ddhu@) FortiOS v3.X,v4.X 草稿
北京市海淀区北四环西路 52 号中芯大厦 12 层
电话: (010)62960376
目录
1. 目的 .............................................................................................................................. 4 2. 故障定位及信息收集 ................................................................................................. 4 2.1 故障定位............................................................................................. 4 2.2 故障信息收集 ..................................................................................... 5 3. FortiGate 信息收集..................................................................................................... 5 3.1 系统信息............................................................................................. 6 3.2 系统资源查看 ..................................................................................... 6 3.3 网络接口速率及双工 ........................................................................... 7 3.4 MAC 地址表 ........................................................................................ 8 3.5 路由表信息 ......................................................................................... 9 3.6 查看会话信息 ..................................................................................... 9 4. 数据的抓取及 debug ............................................................................................... 12 4.1 抓取数据包 ....................................................................................... 12 4.2 数据流 debug ................................................................................... 15 4.2.1 接口的管理服务未启用,或未匹配信任主机数据包被丢弃 ........ 15 4.2.2 策略动作拒绝,或命中隐含策略, 数据包被拒绝 ....................... 16 4.2.3 反向路径检查失败,丢弃数据包 ............................................... 16 4.2.4 会话经由 session-helper 处理 ............................................... 16 5. 常见场景故障分析 ................................................................................................... 16 5.1 异步路由........................................................................................... 16 5.2 反向路径检查 ................................................................................... 17
深信服产品维保 相关政策规定及说明-to-内部及协议渠道
