设备无法上线排查方法

现象描述

可能原因

• 设备与客户内网网关之间网络不通。
• 客户内网DNS不能正常解析。
• 设备注册公网端口被限制。
• 设备API用户被删除。
• 存在多余的NAT策略。

处理步骤

1. 登录标准页面：https://192.168.0.1:8443/default.html。
2. 检查default策略的动作是否为“允许”，如果不是，修改default安全策略为允许，方便后续执行ping操作。
   图1 安全策略

   

3. 检查网关是否配置正确。
   1. 参考如下操作，进入系统视图。
      图2 进入系统视图

      

   2. 通过ping检查设备到客户网络内网关是否通畅。

      ping 10.1.1.254 //假设网关IP地址为10.1.1.254，检查时请更换为局点实际网关IP地址。

      如果ping不通，请检查网线连接，否则请执行4。

4. 检查设备在客户网络内DNS解析是否正常。
   1. 执行命令ping mgt.seccloud.huawei.com

      如果ping不通，请再ping DNS的IP地址，检查与DNS的网络是否能正常通信。

   2. 如果与DNS的网络不能正常通信，选择“网络 > DNS > DNS”，在“DNS服务器”页签中配置正确的DNS服务器，缺省为114.114.114.11，否则请执行5。
5. 检查设备注册公网端口连通性是否正常。

   执行命令telnet mgt.seccloud.huawei.com 10020，有ssh证书交换字样，说明连通性正常。

   如果连通性异常，请检查客户侧的安全设备是否做了端口访问限制，否则请执行6。

6. 检查API用户是否被删除。
   1. 选择“系统 > 管理员 > 管理员”，检查设备缺省帐号huawei用户是否被误删除。
   2. 如果被删除，请在CLI控制台重新配置，否则请执行7。

      <sysname> system-view 
      [sysname] aaa
      [sysname-aaa] manager-user huawei
      [sysname-aaa-manager-user-huawei] service-type api
      [sysname-aaa-manager-user-huawei] service-type 15

7. 检查NAT策略。

   检查设备是否是二层部署，如果是二层部署，检查是否误配置了NAT策略，检查是否除了default外还有其他NAT策略，删除default外的NAT策略，如果没有解决，请联系华为技术支持工程师。