Диагностика на мрежовите връзки на виртуалния рутер EDGE

В някои случаи могат да възникнат проблеми при настройването на виртуален рутер. Например пренасочването на портове (NAT) не работи и/или има проблем при настройването на самите правила на защитната стена. Или просто трябва да получите регистрационни файлове на рутера, да проверите работата на канала и да извършите мрежова диагностика. Доставчикът на облак Cloud4Y обяснява как се прави това.

Работа с виртуален рутер

На първо място, трябва да конфигурираме достъпа до виртуалния рутер - EDGE. За да направите това, влизаме в неговите услуги и отиваме в съответния раздел - Настройки на EDGE. Там активираме SSH Status, задаваме парола и не забравяйте да запазите промените.

Ако използваме строги правила на защитната стена, когато всичко е забранено по подразбиране, тогава добавяме правила, които позволяват връзки към самия рутер през SSH порта:

След това се свързваме с всеки SSH клиент, например PuTTY, и стигаме до конзолата.

В конзолата ни стават достъпни команди, чийто списък може да се види с помощта на:
списък

Какви команди могат да ни бъдат полезни? Ето списък на най-полезните:

• показване на интерфейс — ще покаже наличните интерфейси и инсталираните IP адреси на тях
• Покажи дневник - ще покаже регистрационни файлове на рутера
• показване на дневник следване — ще ви помогне да гледате дневника в реално време с постоянни актуализации. Всяко правило, било то NAT или защитна стена, има опция за активиране на регистриране, когато е активирана, събитията ще се записват в журнала, което ще позволи диагностика.
• покажи таблица на потока — ще покаже цялата таблица на установените връзки и техните параметри
  Пример1: tcp 6 21599 ESTABLISHED src=9Х.107.69.ХХХ dst=178.170.172.XXX sport=59365 dport=22 pkts=293 bytes=22496 src=178.170.172.ХХХ dst=91.107.69.173 sport=22 dport=59365 pkts=206 bytes=83569 [ASSURED] mark=0 rid=133427 use=1
• покажете горната таблица на потока N 10 — позволява ви да покажете необходимия брой редове, в този пример 10
• показване на таблицата на потока topN 10 сортиране по точки — ще помогне за сортиране на връзките по брой пакети от най-малкия до най-големия
• показване на таблицата на потока topN 10 сортиране по байта — ще помогне за сортиране на връзките по броя на байтовете, прехвърлени от най-малкия към най-големия
• покажи идентификатор на правило за таблица на потока topN 10 — ще помогне за показване на връзките чрез изисквания ID на правилото
• покажи спецификация на потока на потока SPEC — за по-гъвкав избор на връзки, където SPEC — задава необходимите правила за филтриране, например proto=tcp:srcip=9Х.107.69.ХХХ:sport=59365, за избор с помощта на TCP протокола и IP адреса на източника 9Х.107.69. XX от порта на изпращача 59365
  Пример> show flowtable flowspec proto=tcp:srcip=90.107.69.171:sport=59365
1: tcp 6 21599 ESTABLISHED src=9Х.107.69.XX dst=178.170.172.xxx sport=59365 dport=22 pkts=1659 bytes=135488 src=178.170.172.xxx dst=xx.107.69.xxx sport=22 dport=59365 pkts=1193 bytes=210361 [ASSURED] mark=0 rid=133427 use=1
Total flows: 1
• покажи спадане на пакети – ще ви позволи да видите статистика за пакетите
• показва потоците на защитната стена - Показва броячи на пакети на защитната стена заедно с потоците от пакети.

Можем също да използваме основни инструменти за мрежова диагностика директно от EDGE рутера:

• ping ip WORD
• ping ip WORD size SIZE count COUNT nofrag – ping, показващ размера на изпращаните данни и броя на проверките, както и забрана на фрагментирането на зададения размер на пакета.
• traceroute ip WORD

Последователност на диагностика на работата на защитната стена на Edge

1. Стартиране покажи защитна стена и погледнете инсталираните персонализирани правила за филтриране в таблицата usr_rules
2. Разглеждаме веригата POSTROUTIN и контролираме броя на изпуснатите пакети с помощта на полето DROP. Ако има проблем с асиметричното маршрутизиране, ще регистрираме увеличение на стойностите.
   Нека извършим допълнителни проверки:
   • Ping ще работи в една посока, а не в обратната посока
   • ping ще работи, но TCP сесии няма да бъдат установени.
3. Разглеждаме изхода на информация за IP адреси - покажи ipset
4. Разрешете влизането в правилото на защитната стена в Edge услугите
5. Разглеждаме събитията в дневника - показване на дневник следване
6. Ние проверяваме връзките, използвайки необходимия rule_id - показване на таблица на потока rule_id
7. С помощта на показване на статистики за потока Ние сравняваме текущо инсталираните връзки на Current Flow Entries с максималния разрешен (общ капацитет на потока) в текущата конфигурация. Наличните конфигурации и ограничения могат да се видят във VMware NSX Edge. Ако се интересувате, мога да говоря за това в следващата статия.

Какво друго можете да прочетете в блога? Cloud4Y

→ Устойчивите на CRISPR вируси изграждат „убежища“ за защита на геномите от проникващи в ДНК ензими
→ Как фалира банката?
→ Теорията за голямата снежинка
→ Интернет на балони
→ Pentesters в челните редици на киберсигурността

Абонирайте се за нашите Telegram-канал, за да не пропуснете следващата статия! Пишем не повече от два пъти седмично и само по работа. Напомняме ви, че стартиращи фирми могат да получат 1 000 000 RUB. от Cloud4Y. Условията и формата за кандидатстване за желаещите можете да намерите на нашия уебсайт: bit.ly/2sj6dPK

Източник: www.habr.com