EASY CONNECT 连接服务器时网络请求超时或返回 502/504 错误

Question

EASY CONNECT 客户端通过 SSL VPN 隧道访问内网资源时，常出现 HTTP 请求超时（如浏览器卡在“正在连接…”）或返回 502 Bad Gateway / 504 Gateway Timeout 错误。该问题并非客户端本地网络直连失败，而是隧道已建立但应用层请求无法被网关后端服务（如SSL VPN网关、反向代理或真实业务服务器）正常转发或响应。典型诱因包括：① 网关设备（如深信服AD/AC/SSL设备）的HTTP连接池耗尽或后端服务健康检查异常；② 隧道MTU设置过大导致TCP分片丢包，引发HTTPS握手或长连接中断；③ 客户端DNS解析走本地而非隧道内DNS，造成域名解析失败或指向错误IP；④ 网关与后端服务器间存在防火墙策略限制、会话超时（如keep-alive时间不匹配）或负载均衡器健康检查失败。排查需结合客户端日志、网关审计日志及后端服务监控，优先验证隧道内DNS解析、telnet后端端口连通性及HTTP响应头完整性。

Answer 1

```html

一、现象层：HTTP请求卡顿与网关错误码的表征识别

当EASY CONNECT客户端成功建立SSL VPN隧道后，用户访问内网Web应用时频繁出现浏览器长期显示“正在连接…”、页面空白或直接返回502 Bad Gateway（上游代理/网关无法从后端获取有效响应）与504 Gateway Timeout（网关等待后端响应超时）。该现象本质是TLS隧道已通，但HTTP事务链路在应用层断裂——非网络层连通性问题，而是服务转发路径中的某环节失能。

二、协议栈分层诊断：从L3到L7的逐层验证路径

• L3/L4连通性：使用telnet <内网服务IP> <端口>或nc -zv <IP> <Port>验证隧道内可达性（注意：必须在EASY CONNECT已连接且路由注入生效后执行）；
• L5/TLS握手：用openssl s_client -connect <FQDN>:443 -servername <FQDN>检查SNI与证书链是否正常；
• L7语义完整性：通过curl -v --resolve "example.internal:443:<内网IP>" https://example.internal捕获完整HTTP头与响应体，确认Content-Length、Connection: keep-alive、Transfer-Encoding等字段无异常截断。

三、核心诱因深度剖析与关联证据链

诱因类别	典型日志线索	可观测指标	根因定位命令/工具
① 网关HTTP连接池耗尽	深信服SSL设备审计日志含"http_conn_pool_full"或"backend_no_available_server"	设备监控中HTTP Active Connections持续≥95%阈值	show sslvpn http-proxy status（深信服CLI）
② 隧道MTU导致TCP分片丢包	Wireshark抓包显示大量TCP Retransmission、ICMP Fragmentation Needed或SSL/TLS handshake timeout	隧道接口ifconfig tun0显示MTU=1500，而实测路径MTU<1400	ping -M do -s 1372 <内网网关IP>（逐步递减payload定位MTU上限）

四、DNS解析路径治理：隧道内DNS劫持与分流策略

EASY CONNECT默认启用DNS Split Tunneling，但若未正确配置DNS服务器推送或客户端系统DNS缓存污染（如Windows ipconfig /flushdns未执行），将导致域名解析走本地ISP DNS，返回公网IP或NXDOMAIN。验证方法：
nslookup internal-app.corp && cat /etc/resolv.conf | grep nameserver（Linux/macOS）
nslookup internal-app.corp && Get-DnsClientServerAddress -AddressFamily IPv4（PowerShell）
关键修复项：在SSL VPN策略中强制下发内网DNS（如10.10.10.10），并启用DNS Over HTTPS (DoH)规避UDP 53拦截。

五、会话生命周期协同：Keep-Alive与防火墙状态表超时对齐

graph LR
A[客户端发起HTTP Keep-Alive] --> B[SSL VPN网关设置keepalive_timeout=75s]
B --> C[负载均衡器idle_timeout=60s]
C --> D[后端Nginx keepalive_timeout=30s]
D --> E[防火墙会话老化时间=90s]
style B stroke:#ff6b6b,stroke-width:2px
style C stroke:#4ecdc4,stroke-width:2px
style D stroke:#45b7d1,stroke-width:2px

上述不匹配将导致中间设备单向关闭连接（如LB先超时断开，客户端仍发包→RST→502）。解决方案：全链路统一keepalive_timeout ≥ 120s，防火墙会话老化设为≥ 180s，并在网关侧启用TCP Fast Open与HTTP/2 connection reuse。

六、生产级排查清单（Checklist）

1. ✅ 检查EASY CONNECT客户端状态页“网络连接”中是否显示“已连接”且分配了虚拟IP（如10.254.1.100）；
2. ✅ 执行tracert -d internal-app.corp确认路由经tun0而非物理网卡；
3. ✅ 抓取客户端tun0接口进出包，过滤http or tls，观察SYN→SYN-ACK→ACK→HTTP GET是否完整；
4. ✅ 登录深信服SSL设备Web控制台，进入【监控】→【SSL VPN会话】→筛选目标用户，查看“HTTP代理状态”列是否为“运行中”；
5. ✅ 在网关后台执行tcpdump -i any port 80 or port 443 -w sslvpn_debug.pcap，复现问题后分析重传与RST模式；
6. ✅ 检查后端服务日志中是否存在"connection reset by peer"或"upstream prematurely closed connection"；
7. ✅ 验证网关与后端间是否存在安全组/ACL限制源端口范围（如仅允1024–65535，而SSL VPN随机端口超出）；

```