Em alguns casos, ao configurar um roteador virtual, podem surgir problemas. Por exemplo, pode haver falhas na redireção de portas (NAT) e/ou problemas na configuração das próprias regras do Firewall. Ou simplesmente é necessário obter os logs de funcionamento do roteador, verificar o funcionamento do canal e realizar um diagnóstico de rede. O provedor de nuvem Cloud4Y explica como fazer isso.
Trabalho com o roteador virtual
Antes de mais nada, precisamos configurar o acesso ao roteador virtual – EDGE. Para isso, acessamos os seus serviços e vamos para a aba correspondente – EDGE Settings. Lá, ativamos o SSH Status, definimos uma senha e, obrigatoriamente, salvamos as alterações.
Se estamos usando regras rigorosas do Firewall, onde tudo está bloqueado por padrão, adicionamos regras que permitem conexões ao próprio roteador pela porta SSH:
Depois conectamos usando qualquer cliente SSH, como o PuTTY, e acessamos o console.
No console, temos acesso a comandos, cuja lista pode ser visualizada usando:
list
Quais comandos podem ser úteis para nós? Apresentamos a lista dos mais valiosos:
- show interface — exibirá as interfaces disponíveis e os endereços IP configurados nelas
- show log — mostrará os logs do roteador
- show log follow — permite visualizar o log em tempo real com atualizações constantes. Para cada regra, seja NAT ou Firewall, existe a opção Enable logging, que ao ser ativada, registrará eventos no log, permitindo um diagnóstico mais detalhado.
- show flowtable — mostrará toda a tabela de conexões estabelecidas e seus parâmetros
Exemplo1: tcp 6 21599 ESTABLISHED src=9X.107.69.XXX dst=178.170.172.XXX sport=59365 dport=22 pkts=293 bytes=22496 src=178.170.172.XXX dst=91.107.69.173 sport=22 dport=59365 pkts=206 bytes=83569 [ASSURED] mark=0 rid=133427 use=1 - show flowtable topN 10 — permite exibir o número necessário de linhas, neste caso 10
- show flowtable topN 10 sort-by pkts — ajudará a classificar as conexões pela quantidade de pacotes, do menor para o maior
- show flowtable topN 10 sort-by bytes — ajudará a classificar as conexões pela quantidade de bytes transmitidos, do menor para o maior
- show flowtable rule-id ID topN 10 — ajudará a exibir conexões pela ID da regra correspondente
- show flowtable flowspec SPEC — para uma seleção mais flexível de conexões, onde SPEC define as regras de filtragem necessárias, por exemplo, proto=tcp:srcip=9X.107.69.XXX:sport=59365, para filtrar pelo protocolo TCP e endereço IP de origem 9X.107.69.XX da porta de origem 59365
Exemplo> mostrar fluxos da tabela de fluxo flowspec proto=tcp:srcip=90.107.69.171:sport=59365
1: tcp 6 21599 ESTABELECIDO src=9Х.107.69.XX dst=178.170.172.xxx sport=59365 dport=22 pkts=1659 bytes=135488 src=178.170.172.xxx dst=xx.107.69.xxx sport=22 dport=59365 pkts=1193 bytes=210361 [ASSURED] mark=0 rid=133427 use=1
Total de fluxos: 1 - show packet drops – permitirá visualizar as estatísticas de pacotes
- show firewall flows — mostra contadores de pacotes do firewall juntamente com os fluxos de pacotes.
Também podemos usar as principais ferramentas de diagnóstico de rede diretamente do roteador EDGE:
- ping ip WORD
- ping ip WORD size SIZE count COUNT nofrag – ping com especificação do tamanho dos dados transmitidos e da quantidade de verificações, além de proibir a fragmentação do tamanho do pacote especificado.
- traceroute ip WORD
Sequência de diagnóstico do funcionamento do Firewall no Edge
- Iniciamos show firewall e verificamos as regras de filtragem de usuário instaladas na tabela usr_rules
- Verificamos a cadeia POSTROUTIN e controlamos a quantidade de pacotes descartados pelo campo DROP. Ao identificar um problema de roteamento assimétrico, registraremos um aumento nos valores.
Realizaremos verificações adicionais:- O funcionamento do ping será em uma direção e a ausência na contrária
- o ping funcionará, mas as sessões TCP não serão estabelecidas.
- Verificamos a saída de informações sobre endereços IP — show ipset
- Ativamos o registro no firewall nas regras dos serviços Edge
- Analisamos os eventos do registro — show log follow
- Verificamos as conexões pela regra necessária — show flowtable rule_id
- Com o show flowstats comparamos as conexões atuais estabelecidas Current Flow Entries com a capacidade total máxima (Total Flow Capacity) na configuração atual. As configurações e limites disponíveis podem ser consultados no VMware NSX Edge. Sobre isso, se houver interesse, posso falar no próximo artigo.
O que mais é útil para ler no blog
→
→
→
→
→
Inscreva-se no nosso -canal, para não perder o próximo artigo! Escrevemos não mais que duas vezes por semana e apenas sobre temas relevantes. Lembramos que startups podem receber 1 000 000 r. da Cloud4Y. As condições e o formulário para interessados estão em nosso site:
Fonte: habr.com