1.0.目的明确我司产品产品维保相关规定，包括首次采购时购买产品维保及后续续保相关政策说明2.0.产品维保政策2.1一般情况下产品维保方式一般情况下以产品list价格的5%/年进行产品维保续保（协议渠道项目可享受渠道折扣）2.2 产品维保断保后的返修及续保政策2.2.1 客户在进行产品维保续保时如之前有断保情况，需先补齐断保费用再向后延保，对此做以下说明：产品维保作为一种延续性服务，同硬件产品使用时间及寿命有关，使用时间越长，其寿命越短，正常使用的风险越高，产品维保的延续越有必要。
因此我司需要保持产品维保服务延续性，同时以最具性价比的方式为客户提供保障；在客户再次选择产品维保服务时，我们将对硬件产品进行使用时间评估，若客户设备的产品维保服务未保持其延续性，将相应收取期间的断保费用。
2.2.2 对于产品维保断保客户，进行续保的处理方式当客户进行产品维保续保时，我司会根据此设备序列号查询历史订单确定最近一次产品维保过期时间距当前欲续保时间如超过1个月以上则需要进行断保费用补齐，补齐及续费标准如下：1、如续保时，设备维保断保180天以内，按照产品list价的5%/年进行补齐及向后续保。
2、如续保时，设备维保断保超过（含）180天，按照产品list价的8%/年进行补齐，再以5%/年向后续保。
3、补齐具体到月计算（不用具体到天），如断保时间不足整月，则计算至整月即可，例如20天，可免除补齐；79天，需补齐2个月；4、协议渠道项目可享受渠道折扣2.2.3 对于产品维保断保客户，设备故障后要求返修的处理方式1、先按照2.2.2要求完成续保的设备，即可享受正常在保返修处2、如客户执意仅进行单次返修，报价为产品list价格的8%（不享受渠道协议折扣），返修后有3个月保障期2.3 产品维保或使用年限超过5年的设备处理2.3.1 原则上我司建议产品硬件有效保修期不超过5年，从两方面进行说明：1、超过5年的硬件设备因内部配件老化问题，无法承诺保障性维修（即维修后再次出现故障的几率很高，可用周期较短），从而会产生客户较高的使用风险及我司过高的维护成本。
如何检查深信服设备性能
使用SANGFOR设备排除网络故障的方法如果贵公司的网络环境出现异常，请您先按照下面步骤排查：一、测试从内网PC到sangfor设备内网口(LAN口)延迟是否正常：测试方法1：从PC上ping设备lan口地址观察延迟是否大于10ms。
如下图：如果ping设备lan口延迟比较大，或者有丢包，请先检查内网是否有攻击行为，检查内网交换机是否正常工作，或者尝试更换PC接交换机的网线和交换机接sangfor设备lan口的网线。
测试方法2：从内网PC到公网延迟和丢包是否正常，如下图：测试方法3：从sangfor设备上ping公网测试是否有延迟和丢包，可以通过网关升级客户端登陆sangfor设备上，ping公网地址，观察延迟和丢包情况。
网关升级客户端下载地址：/download/product/other/SinforUpdate.v4.0.exe安装成功后，打开网关升级客户端：开始菜单—所有程序—《Sangfor Gateway Findme Client》—《网关升级与备份系统》，打开界面如下：登录升级客户端，点击『系统』—『直接连接』，在网关IP处输入设备IP地址，登录密码默认为：dlanrecover，登录后如下图所示：下面从设备上ping公网测试，以ping202.96.137.75为例，点击『工具』—ping，输入目标IP地址，点击开始，结果如下图所示：注意：通过网关升级客户端每次只能ping一个包，可以多次测试，对比从设备上ping公网和内网ping公网的差别。
二、检查设备是否有错误帧或丢包问题通过网关升级客户端，查看接口信息，检测接口是否有错误帧或丢包情况来判断问题：登录网关升级客户端，方法请参考步骤一，登录后点击『工具』—『查看网络配置』,观察设备使用网口是否有错误帧或丢包，如下图所示：Sangfor设备网口对应关系：eth0<>LAN口，eth1<>DMZ口，eth2<>WAN1口，eth3<>WAN2口，以此类推。
深信服产品故障判断指引
Adesk产品故障判断指引
序号
1
2 3 4
故障现象
使用过程中，频繁死机或宕机
设备无法正常升级或则升级异 常 使用过程中，总是无故重启 adesk启动时，系统卡死无法 正常启动
处理办法
1.确认下是否有外设导致宕机或死机，可以尝试拔掉其他外 设再进一步确认。 2.确认客户处供电情况是否稳定； 3.确认软件版本，建议升级到4.5或更高版本； 4.是否通过瘦客户机观看高清视频； 5.确认瘦客户机是否温度过高； 6.如排除以上情况后，请联系深信服客服中心处理。
ห้องสมุดไป่ตู้口故障问题处理方法
网口灯不亮，首先使用交叉线对接同一台设备的非BYPASS口（AC设备接千兆交换机或PC,防止 恢复默认配置），看设备的网口灯是否有亮。同时需要注意，万兆网口，一定不能使用千兆模块， 如果出现误用，需要重启设备，重启设备仍无法解决，请联系深信服客服中心处理。
