Di hin rewşan de, dibe ku dema sazkirina routerek virtual de pirsgirêk derkevin. Mînakî, şandina portê (NAT) naxebite û/an di sazkirina qaîdeyên Firewall bixwe de pirsgirêkek heye. An jî hûn tenê hewce ne ku têketinên routerê bistînin, xebata kanalê kontrol bikin, û tespîtkirina torê bikin. Pêşkêşvanê Cloud Cloud4Y diyar dike ka ev çawa tê kirin.
Bi routerek virtual re dixebitin
Berî her tiştî, pêdivî ye ku em gihîştina routerê virtual - EDGE mîheng bikin. Ji bo vê yekê, em têkevin karûbarên wê û diçin tabloya guncan - Mîhengên EDGE. Li wir em Rewşa SSH-ê çalak dikin, şîfreyek destnîşan dikin, û bê guman guheztinan hilînin.
Ger em qaîdeyên hişk ên Firewall bikar bînin, dema ku her tişt ji hêla xwerû ve qedexe ye, wê hingê em qaîdeyên ku destûrê didin girêdanên bi routerê bixwe bi riya porta SSH-ê ve zêde dikin:
Dûv re em bi her xerîdarek SSH re, mînakî PuTTY, girêdidin û digihîjin konsolê.
Di konsolê de, ferman ji me re peyda dibin, navnîşek ku bi karanîna wan tê dîtin:
rêzok
Kîjan ferman dikarin ji me re bikêr bin? Li vir navnîşek herî kêrhatî ye:
- navrûyê nîşan bide - dê navgînên berdest û navnîşanên IP-ya sazkirî li ser wan nîşan bide
- têketinê nîşan bide - dê têketinên routerê nîşan bide
- nîşana têketinê bişopîne - dê ji we re bibe alîkar ku hûn têketinê di wextê rast de bi nûvekirinên domdar temaşe bikin. Her qaîdeyek, NAT an Firewall be, vebijarkek têketinê Çalak bike heye, dema ku were çalak kirin, dê bûyer di têketinê de bêne tomar kirin, ku dê destûrê bide teşhîskirinê.
- flowtable nîşan bide - dê tevahiya tabloya girêdanên sazkirî û pîvanên wan nîşan bide
Nimûne:1: tcp 6 21599 ESTABLISHED src=9Х.107.69.ХХХ dst=178.170.172.XXX sport=59365 dport=22 pkts=293 bytes=22496 src=178.170.172.ХХХ dst=91.107.69.173 sport=22 dport=59365 pkts=206 bytes=83569 [ASSURED] mark=0 rid=133427 use=1 - tabloya herikandinê topN 10 nîşan bide - dihêle hûn di vê nimûneyê de 10 hejmara rêzan nîşan bidin
- flowtable topN 10 sort-by pkts nîşan bide - dê bibe alîkar ku pêwendiyan li gorî hejmara pakêtan ji piçûktir berbi herî mezin bi rêz bikin
- flowtable topN 10 sort-bytes nîşan bide - dê bibe alîkar ku girêdan li gorî hejmara baytên ku ji piçûktirîn berbi herî mezin hatine veguheztin rêz bikin
- Nasnameya qayde-id-ê ya flowtable topN 10 nîşan bide - dê ji hêla nasnameya qaîdeya pêwîst ve girêdanan nîşan bide
- SPEC flowtable nîşan bide - ji bo hilbijartina pêwendiya maqûltir, ku SPEC - qaîdeyên fîlterkirinê yên pêwîst destnîşan dike, mînakî proto=tcp:srcip=9Х.107.69.ХХХ:sport=59365, ji bo hilbijartinê bi karanîna protokola TCP û navnîşana IP-ya çavkaniyê 9Х.107.69. XX ji porta şanderê 59365
Nimûne:> show flowtable flowspec proto=tcp:srcip=90.107.69.171:sport=59365
1: tcp 6 21599 ESTABLISHED src=9Х.107.69.XX dst=178.170.172.xxx sport=59365 dport=22 pkts=1659 bytes=135488 src=178.170.172.xxx dst=xx.107.69.xxx sport=22 dport=59365 pkts=1193 bytes=210361 [ASSURED] mark=0 rid=133427 use=1
Total flows: 1 - dilopên pakêtê nîşan bide - dê bihêle hûn statîstîkên li ser pakêtan bibînin
- herikîna firewall nîşan bide - Berhevkerên pakêtê yên firewall ligel herikandina pakêtê nîşan dide.
Em dikarin rasterast ji routerê EDGE jî amûrên tespîtkirina torê ya bingehîn bikar bînin:
- ping ip WORD
- ping ip Mezinahiya WORD SIZE jimartin COUNT nofrag - ping mezinahiya daneyên ku têne şandin û hejmara kontrolan destnîşan dike, û her weha perçebûna mezinahiya pakêtê qedexe dike.
- traceroute ip WORD
Rêzeya teşhîskirina operasyona Firewall li ser Edge
- Destpêkirin dîwarê agir nîşan bide û li qaîdeyên fîlterkirina xwerû ya sazkirî di tabloya usr_rules de binihêrin
- Em li zincîra POSTROUTIN dinêrin û bi karanîna qada DROP-ê hejmara pakêtên daketî kontrol dikin. Ger pirsgirêkek bi rêvekirina asymmetric heye, em ê zêdebûna nirxan tomar bikin.
Werin em kontrolên din jî bikin:- Ping dê di yek alî de bixebite û ne berevajî
- ping dê bixebite, lê danişînên TCP-ê nayên damezrandin.
- Em li hilberîna agahdariya li ser navnîşanên IP-yê dinêrin - ipset nîşan bide
- Têketinê li ser qaîdeya firewall di karûbarên Edge de çalak bikin
- Em li bûyerên di qeydê de dinêrin - nîşana têketinê bişopîne
- Em pêwendiyan bi karanîna rule_id-ya pêwîst kontrol dikin - flowtable rule_id nîşan bide
- Bi alîkariya alîkariya statîstîkan nîşan bide Em di veavakirina heyî de girêdanên Têketinên Herikîna Herikînê yên ku niha hatine saz kirin bi herî zêde destûr (Kapasîteya Tevahiya Herikê) re didin ber hev. Veavakirin û sînorên berdest dikarin di VMware NSX Edge de werin dîtin. Ger bala we dikişîne, ez dikarim di gotara pêş de li ser vê biaxivim.
Ma hûn dikarin li ser blogê çi bixwînin?
→
→
→
→
→
Aboneya me bibin -kanal da ku hûn gotara din ji bîr nekin! Em heftê du caran û tenê li ser karsaziyê dinivîsin. Em tînin bîra we ku destpêk dikarin 1 RUB bistînin. ji Cloud000Y. Merc û forma serîlêdanê ji bo kesên eleqedar dikarin li ser malpera me bibînin:
Source: www.habr.com