Néhány esetben problémák merülhetnek fel a virtuális router beállítása során. Például a portátirányítás (NAT) nem működik, és/vagy a tűzfal szabályaival kapcsolatos probléma adódhat. Vagy egyszerűen csak szükség van a router működésének naplóira, a csatorna ellenőrzésére, vagy hálózati diagnosztikára. Ezt a Cloud4Y felhőszolgáltató mutatja be.
Munka a virtuális routerrel
Először is be kell állítanunk a hozzáférést a virtuális routerhez – EDGE. Ehhez belépünk a szolgáltatásaiba és a megfelelő fülre navigálunk – EDGE Settings. Itt engedélyezzük az SSH státuszt, beállítjuk a jelszót, és feltétlenül elmentjük a változtatásokat.
Ha szigorú tűzfalszabályokat használunk, ahol alapértelmezés szerint minden tilos, akkor hozzá kell adnunk szabályokat, amelyek engedélyezik a kapcsolódást a routerhez az SSH porton:
Ezután bármely SSH-klienssel csatlakozunk, például a PuTTY-vel, és belépünk a konzolba.
A konzolban elérhetővé válnak a különböző parancsok, amelyek listáját a következő paranccsal nézhetjük meg:
list
Milyen parancsok lehetnek hasznosak számunkra? Íme a legfontosabbak listája:
- show interface — megjeleníti az elérhető interfészeket és azokon beállított IP-címeket.
- show log — megmutatja a router naplóit.
- show log follow — lehetővé teszi a napló valós idejű megtekintését folyamatos frissítéssel. Minden szabálynak, legyen az NAT vagy Firewall, van Enable logging opciója, amelynek aktiválásával az események rögzítésre kerülnek a naplóban, így lehetővé téve a diagnosztikát.
- show flowtable — megjeleníti az összes beállított kapcsolat táblázatát és azok paramétereit.
támadásra1: tcp 6 21599 ESTABLISHED src=9Х.107.69.ХХХ dst=178.170.172.XXX sport=59365 dport=22 pkts=293 bytes=22496 src=178.170.172.ХХХ dst=91.107.69.173 sport=22 dport=59365 pkts=206 bytes=83569 [ASSURED] mark=0 rid=133427 use=1 - show flowtable topN 10 — lehetővé teszi a szükséges sorok megjelenítését, jelen példában 10.
- show flowtable topN 10 sort-by pkts — segít a kapcsolatok csomagszám szerinti rendezésében, a kevesebből a több felé.
- show flowtable topN 10 sort-by bytes — segít a kapcsolatok byte-ok szerinti rendezésében, a kevesebből a több felé.
- show flowtable rule-id ID topN 10 — segít a kapcsolatok megjelenítésében a megadott szabály azonosító alapján.
- show flowtable flowspec SPEC — rugalmasabb kapcsolatkülönbségekhez, ahol a SPEC a szükséges szűrési szabályokat határozza meg, például proto=tcp:srcip=9Х.107.69.ХХХ:sport=59365, a TCP protokoll és a forrás IP címének 9Х.107.69.XX, az elküldő port 59365 alapján.
támadásra> flowtable flowspec megjelenítése proto=tcp:srcip=90.107.69.171:sport=59365
1: tcp 6 21599 LÉTREHOZVA src=9Х.107.69.XX dst=178.170.172.xxx sport=59365 dport=22 pkts=1659 bytes=135488 src=178.170.172.xxx dst=xx.107.69.xxx sport=22 dport=59365 pkts=1193 bytes=210361 [ASSURED] mark=0 rid=133427 use=1
Összes forgalom: 1 - show packet drops – lehetővé teszi a csomagok statisztikájának megtekintését.
- show firewall flows — a tűzfal csomagszámlálóit mutatja a csomagfolyamokkal együtt.
Ezen kívül alapvető hálózati diagnosztikai eszközöket is használhatunk közvetlenül az EDGE routerről:
- ping ip WORD
- ping ip WORD size SIZE count COUNT nofrag – pингelés megadott adatmérő mérettel és ellenőrzések számával, valamint a csomagfragmentálás tilalmával.
- traceroute ip WORD
A tűzfal működésének diagnosztikai sorrendje az Edge-en
- Indítás show firewall és megnézzük a felhasználói szűrési szabályokat az usr_rules táblázatban.
- Nézzük a POSTROUTING láncot, és ellenőrizzük az eldobott csomagok számát a DROP mezőn. Aszimmetrikus irányítási probléma esetén a számok növekedését fogjuk észlelni.
További ellenőrzéseket végzünk:- A ping működése egy irányba, és a visszafele nem.
- A ping működni fog, de a TCP ülések nem fognak létrejönni.
- Nézzük meg az IP-címekkel kapcsolatos információk kimenetét — show ipset
- Bekapcsoljuk a naplózást a tűzfal szabályra az Edge szolgáltatásokban.
- Nézzük az eseményeket a naplóban — show log follow
- Ellenőrizzük a kapcsolatokat a kívánt rule_id alapján — show flowtable rule_id
- Segítségével show flowstats összehasonlítjuk az aktuális kapcsolatokat (Current Flow Entries) a maximálisan engedélyezett (Total Flow Capacity) értékekkel a jelenlegi konfigurációban. Az elérhető konfigurációkat és korlátokat meg lehet nézni a VMware NSX Edge-ben. Erről, ha érdekli, a következő cikkben tudok beszélni.
Milyen hasznos dolgokat olvashat még a blogban
→
→
→
→
→
Iratkozzon fel az -csatorna, hogy ne maradjon le a következő cikkről! Hetente legfeljebb kétszer írunk, és csak lényeges dolgokról. Emlékeztetjük, hogy a startupok 1 000 000 rubelt nyerhetnek a Cloud4Y-tól. A feltételek és a jelentkezési űrlap megtalálható a weboldalunkon:
Forrás: habr.com