如果是千兆网口，网口灯数据灯和传输灯都为一样颜色的则正常，如果一个橙色一个绿色，则说 明主板没有正常加载，需要联系深信服客服中心处理；如果是百兆网口的数据灯和传输灯颜色不 一致则为正常。
8 显示很暗，或则有水波纹，变 1.检查VGA线与VGA接口是否松动；
色等
2.确认VGA线长度是否过长（一般不要超过8M）
3.将显示器模式调整为自适应(auto)模式；
4.如排除以上情况后，请联系深信服客服中心处理。
Adesk产品故障判断指引
序号
故障现象
9 各IO接口使用问题(如USB、 COM口等)
第二种现象： 条件①：已知对端设备是百兆交换机且锁定了全/半双工工作模式； 条件②：深信服设备也是百兆口。
深信服设备排除策略使用说明
查看拒绝列表查看拒绝列表使用说明：当内网的数据被设备拦截，且无法判断改数据是被AC哪个功能模块所拦截时，开启拒绝列表。
开启拒绝列表后可以通过该列表来确定，数据被设备什么模块拦截的。
此功能多用于排错，不熟悉网络者请联系深信服客服人员来处理。
一、开启拒绝列表的方法：网关日志与故障排除—策略故障排除中，选择开启拒绝列表，或者开启拒绝列表并直通。
两者的区别是后者开启后，所有经过AC的数据都将被放通，以检查数据被拦截是否与深信服设备有关。
1.开启拒绝列表：如下图，点击开启拒绝列表（标注1），便可以看见开启成功的消息（标注2）2.开启拒绝列表并直通：如下图，点击开启拒绝列表并直通（标注1），便可以看见开启直通成功的消息（标注2）注意：1.开启拒绝列表并直通后，设备将所有通过的数据都放行，而在拒绝列表中显示的是数据流将在哪些模块被设备拦截。
2.若以非管理员身份登陆，则看不见“开启拒绝列表并直通”这个选项。
二、查看拒绝列表的方法：在网关日志与故障排除－策略故障排除－拒绝列表－点击查看，弹出网页即为拒绝列表，如下图： 若弹出的页面被拦截，可以输入地址http://设备LAN口IP/droplist.htm以手动查看。
拒绝列表的Action的解释说明详见附表。
三、定义拒绝列表开启条件：在默认情况下，在拒绝列表中查看到的是被设备所拦截的所有条目，数据量很大。
但是只有第一个被设备拒绝丢弃的包才会记录被哪个模块所丢弃的，为了保证重要的信息条目不被冲掉，此时可以通过设置开启条件来过滤掉某些无关的条目，达到针对性查看指定的数据。
配置方法：1.开启条件设置：勾选设置开启条件，随之该条目上会显示出如下图的大红框。
2.配置开启条件：可根据数据的源IP、目标IP、数据协议类型来定义开启条件。
其中数据源、目标IP可以为所有IP，也可以为指定的IP地址。
而协议类型除可以选择所有协议外，还可以选择这四种情况的一种：TCP协议、UDP协议、ICMP协议以及其他协议。
深信服全系列产品手册
目前很多组织都面临 着这样的挑战。
25 29 33 37
IPSec VPN
由于某些行业的特殊性，需要一种非常安 全的方式达到异地网络的互联， IPSec VPN 正是基于这样的需要而出现，可实 现异地机构快速组网、大型专网中数据安 全 加 密 、 行 业 专 网 的V P N延 伸 、 专 网 单 一 链路的稳定备份等多重价值。
通过部署AD产品，最高人民法院的门户网站实现了内外网用户的流量分担及服务器的智能负载均衡， 这不仅提升了 海量用户的访问速度和稳定性，还最大程度上改善了服务器的利用效率，提高了IT投资回报。
深信服公司
市场咨询免费热线：800 830 9565 深圳市南山区科技园科发路8号金融基地2栋4楼
邮 编：518052
电 话：0755-26581949 传 真：0755-26581959
邮 箱：market@
技术支持免费热线：800 830 6430 科技中二路深圳软件园十二栋501室 邮 编：518052 传 真：0755－86336514 邮 箱：support@
上网优化 SG
海量的互联网资源与组织有限的网络带 宽之间的矛盾由来已久，尤其近年互联 网的高速发展使得内网用户渴望快速上 网的诉求与日俱增，上网优化网关这一 概念也应运而生。
流量管理 BM
信息化建设的深入以及信息系统的普 及，使得组织机构网络所承载的数据与 内容变得复杂与多元化，同时组织业务 发展对网络质量的要求与网络应用日益 丰富导致的带宽瓶颈问题之间的矛盾日 趋严峻。
商业智能分析
A D产 品 可 统 计 访 问 用 户 的 时 间 、 地 域 分 布 特 性 以 及 用 户 的 应 用 访 问 偏 好 ， 为 企 业 业 务 运 营 挖 掘 更 多 的 用 户 特 征信息，以支撑商业决策。
深信服上网行为管理-常见问题排错指导
服务器上测试本机的 810端口是否通
数据中心同步失败
服务器未监听810端口【开始】-【管理工具】-【服务】中检查服务“Sangfor Data Center”（对应datacenter.exe进程）状态是不是没有启动。
右键设置该服 务的属性，服 务”。
如果本机测试监听端口成功则检查AC和服务器之间是否有其他网络设备阻止了 TCP810端口的访问。
