问题 1｜通过跳板机登录 CVM，第一次失败、第二次成功

根因：链路 MTU 分片。 在 GRE 隧道封装的基础上，客户侧 Palo Alto 又叠加了一层额外封装，报文超出 1500 的最大 MTU 被分片，导致首次连接协商（尤其 NLA/CredSSP 阶段）不稳定，第一次失败、重试才成功。
解决办法： 客户端 MTU 调整为 1300，TCP 按更小 MTU 重新协商 MSS，避免链路分片。


问题 2｜登录后用三五天报错、reboot 后又能坚持几天

根因：同样是 MTU 分片累积导致的连接劣化。 长连接在分片链路下随时间累积异常，reboot 重置了连接与会话状态后临时恢复，但根因不除就会几天后复发。
解决办法： 与问题 1 相同——客户端 MTU 调整为 1300，从源头消除分片，即可避免周期性报错，无需反复重启。


问题 3｜go2tencent 任务未执行即报错、传输速度为 0

根因： Go2TencentCloud 的迁移流量被 Palo Alto 的 App-ID（应用识别）引擎判定为 unknown-tcp，而不是 ms-rdp。原因是该工具只是借用 3389 端口来传输自己的迁移数据，其负载并不符合真正的 RDP 协议特征。由于没有安全策略放通 unknown-tcp，这条流量最终被PA默认规则拒绝（会话结束原因：policy-deny）。
解决方式：在 Palo Alto 策略上放通这条流量后，流量得以正常通过，迁移随即恢复成功。

# RDP 与迁移链路故障复盘

> 隧道与额外网络封装、MTU 分片及应用识别策略问题

## 结论摘要

- **问题 1、2 是同一 MTU 根因：**隧道叠加额外网络封装后超出链路 MTU，引发分片及连接不稳定；客户端 MTU 调整为 **1300** 后恢复。
- **问题 3 是独立的安全策略问题：**迁移流量被识别为未知 TCP 应用，命中默认拒绝策略；放通对应流量后，迁移恢复。

## 一、环境与链路

```text
客户端 → 多层网络设备 → 堡垒机 → 目标主机
```

传输链路包含 GRE（Generic Routing Encapsulation，通用路由封装）隧道及额外网络封装。内层报文仍按 1500 字节发送时，封装后的报文超过底层链路最大 MTU（Maximum Transmission Unit，最大传输单元），从而发生分片。

## 二、问题 1：首次 RDP 登录失败，重试成功(随机性较大)

| 项目 | 结论 |
|---|---|
| 现象 | 通过跳板机或堡垒机登录目标主机，首次连接失败，立即重试通常成功；抓包显示客户端最终发送 TCP RST。 |
| 根因 | 多层封装造成 MTU 超限和分片。首次登录的 NLA（Network Level Authentication，网络级别身份验证）/CredSSP 协商报文受分片丢失、乱序或 PMTUD 黑洞影响，连接不稳定。 |
| 解决 | 将客户端 MTU 调整为 **1300**。TCP 随之使用更小的 MSS（Maximum Segment Size，最大报文段长度），从源头避免封装后的报文再次分片。 |

![企业微信截图_17915161338412.png](https://developer.qcloudimg.com/http-save/yehe-1009455/97eb7aaac36b2e48b82a87a807209f58.png)

![企业微信截图_17915161393526.png](https://developer.qcloudimg.com/http-save/yehe-1009455/e380099a3a2201cbf4ef382fbafc5232.png)

**失败的时候，客户端报0x904或0x10b**
**从两端的抓包来看， 在交互过程中，跳板机正常发包，但是目标机器端没有收到。同样的目标机器发包，跳板机收不到。持续15s 后 timeout，之后连接 reset。问题存在于中间设备，将正常rdp包拦截。**
## 三、问题 2：长连接运行数日后报错

| 项目 | 结论 |
|---|---|
| 现象 | 远程连接运行数日后出现错误；重启后可暂时恢复，但随后仍可能再次发生。 |
| 根因 | 仍是 MTU/MSS 不匹配。长连接运行期间，大报文分片丢失、PMTU（Path MTU，路径最大传输单元）发现失效，以及中间设备会话或重组状态异常，最终使连接进入超时状态。 |
| 解决 | 客户端 MTU 同样调整为 **1300**。重启仅重置连接和会话状态，属于临时恢复；降低 MTU 才是根因修复。 |

