Central環境，AOS 10，Gateway 9012，10.8.1.1版本。
在狀況發生時，無線使用者使用Tunnel模式無線網路，因此流量會從特定Gateway轉送，然後就會無法正常瀏覽網站。
雖然開了Case，但是遲遲等不到下文，這情況可能會影響到所有無線使用者正常瀏覽網站。
有兩台9012做HA，狀況可以只發生在其中一台Gateway上，並且確認只要流量經過該Gateway就會無法正常瀏覽。
狀況辨別
show datapath user如果有狀況發生的話，可以透過以上指令查到受影響的特定網站，其IP變成User之一。
對應的MAC Address可能有多個，也無法確定是否都是有狀況的Client。
狀況排除
Gateway重新開機，可以清除datapath表格，使特定網站瀏覽正常。
以下指令都無法清除掉異常Client。
aaa user delete <client-ip>
session delete <ip>有效改善措施
Gateways中，Security >Policies，在vailduser (session)，Deny掉受影響網站的IP，就不會發生。
不過，只擋一個IP的話，不能排除其他網站受影響，可以只Permit私網段，最後Deny全部，如下圖。
由於會改動生產環境，我這邊只有驗證這個。
進一步排查
使用Policy針對受影響的IP，做Source IP Deny並Log，可以看到被觸發。
deny host <ip> any log即便是Role是Captive Portal角色，還是可能觸發。
log並沒有觸發實際User的IP或是MAC訊息，找不到User，沒辦法去定位是誰。
推論
由於User的行為，導致受影響的網站回程流量從無線Client端送到Gateway。
是否是因為D Tunnel導致？還是VPN導致？或者是錯誤介接導致？
結論
已確定是Aruba Gateway本身的狀況導致，但是目前沒有Release相關issue，所以暫時無法期待更新能解決。
但影響可能隨時而且範圍不一定，可能哪天就一個大的服務被影響，建議瞭解此文章，學會判斷跟預防。