天融信防火墙管理接口无法访问

一、架构图如下：

二、架构解释

2台路由器之间做VRRP作为管理网络和服务器的业务网关，2台天融信防火墙采用连接保护模式，上下接口配置虚拟线。

三、管理流量走向

server访问管理网络经过天融信防火墙到达路由器，由路由器接管理交换机的接口流出，访问管理网络中的带外管理设备，当Server访问天融信防火墙的管理接口时，流量流经虚拟线后，无法访问天融信的管理接口，也无法ping通防火墙的管理接口。

四、解决方案

当访问防火墙管理接口时，流量经过虚拟线需要使用命令system vline_management enable实现流量经过虚拟线后访问防火墙管理地址，同时经过虚拟线的管理本机防火墙的流量不受访问控制策略限制，要限制web访问，需在开放服务中做源地址限制。