> 严谨表述：不是“碎片永久累积”，而是分片丢失、PMTU/MSS 不匹配和中间设备状态共同导致长连接逐步进入异常。

## 四、问题 3：迁移任务未执行、速度为 0

| 项目 | 结论 |
|---|---|
| 流量 | `源端 → 目标端:3389` |
| 根因 | 迁移工具仅借用 TCP 3389 传输数据，负载并非真正的 RDP。Palo Alto防火墙应用识别引擎将其识别为未知 TCP 应用，未命中允许策略，最终被默认安全策略拒绝。 |
| 解决 | 网络运维团队在防火墙策略中放通对应迁移流量后，迁移恢复。 |

## 五、排查复盘与纠正

### 1. 客户端发送 TCP RST，只能说明连接最终由客户端复位

客户端发送 TCP RST，只能说明连接最终由客户端复位，不能证明故障根因位于客户端。根因可能在客户端、服务端，也可能完全位于两者之间的网络链路。本案就是第三种情况。

### 2. 多层封装链路的正确排查顺序

1. 梳理各类隧道、Overlay 网络、负载均衡和防火墙等环节的封装及字节开销。
2. 核对端点 MTU、TCP MSS 和中间设备 MSS Clamp 配置。
3. 使用带 DF（Don't Fragment，不分片）标志的 Ping 探测最大无分片载荷。
4. 抓包检查 IP 分片、ICMP Fragmentation Needed、大包重传、乱序及超时。
5. 临时降低 MTU 做严格 A/B 对照；若故障同步消失，即形成关键因果证据。
6. 在排除链路问题后，再进入 Schannel、NLA/CredSSP、mstsc 和终端安全软件排查。

### 3. Windows 验证命令

```cmd
netsh interface ipv4 show subinterfaces
ping <目标IP> -f -l 1472
ping <目标IP> -f -l 1272
netsh interface ipv4 set subinterface "Ethernet" mtu=1300 store=persistent
```
![企业微信截图_17915161451787.png](https://developer.qcloudimg.com/http-save/yehe-1009455/0556a07062f38a4b72c4cf3097bd57a9.png)
## 六、最终结论

- **问题 1、2：**隧道 + 额外网络封装 → 有效 MTU 不足 → 分片/PMTUD 异常；客户端 MTU 降至 **1300** 后解决。
- **问题 3：**应用识别引擎将迁移数据识别为未知 TCP 应用 → 默认安全策略拒绝；放通对应迁移流量后解决。

---

结论依据：链路抓包、防火墙流量日志及 MTU 调整后的 A/B 实测结果


根因：链路 MTU 分片。 在 GRE 隧道封装的基础上，客户侧 Palo Alto 又叠加了一层额外封装，报文超出 1500 的最大 MTU 被分片，导致首次连接协商（尤其 NLA/CredSSP 阶段）不稳定，第一次失败、重试才成功。解决办法： 客户端 MTU 调整为 1300，TCP 按更小 MTU 重新协商 MSS，避免链路分片。

Palo Alto防火墙环境下RDP客户端报0x904或0x10b与迁移链路故障复盘

链路 MTU 分片，在 GRE 隧道封装的基础上，客户侧 Palo Alto 又叠加了一层额外封装，报文超出 1500 的最大 MTU 被分片，导致首次连接协商（尤其 NLA/CredSSP 阶段）不稳定，第一次失败、重试才成功。解决办法： 客户端 MTU 调整为 1300，TCP 按更小 MTU 重新协商 MSS，避免链路分片。

AAAAA

操作系统

运维

测试

RDP登录不稳与迁移失败源于链路MTU分片及防火墙策略。客户端MTU降至1300可消除分片，解决首次登录失败与周期性报错。迁移工具流量被识别为未知TCP应用遭拒，放通对应策略后恢复正常。

4核4G3M云服务器 新用户低至38元/年！

2026上云采购 | AI焕新·智启新局

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

Palo Alto防火墙环境下RDP客户端报0x904或0x10b与迁移链路故障复盘-腾讯云开发者社区-腾讯云

Palo Alto防火墙环境下RDP客户端报0x904或0x10b与迁移链路故障复盘

Palo Alto防火墙环境下RDP客户端报0x904或0x10b与迁移链路故障复盘

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