Võrgusidemete diagnostika virtuaalses EDGE marsruuteris

Mõnikord võivad virtuaalse marsruuteri seadistamisel tekkida probleemid. Näiteks võib portide edastamine (NAT) mitte töötada ja/või on probleeme tulemüürireeglite seadistamisega. Või on lihtsalt vaja saada ruuteri töö logisid, kontrollida kanali toimimist, teha võrgudiagnostikat. Kuidas seda teha, räägib pilveteenuse pakkuja Cloud4Y.

Töö virtuaalse marsruuteriga

Esiteks peame seadistama juurdepääsu virtuaalsele marsruuterile – EDGE. Selleks logime sisse selle teenustesse ja liigume vastavale vahelehele – EDGE Settings. Seal aktiveerime SSH oleku, määrame parooli ja kindlasti salvestame muudatused.

Kui kasutame rangeid tulemüürireegleid, kus kõik on vaikimisi keelatud, lisame reeglid, mis lubavad ühendusi marsruuteriga SSH pordi kaudu:

Seejärel ühendume mõne SSH-kliendi, näiteks PuTTY, kaudu ja pääseme konsooli.

Konsoolis on meil saadaval käsud, mille loetelu saab näha, kasutades:
loend

Millised käsud võivad meile kasuks tulla? Toome välja kõige kasulikumate loendi:

• show interface — kuvab saadaval olevad liidesed ja määratud IP-aadressid neile
• show log — näitab ruuteri logisid
• show log follow — aitab jälgida logi reaalajas ja pidevalt uuendades. Iga reegli, olgu see NAT või Firewalls, puhul on saadaval valik Enable logging, mille sisse lülitamisel hakkavad sündmused logisse registreeruma, võimaldades seeläbi diagnostikat.
• show flowtable — näitab kõiki loodud ühenduste tabeleid ja nende parameetreid
  Näide1: tcp 6 21599 ESTABLISHED src=9Х.107.69.ХХХ dst=178.170.172.XXX sport=59365 dport=22 pkts=293 bytes=22496 src=178.170.172.ХХХ dst=91.107.69.173 sport=22 dport=59365 pkts=206 bytes=83569 [ASSURED] mark=0 rid=133427 use=1
• show flowtable topN 10 — võimaldab kuvada vajalikke ridu, antud näites 10
• show flowtable topN 10 sort-by pkts — aitab sorditud ühendusi pakettide arvu järgi alates väiksemast kuni suuremani
• show flowtable topN 10 sort-by bytes — aitab sorditud ühendusi edastatud baitide arvu järgi alates väiksemast kuni suuremani
• show flowtable rule-id ID topN 10 — aitab kuvada ühendusi vastavalt soovitud reegli ID-le
• show flowtable flowspec SPEC — paindlikumate ühenduste valikute jaoks, kus SPEC määrab vajalikud filtreerimisreeglid, näiteks proto=tcp:srcip=9Х.107.69.ХХХ:sport=59365, et filtreerida TCP-protokolli ja IP-aadressi alusel 9Х.107.69.XX saatja pordilt 59365
  Näide> näita flowtable flowspec proto=tcp:srcip=90.107.69.171:sport=59365
1: tcp 6 21599 ESTABLISHED src=9Х.107.69.XX dst=178.170.172.xxx sport=59365 dport=22 pkts=1659 bytes=135488 src=178.170.172.xxx dst=xx.107.69.xxx sport=22 dport=59365 pkts=1193 bytes=210361 [ASSURED] mark=0 rid=133427 use=1
Kokku flow'id: 1
• show packet drops – võimaldab vaadata pakettide statistikat
• show firewall flows — näitab tulemüüri pakettide loendureid koos pakettide voogudega.

Samuti saame kasutada põhivõrgu diagnostikavahendeid otse EDGE ruuterilt:

• ping ip WORD
• ping ip WORD size SIZE count COUNT nofrag – pingida, määrates edastatavate andmete suuruse ja kontrollide arvu ning keelates selle suurusega paketi fragmenteerimise.
• traceroute ip WORD

Tulemüüri töödiagnostika sekvents.

1. Käivitage show firewall ja vaatame kasutaja filtreerimisreeglid tabelis usr_rules
2. Kontrollime POSTROUTIN ahelat ja jälgime DROP väljal langenud pakettide arvu. Ajamise asümmeetria probleemi korral fikseerime väärtuste kasvu.
   Teeme täiendavad kontrollid:
   • ping töötab ühes suunas ja puudub tagasivool
   • ping töötab, kuid TCP sessioonid ei kehti.
3. Vaatame IP-aadresside teavet — show ipset
4. Käivitame logimise tulemüüri reeglis EDGE teenustes
5. Vaatame logi sündmusi — show log follow
6. Kontrollime ühendusi vajaliku rule_id järgi — show flowtable rule_id
7. Kasutades show flowstats võrdleme kehtivaid vooluühendusi Current Flow Entries maksimaalsete lubatud vooludega (Total Flow Capacity) antud konfiguratsioonis. Saadaolevaid konfiguratsioone ja piire saab vaadata VMware NSX Edge'is. Kui see huvitab, võin rääkida sellest järgmises artiklis.

Mida veel huvitavat blogis lugeda Cloud4Y

→ CRISPR-resistentsed viirused loovad geneetiliste koodide kaitsmiseks «varjupaiku», et vältida DNA-sisenevate ensüümide rünnakut.
→ Kuidas pank 'katkestati'
→ Suur lumekristallide teooria
→ Interneti-ühendus õhupallide abil
→ Pentesterid küberturvalisuse esirinnas

Liituge meiega Telegram-kanal, et mitte jääda ilma järgmise artikli lugemisest! Kirjutame mitte sagedamini kui kaks korda nädalas ja ainult sisulisi teemasid. Tuletame meelde, et idufirmad saavad Cloud4Y-lt 1 000 000 rubla. Tingimused ja ankeet soovijatele - meie veebilehel: bit.ly/2sj6dPK

Allikas: habr.com