Fejlfinding af netværksforbindelser på den virtuelle EDGE-router

I nogle tilfælde kan der opstå problemer, når man konfigurerer den virtuelle router. For eksempel fungerer port forwarding (NAT) ikke, og/eller der er problemer med konfigurationen af selve firewallreglerne. Man skal måske blot have adgang til routerens logs, kontrollere kanalens funktion og udføre netværksdiagnostik. Hvordan dette gøres, beskriver cloududbyderen Cloud4Y.

Arbejdet med den virtuelle router

Først og fremmest skal vi konfigurere adgangen til den virtuelle router – EDGE. For dette logger vi ind på dens tjenester og går til den relevante fane – EDGE Settings. Her aktiverer vi SSH Status, angiver en adgangskode og gemmer ændringerne.

Hvis vi bruger strenge firewallregler, hvor alt er forbudt som standard, skal vi tilføje regler, der tillader forbindelser til selve routeren via SSH-porten:

Derefter opretter vi forbindelse med en SSH-klient, for eksempel PuTTY, og kommer ind i konsollen.

I konsollen får vi adgang til kommandoer, hvis liste kan ses ved at bruge:
list

Hvilke kommandoer kan vi få brug for? Her er en liste over de mest nyttige:

• show interface — viser de tilgængelige interfaces og de IP-adresser, der er tildelt dem
• show log — viser routerens logs
• show log follow — hjælper med at se loggen i realtid med konstant opdatering. Hver regel, hvad enten det er NAT eller Firewall, har indstillingen Enable logging, som ved aktivering registrerer hændelser i loggen, hvilket muliggør diagnose.
• show flowtable — viser hele tabellen med etablerede forbindelser og deres parametre
  Eksempel1: tcp 6 21599 ESTABLISHED src=9X.107.69.XXX dst=178.170.172.XXX sport=59365 dport=22 pkts=293 bytes=22496 src=178.170.172.XXX dst=91.107.69.173 sport=22 dport=59365 pkts=206 bytes=83569 [ASSURED] mark=0 rid=133427 use=1
• show flowtable topN 10 — giver mulighed for at vise det ønskede antal linjer, i dette tilfælde 10
• show flowtable topN 10 sort-by pkts — hjælper med at sortere forbindelserne efter antallet af pakker fra lavest til højest
• show flowtable topN 10 sort-by bytes — hjælper med at sortere forbindelserne efter antallet af overførte bytes fra lavest til højest
• show flowtable rule-id ID topN 10 — hjælper med at vise forbindelserne efter det ønskede regel-ID
• show flowtable flowspec SPEC — til mere fleksibel filtrering af forbindelser, hvor SPEC angiver de ønskede filtreringsregler, for eksempel proto=tcp:srcip=9X.107.69.XXX:sport=59365, til filtrering efter TCP-protokollen og IP-adressen 9X.107.69.XX fra port 59365
  Eksempel> vis show flowtable flowspec proto=tcp:srcip=90.107.69.171:sport=59365
1: tcp 6 21599 ETABLERT src=9Х.107.69.XX dst=178.170.172.xxx sport=59365 dport=22 pkts=1659 bytes=135488 src=178.170.172.xxx dst=xx.107.69.xxx sport=22 dport=59365 pkts=1193 bytes=210361 [ASSURED] mark=0 rid=133427 use=1
Samlede flows: 1
• show packet drops – tillader at se statistik over pakker
• show firewall flows — viser firewall-pakkekontroller sammen med pakkestrømme.

Vi kan også bruge de grundlæggende netværksdiagnosticeringsværktøjer direkte fra EDGE-routeren:

• ping ip WORD
• ping ip WORD size SIZE count COUNT nofrag – pinge med angivelse af størrelsen på de sendte data og antallet af tjek samt forbyde fragmentering af den angivne pakke størrelse.
• traceroute ip WORD

Sekvens af diagnostik af Firewall-arbejde på Edge

1. Starting show firewall og se de installerede brugerregler for filtrering i tabellen usr_rules
2. Vi ser POSTROUTIN-kæden og kontrollerer antallet af droppede pakker ved DROP-feltet. Ved problemer med asymmetrisk routing vil vi registrere en stigning i værdierne.
   Lad os udføre yderligere check:
   • Ping-arbejdet vil være i én retning og fravær i den modsatte retning.
   • Ping vil fungere, men TCP-sessioner vil ikke blive oprettet.
3. Vi ser output om IP-adresser — show ipset
4. Vi aktiverer logning på firewall-reglen i Edge-services.
5. Vi ser på log-situationen — show log follow
6. Vi kontrollerer forbindelserne efter nøgle_id — show flowtable rule_id
7. Ved hjælp af show flowstats sammenligner aktuelle etablerede forbindelser Current Flow Entries med den maksimalt tilladte (Total Flow Capacity) i den nuværende konfiguration. Tilgængelige konfigurationer og grænser kan ses i VMware NSX Edge. Hvis du er interesseret, kan jeg tale om det i den næste artikel.

Hvad mere nyttigt kan man læse i bloggen Cloud4Y

→ CRISPR-resistente virusser bygger 'tilflugtsrum' for at beskytte genom mod DNA-penetrerende enzymer.
→ Hvordan banken "brød sammen"
→ Den store snefnugsteori
→ Internet via luftballoner
→ Pentestere i frontlinjen af cybersikkerhed

Tilmeld dig vores Telegram-kanalen, for ikke at gå glip af en ny artikel! Vi skriver ikke oftere end to gange om ugen og kun når det er relevant. Vi minder om, at startups kan modtage 1.000.000 rubler fra Cloud4Y. Vilkår og formular for interesserede findes på vores hjemmeside: bit.ly/2sj6dPK

Kilde: habr.com