虽然也可以把测试电脑的ip地址填到设备的排除ip里看故障是否修复但是防火墙觃则对排除ip还是生效的所以还是建议用开启拦截日志并直通来排除和定位问题如果开启拦截日志并直通后故障恢复那么可以定位问题是由于acsg设备的策略引起的通过查看拦截日志找到被拒绝数据的模块修改策略
深信服上网行为管理 常见问题排错指导
规则库更新不了
规则库更新不了
AC部署在网络当中，应用识别是基础，应用识别为后面认证，审计和控制等 模块正常工作提供保障。如果规则库太老，无法自动更新，则会导致设备一系 列异常。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
指引说明
故障现象及判断方法 故障判断常见问题
内容简介
指引说明
故障现象及判断方法 故障判断常见问题
深信服产品故障判断指引覆盖目前市场销售产品的故障判断 方法，通过指引能够有效的判断产品是否出现硬件故障需要 返厂维修。 覆盖产品包括：AC、AF、SSL VPN、IPSEC VPN、WOC、 AD、adesk 覆盖故障现象包括：无法通电、告警灯常亮无法登录系统、
告警灯常亮，或 无法登录设备
请直接联系深信服客服中心并说明情况
联系深信服 客服中心
是
通过交叉线短接设备 任意两个网口(AC设备 接千兆交换机或PC,防 止恢复默认配置)
否 能否接 显示器 否 尝试加交换机解 决兼容性问题
Байду номын сангаас
网口ACT 和LINK灯 是否都亮
是
通过manage口、 子接口或findme工 具尝试是否能正常 登录 是
Adesk产品故障判断指引
序号
11
故障现象
使用adesk按电源键无法开机
处理办法
1.确认客户处供电情况是否稳定； 2.确认产品标配电源线是否正常，可尝试更换标配电源线测 试； 3.如排除以上情况后，请联系深信服客服中心处理。 1.确认客户显示器是否存在问题，可尝试更换显示器测试； 2.如排除以上情况后，请联系深信服客服中心处理。 1.尝试拔掉电源，等待1分钟后再插上电源并开机，确认是否 正常； 2. 如排除以上情况后，请联系深信服客服中心处理。 1.出现问题后尝试重启adesk确认是否可以解决； 2.如排除以上情况后，请联系深信服客服中心处理。
高端设备出现ALARM灯长亮时，可以通过看STATUS灯进一步确认：
如果STATUS橙色灯长亮或者狂闪的时候，此时可能为硬盘自检，则需要等待设备自检完成， 此时不要直接断电再重启设备，这样容易损伤设备硬盘，建议外接显示器或者通过PC的超 级终端接设备console口，联系深信服客服中心做进一步判定。 如果ALARM灯长亮同时STATUS灯不亮，这个说明是还没有进系统，设备可能卡在BIOS自 检或者将要进系统处，建议外接显示器或者通过PC的超级终端接设备console口，联系深信 服客服中心做进一步判定。
方法二：通过reset进入Recovery界面，然后选择reset initial system rom，重新安装一次rom后，再测试。（4.3R1后添加的功能，只有当 rom文件存在且未损坏时有效），如下图：
Thank you!
12 13
adesk VGA显示偏色严重等 adesk 断电后再来电无法启动
14
升级后出现sdcard只读
Adesk产品故障判断指引
序号
15
故障现象
系统异常，白屏、黑屏，或是卡在 Sangfor Logo界面，无法进行配置 等现象
处理办法
方法一： 通过reset进入Recovery界面，然后选择wipe data/factory reset->Yes ---- delete all user data，格式化用户数据分区的数据， 然后重启测试，如下图：
如果满足如上3个条件，此时需要确认，此网线是否为直通（平行）网线。（个别平台设备在锁定百兆工作模式后，
不支持线序反转功能） 解决办法：如果是直通（平行）网线，则需要更改成交叉网线或者中间加交换机解决。如仍无法解决，则联系深 信服客服中心处理。
网口兼容性问题判断方法 当出现设备网口丢包、网口错误帧不停增加等疑似网口兼容性问题时，请按照如下方法判断：
Adesk产品故障判断指引
序号
1
故障现象
使用过程中，频繁死机或宕机
处理办法
1.确认下是否有外设导致宕机或死机，可以尝试拔掉其他外 设再进一步确认。 2.确认客户处供电情况是否稳定； 3.确认软件版本，建议升级到4.5或更高版本； 4.是否通过瘦客户机观看高清视频； 5.确认瘦客户机是否温度过高； 6.如排除以上情况后，请联系深信服客服中心处理。
网口兼容性问题判断方法 当出现设备网口丢包、网口错误帧不停增加等疑似网口兼容性问题时，请按照如下方法判断：
第一种现象： 条件①：已知对端设备是百兆交换机且锁定了全/半双工工作模式；
条件②：深信服设备为千兆口，自动协商（auto）时，协商成半双工工作模式，且PING时会有丢包，但如果
把深信服设备网口锁定成全/半双工时，我端设备网口灯熄灭，无法连接； 条件③：中间增加交换机可以正常工作。
网口故障、网口兼容性等问题。
产品无法通电
设备无法通电
拔掉电源4-5秒，更换
电源插排，做以下操作
