GlobalProtect-openconnect 连接成功但无法访问网络问题解析

问题现象

在使用GlobalProtect-openconnect连接企业网络时，用户遇到了一个看似矛盾的现象：连接过程显示成功完成，系统网络配置也正确更新，但实际网络访问却完全不可用。具体表现为：

1. 客户端日志显示认证和连接过程一切正常
2. 系统网络接口(tun0)正确获取了IP地址
3. DNS解析配置被正确更新
4. 能成功解析域名(包括内部和外部域名)
5. 能ping通解析出的IP地址
6. 但实际网络访问(HTTP/HTTPS等)完全不可用

深入分析

网络配置检查

通过检查系统网络配置，发现以下关键信息：

1. 网络接口(tun0)已正确建立，IP为10.167.223.75
2. 路由表中默认路由已指向tun0接口
3. DNS服务器被设置为企业内网DNS(10.8.204.17和10.9.204.17)
4. 域名解析工作正常，能正确返回内外网域名的IP地址

网络连通性测试

进一步测试发现：

1. 能成功ping通解析出的IP地址(包括内网gitlab服务器和外网网站)
2. 但dig +trace命令显示DNS递归查询失败
3. 浏览器无法访问任何网站

这种矛盾现象表明：基础网络层(ICMP)是通的，但传输层(TCP/UDP)可能被阻断。

问题根源

经过多次尝试和验证，发现问题根源在于网关对客户端操作系统的严格检查。具体表现为：

1. 网关会检查客户端报告的操作系统类型
2. 如果操作系统类型不符合预期，网关会静默阻断TCP/UDP流量
3. 但ICMP(ping)流量仍被允许通过
4. 这种静默阻断方式导致问题难以诊断

解决方案

解决此问题的关键在于正确配置客户端报告的操作系统类型：

1. 在连接时明确指定操作系统类型参数
2. 使用企业预期的操作系统类型(如Mac)
3. 命令示例：gpclient connect portal.example.com --os Mac

技术启示

1. 企业网络常会实施严格的终端安全检查
2. 静默阻断是一种常见但难以诊断的安全策略
3. 当遇到"连接成功但无法访问"的情况时，应考虑：
   • 终端合规性检查
   • 流量选择性阻断
   • 操作系统/浏览器指纹验证

最佳实践建议

1. 与企业IT部门确认支持的客户端配置
2. 尝试不同的操作系统类型参数
3. 使用GUI版本可简化配置过程
4. 考虑购买正式授权以获得最佳兼容性

通过正确配置客户端参数，GlobalProtect-openconnect能够完美实现企业网络接入需求，提供稳定可靠的网络连接服务。