Bij de configuratie van een virtuele router kunnen zich soms problemen voordoen. Bijvoorbeeld, poortdoorsturen (NAT) werkt niet en/of er is een probleem met de configuratie van de firewallregels. Of misschien moeten we gewoon de logs van de router bekijken, de werking van de verbinding controleren of netwerktests uitvoeren. Hoe dit gedaan wordt, wordt uitgelegd door cloudprovider Cloud4Y.
Werken met de virtuele router
Allereerst moeten we toegang krijgen tot de virtuele router – EDGE. Hiervoor loggen we in op de services en gaan naar het bijbehorende tabblad – EDGE-instellingen. Daar schakelen we de SSH-status in, stellen we een wachtwoord in en slaan we de wijzigingen op.
Als we strikte firewallregels gebruiken waarbij alles standaard is geblokkeerd, voegen we regels toe die verbindingen met de router via de SSH-poort toestaan:
Daarna verbinden we met een SSH-client, zoals PuTTY, en komen we in de console.
In de console zijn de commando's toegankelijk, waarvan we de lijst kunnen zien door het gebruik van:
lijst
Welke commando's kunnen nuttig voor ons zijn? Hier is een lijst van de meest nuttige:
- show interface – toont de beschikbare interfaces en de daaropvermelde IP-adressen
- show log – toont de logs van de router
- show log follow – helpt om de log in real-time te bekijken met continue updates. Elke regel, of het nu NAT of Firewall is, heeft de optie Enable logging; wanneer ingeschakeld, worden gebeurtenissen vastgelegd in de log, wat op zijn beurt diagnostiek mogelijk maakt.
- show flowtable – toont de volledige tabel van gevestigde verbindingen en hun parameters
Voorbeeld1: tcp 6 21599 ESTABLISHED src=9X.107.69.XXX dst=178.170.172.XXX sport=59365 dport=22 pkts=293 bytes=22496 src=178.170.172.XXX dst=91.107.69.173 sport=22 dport=59365 pkts=206 bytes=83569 [ASSURED] mark=0 rid=133427 use=1 - show flowtable topN 10 – toont het gewenste aantal regels, in dit geval 10
- show flowtable topN 10 sort-by pkts – helpt om verbindingen te sorteren op basis van het aantal pakketten van klein naar groot
- show flowtable topN 10 sort-by bytes – helpt om verbindingen te sorteren op basis van het aantal overgedragen bytes van klein naar groot
- show flowtable rule-id ID topN 10 – helpt om verbindingen op basis van het gewenste regel-ID weer te geven
- show flowtable flowspec SPEC – voor een flexibelere selectie van verbindingen, waar SPEC de gewenste filterregels vastlegt, bijvoorbeeld proto=tcp:srcip=9X.107.69.XXX:sport=59365, voor selectie op basis van TCP-protocol en IP-adres van de bron 9X.107.69.XX vanaf poort 59365
Voorbeeld> toon flowtable flowspec proto=tcp:srcip=90.107.69.171:sport=59365
1: tcp 6 21599 OPGERICHT src=9Х.107.69.XX dst=178.170.172.xxx sport=59365 dport=22 pkts=1659 bytes=135488 src=178.170.172.xxx dst=xx.107.69.xxx sport=22 dport=59365 pkts=1193 bytes=210361 [ASSURED] mark=0 rid=133427 use=1
Totaal flows: 1 - show packet drops – toont statistieken over pakketverliezen
- show firewall flows — toont de firewall pakket tellers samen met de pakketten stromen.
Daarnaast kunnen we de basisnetwerktests rechtstreeks vanaf de EDGE-router gebruiken:
- ping ip WORD
- ping ip WORD size SIZE count COUNT nofrag – ping met de opgegeven grootte van de verzonden gegevens en het aantal controles, en fragmentatie van de opgegeven pakketgrootte uitschakelen.
- traceroute ip WORD
Diagnosereeks voor de werking van de Firewall op Edge
- We starten show firewall en kijken naar de ingestelde gebruikersfilters in de usr_rules tabel
- We bekijken de POSTROUTIN keten en controleren het aantal gereduceerde pakketten via het DROP veld. Bij een probleem met asymmetrische routering zullen we een stijging van de waarden vaststellen.
Laten we een aanvullende controle uitvoeren:- De ping-werking zal in één richting zijn en er is geen reactie in de andere richting.
- Ping zal werken, maar TCP-sessies worden niet tot stand gebracht.
- We bekijken de informatie-uitvoer over IP-adressen — show ipset
- We schakelen logging in voor de firewallregel in de Edge-services
- We bekijken de gebeurtenissen uit de log — show log follow
- We controleren de verbindingen op de relevante rule_id — show flowtable rule_id
- Met behulp van show flowstats we vergelijken de huidige gevestigde verbindingen Current Flow Entries met het maximale aantal toestane (Total Flow Capacity) in de huidige configuratie. Beschikbare configuraties en limieten kunnen worden bekeken in VMware NSX Edge. Als je geïnteresseerd bent, kan ik daar in een volgend artikel meer over vertellen.
What else useful can you read in the blog
→
→
→
→
→
Subscribe to our -kanaal, zodat je geen artikel mist! We schrijven niet vaker dan twee keer per week en alleen als het nodig is. We herinneren eraan dat startups tot 1.000.000 r. van Cloud4Y kunnen krijgen. Voorwaarden en aanvraag voor geïnteresseerden staan op onze website:
Bron: habr.com