是否两个
电源开关
是
先按下硬开关，再按下 软开关(弹性开关)，再 开机
否
故障返修
否
设备加电， 确认是否 正常启动
是
问题解决
告警灯(alarm)常亮，或无法登录设备情况基础排查
【注意】如因导入配置后导致的故障，
2
设备无法正常升级或则升级异 常
使用过程中，总是无故重启 adesk启动时，系统卡死无法 正常启动
1.确认是否网络问题导致； 2.确认是否配置错误导致无法升级； 3.如排除以上情况后，请联系深信服客服中心处理。
1.确认客户处供电情况是否稳定； 2.如排除以上情况后，请联系深信服客服中心处理。 请联系深信服客服中心处理。
LAN口无法登录的处理方法
LAN口IP被配置成了10.111.222.34/30，导致无法用10.111.222.33地址登录，需要尝试接 DMZ口或者WAN口登录。
如果通过Findme搜索不到LAN口IP，则可能LAN口被交换到其他网口（尤其是有光口的设
备），所以接线的口不是正确的LAN口，需要尝试换其他网口接线测试。 如果其他网口也无法搜索到LAN口IP，则可能网口损坏，请参考《网口故障问题处理方法》进 行处理。
是否登 录设备 是
否
故障返修
联系深信服 客服中心
是否manage口 地址在其他网 口测通 是
否
问题解决
联系深信服 客服中心
告警灯(alarm)常亮，或无法登录设备—IPSEC VPN小硬件
无法登录设备 (IPSEC VPN小硬件)
1、重启一次设备； 2、PC单机接设备LAN口，配与LAN口同 网段IP，通过ping和findme方式测试； 3、ping和telnet DMZ或WAN口的 1981端口，获取webserver监听端口， 再通过监控端口尝试web控制台登录； (在DMZ或WAN口有固定IP的情况下测 试，目的是防止配置错误web端口导致无 法登录)
第二种现象： 条件①：已知对端设备是百兆交换机且锁定了全/半双工工作模式；
条件②：深信服设备也是百兆口。
如果满足以上两个条件，接上设备，我端设备锁定工作模式和速率后，也无法协商，需要和客户确认连接网线是 否为直通（平行）网线。
解决办法：如果是平行网线，请先更换成交叉网线后确认是否可以解决。如仍无法解决，则联系深信服客服中心
7
使用过程中，经常掉线
8
显示很暗，或则有水波纹，变 色等
Adesk产品故障判断指引
序号
9 10
故障现象
各IO接口使用问题(如USB、 COM口等) 设备开机能上电，但是显示器 没有显示
处理办法
1.确认线缆、连接是否正常； 2.如排除以上情况后，请联系深信服客服中心处理。 1.确认显示器本身是否故障； 2.确认显示器与VGA线之间连接是否正常； 3.如果瘦客户机有IP地址，则尝试ping 其IP测试是否通，如 果能ping通，则可能与显示器存在兼容问题，请联系深信服 客服中心处理； 4.确认显示器是否有背光，如果有，请进入Recovery界面重 装ROM，有两种处理方法： 方法一：通过reset进入Recovery界面，然后选择wipe data/factory reset->Yes ---- delete all user data，格式 化用户数据分区的数据。 方法二：reset进入Recovery界面，然后选择reset initial system rom，重新安装一次rom后，再测试。(4.3R1后添加 的功能，只有当rom文件存在且未损坏时有效） 5.如排除以上情况后，请联系深信服客服中心处理。
是否登 录设备 否
是
问题解决
是
1、换网线 2、换PC直连 3、增加交换机解决兼容性问题 是否登 录设备 否
是
开机10分 钟能否正 常登录 否
故障返修
高端设备告警灯(alarm)常亮故障判断方法
2个BYPASS 指示灯
Status灯
alarm灯
power灯
LOGO灯
高端设备告警灯(alarm)常亮故障判断方法
否
参照各产品线无法 登录的排查方法进 行处理是否可以正 常登录 是
否
故障返修
故障返修
问题解决
告警灯(alarm)常亮，或无法登录设备—AC/SSL VPN/WOC/AF产品线排查
无法登录设备 (AC/SSLVPN/WOC)
能否接显示器或 console口(波特 率115200) 是
否
步骤1： 重启两次设备，再通过PC分别直连 设备LAN、DMZ或manage口，配 与网口同网段IP，登录web控制条， 或分别尝试telnet443、51111、 22345端口
是否登 录设备 否
是
联系深信服 客服中心
联系深信服 客服中心
开机等待1小时， 再重复步骤1，是 否正常登录设备
是
问题解决
否
故障返修
告警灯(alarm)常亮，或无法登录设备—AD产品线排查
无法登录设备(Ad)
能否接显示器
否
是
1、开机等待10分钟，如问题依旧， 则重启一次设备，再通过PC分别直 连其他网及manage口，配置与网 口同网段IP进行ping测试； 2、如问题依旧，将PC配置与 manage口同网段IP，再分别直连其 他网口进行ping测试(目的确认管理 口是否有交换到其他网口)