V některých případech mohou při nastavení virtuálního routeru vzniknout problémy. Například, může nefungovat přesměrování portů (NAT) a/nebo může být problém v nastavení samotných pravidel Firewallu. Nebo je třeba získat logy z činnosti routeru, zkontrolovat fungování kanálu, provést síťovou diagnostiku. Jak na to, vysvětluje cloudový poskytovatel Cloud4Y.
Práce s virtuálním routerem
Nejprve je potřeba nastavit přístup k virtuálnímu routeru – EDGE. Za tímto účelem se přihlásíme do jeho služeb a přejdeme na odpovídající záložku – EDGE Settings. Tam zapneme SSH Status, nastavíme heslo a nezapomeneme uložit změny.
Pokud používáme přísná pravidla Firewallu, kde je vše ve výchozím stavu zakázáno, přidáme pravidla, která povolují připojení k routeru přes SSH port:
Poté se připojíme jakýmkoli SSH klientem, například PuTTY, a dostaneme se do konzole.
V konzole máme k dispozici příkazy, jejichž seznam můžeme vidět pomocí:
list
Jaké příkazy se nám mohou hodit? Uvedeme seznam nejužitečnějších:
- show interface — zobrazí dostupné rozhraní a nastavené IP adresy na nich
- show log — ukáže logy routeru
- show log follow — pomůže sledovat log v reálném čase s neustálým aktualizováním. Každé pravidlo, ať už je to NAT nebo Firewall, má možnost Enable logging, při jejímž zapnutí se události zapisují do logu, což umožní provést diagnostiku.
- show flowtable — zobrazí celou tabulku zavedených spojení a jejich parametry
Příklad1: tcp 6 21599 ESTABLISHED src=9Х.107.69.ХХХ dst=178.170.172.XXX sport=59365 dport=22 pkts=293 bytes=22496 src=178.170.172.ХХХ dst=91.107.69.173 sport=22 dport=59365 pkts=206 bytes=83569 [ASSURED] mark=0 rid=133427 use=1 - show flowtable topN 10 — umožní zobrazit potřebný počet řádků, v tomto příkladu 10
- show flowtable topN 10 sort-by pkts — pomůže seřadit spojení podle počtu paketů od nejmenšího po největší
- show flowtable topN 10 sort-by bytes — pomůže seřadit spojení podle počtu přenesených bajtů od nejmenšího po největší
- show flowtable rule-id ID topN 10 — pomůže zobrazit spojení podle požadovaného ID pravidla
- show flowtable flowspec SPEC — pro flexibilnější výběr spojení, kde SPEC určuje požadovaná pravidla filtrování, například proto=tcp:srcip=9Х.107.69.ХХХ:sport=59365, pro výběr podle protokolu TCP a IP adresy zdroje 9Х.107.69.XX z portu odesílatele 59365
Příklad> zobrazit flowtable flowspec proto=tcp:srcip=90.107.69.171:sport=59365
1: tcp 6 21599 ESTABLISHED src=9Х.107.69.XX dst=178.170.172.xxx sport=59365 dport=22 pkts=1659 bytes=135488 src=178.170.172.xxx dst=xx.107.69.xxx sport=22 dport=59365 pkts=1193 bytes=210361 [ASSURED] mark=0 rid=133427 use=1
Celkové toky: 1 - show packet drops – umožní podívat se na statistiku paketů
- show firewall flows — zobrazuje počty paketů brány firewall spolu s proudy paketů.
Také můžeme používat základní síťové diagnostické nástroje přímo z routeru EDGE:
- ping ip WORD
- ping ip WORD size SIZE count COUNT nofrag – provedeme ping s určenou velikostí přenášených dat a počtem kontrol, a zakážeme fragmentaci určené velikosti paketu.
- traceroute ip WORD
Sekvence diagnostiky fungování firewallu na Edge
- Spouštíme show firewall a podíváme se na nastavená uživatelská pravidla filtrování v tabulce usr_rules
- Podíváme se na řetězec POSTROUTIN a zkontrolujeme počet zahozených paketů v poli DROP. Při problémech s asymetrickým směrováním budeme zaznamenávat nárůst hodnot.
Provedeme další kontroly:- Ping bude fungovat v jednom směru a nebude v opačném směru.
- Ping bude fungovat, ale TCP sezení se nebudou zakládat.
- Podíváme se na výstup informací o IP adresách — show ipset
- Povolíme logování na pravidle firewallu ve službách Edge
- Podíváme se na události v logu — show log follow
- Kontrolujeme připojení podle požadovaného rule_id — show flowtable rule_id
- Pomocí show flowstats porovnáváme současně nastavená připojení Current Flow Entries s maximálně povolenými (Total Flow Capacity) v současné konfiguraci. Dostupné konfigurace a limity lze zkontrolovat ve VMware NSX Edge. O tom, pokud vás to zajímá, mohu vyprávět v dalším článku.
Co dalšího si můžete přečíst v blogu
→
→
→
→
→
Sledujte náš -kanál, abyste nezmeškali další článek! Píšeme maximálně dvakrát týdně a pouze k věci. Připomínáme, že startupy mohou získat 1 000 000 rublů od Cloud4Y. Podmínky a žádost pro zájemce - na našich stránkách:
Zdroj: habr.com
