Pri konfigurácii virtuálneho smerovača môžu v niektorých prípadoch nastať problémy. Napríklad, ak nefunguje preposielanie portov (NAT) a/alebo je problém v konfigurácii samotných pravidiel Firewall. Alebo možno potrebujeme získať záznamy o činnosti smerovača, skontrolovať prácu kanála, vykonať sieťovú diagnostiku. O tom, ako to urobiť, hovorí cloudový poskytovateľ Cloud4Y.
Práca s virtuálnym smerovačom
Najprv musíme nastaviť prístup k virtuálnemu smerovaču – EDGE. Na to sa prihlásime do jeho služieb a prejdeme na príslušnú kartu – EDGE Settings. Tam zapneme SSH Status, nastavíme heslo a určite uložíme zmeny.
Ak používame prísne pravidlá Firewallu, kde je všetko predvolene zakázané, pridáme pravidlá, ktoré povoľujú pripojenia k samotnému smerovaču cez SSH port:
Potom sa pripojíme akýmkoľvek SSH klientom, napríklad PuTTY, a dostaneme sa do konzoly.
V konzole sú nám dostupné príkazy, ktorých zoznam môžeme vidieť pomocou:
list
Ktoré príkazy nám môžu byť užitočné? Uvedieme zoznam najviac užitočných:
- show interface — zobrazí dostupné rozhrania a priradené IP adresy na nich
- show log — zobrazí protokoly smerovača
- show log follow — pomôže sledovať protokol v reálnom čase s neustálym aktualizovaním. Každé pravidlo, či už NAT alebo Firewall, má možnosť Enable logging, ktorej aktivovaním sa udalosti zaznamenajú do protokolu, čo umožní vykonať diagnostiku.
- show flowtable — zobrazí celú tabuľku nadviazaných spojení a ich parametre
Príklad1: tcp 6 21599 ESTABLISHED src=9Х.107.69.ХХХ dst=178.170.172.XXX sport=59365 dport=22 pkts=293 bytes=22496 src=178.170.172.ХХХ dst=91.107.69.173 sport=22 dport=59365 pkts=206 bytes=83569 [ASSURED] mark=0 rid=133427 use=1 - show flowtable topN 10 — umoľňuje zobraziť požadovaný počet riadkov, v tomto prípade 10
- show flowtable topN 10 sort-by pkts — pomôže zotriediť spojenia podľa počtu paketov od najmenšieho po najväčší
- show flowtable topN 10 sort-by bytes — pomôže zotriediť spojenia podľa počtu prenesených bajtov od najmenšieho po najväčší
- show flowtable rule-id ID topN 10 — pomôže zobraziť spojenia podľa požadovaného ID pravidla
- show flowtable flowspec SPEC — na flexibilnejšie výbery pripojení, kde SPEC – určuje požadované pravidlá filtrácie, napríklad proto=tcp:srcip=9Х.107.69.ХХХ:sport=59365, na výber podľa protokolu TCP a IP adresy zdroja 9Х.107.69.XX z portu odosielateľa 59365
Príklad> ukázať toky flowtable flowspec proto=tcp:srcip=90.107.69.171:sport=59365
1: tcp 6 21599 ZALOŽENÉ src=9Х.107.69.XX dst=178.170.172.xxx sport=59365 dport=22 pakety=1659 bajty=135488 src=178.170.172.xxx dst=xx.107.69.xxx sport=22 dport=59365 pakety=1193 bajty=210361 [ASSURED] mark=0 rid=133427 use=1
Celkový počet tokov: 1 - show packet drops – umožní zobrazenie štatistík o paketoch
- zobraziť prúdy brány firewall — zobrazuje počítadlá paketov brány firewall spolu s prúdmi paketov.
Taktiež môžeme používať základné sieťové diagnostické nástroje priamo z routera EDGE:
- ping ip WORD
- ping ip WORD size SIZE count COUNT nofrag – pingovať s určením veľkosti prenášaných dát a počtu kontrol, ako aj zakázať fragmentáciu určeného veľkosti paketu.
- traceroute ip WORD
Postupnosť diagnostiky fungovania brány firewall na Edge
- Spúšťame zobraziť firewall a pozrime sa na nastavené používateľské pravidlá filtrovania v tabuľke usr_rules
- Sledujeme reťazec POSTROUTIN a kontrolujeme počet zamietnutých paketov podľa poľa DROP. Pri problémoch s asymetrickým smerovaním budeme zaznamenávať nárast hodnôt.
Urobíme ďalšie kontroly:- Fungovanie ping bude v jednom smere a chýbanie v opačnom
- ping bude fungovať, ale TCP relácie nebudú nadväzované.
- Sledujeme výstup informácií o IP adresách — zobraziť ipset
- Aktivujeme logovanie pravidla firewall v službách Edge
- Sledujeme udalosti v logu — show log follow
- Kontrolujeme spojenia podľa potrebného rule_id — zobraziť flowtable rule_id
- Pomocou zobraziť flowstats porovnávame aktuálne nastavené spojenia Current Flow Entries s maximálne povolenými (Total Flow Capacity) v súčasnej konfigurácii. Dostupné konfigurácie a limity si môžete pozrieť v VMware NSX Edge. O tom, ak máte záujem, môžem povedať v ďalšom článku.
Čo ďalšie užitočné si môžete prečítať na blogu
→
→
→
→
→
Prihláste sa na náš -kanál, aby ste nezmeškali ďalší článok! Píšeme nie častejšie ako dvakrát za týždeň a len o podstatných veciach. Pripomíname, že startupy môžu získať 1 000 000 r. od Cloud4Y. Podmienky a dotazník pre záujemcov sú na našej webovej stránke:
Zdroj: habr.com
