有几种进入防火墙设置的方法(这些防火墙命令都爱说大实话)
有几种进入防火墙设置的方法(这些防火墙命令都爱说大实话)
2024-11-22 01:40:28  作者:回眸你眼  网址:https://m.xinb2b.cn/tech/qff479824.html


小锐常常接到客户的反馈是,防火墙部署好了但是业务还是不通,往往束手无策。今天小锐,不藏着掖着了,把收藏多年的佳酿,故障小窍门拿出来让喜欢小锐的大家细品细品。

防火墙的安全检查特性

网络源于生活却又高于生活,作为网络世界大门的鼎鼎大名的“安全检查官“下一代防火墙,有他自己特有的“安全属性”,遵守网络世界的“安全规则”,我们就能更好的在防火墙的故障排查过程中游刃有余。这些“安全属性”倒成了我们在实施防火墙过程中的“绊脚石”,虽然排查故障过程是痛苦的,但解决问题后的快乐是永远铭记值得回味的。

防火墙为了相信数据包是可信的,在收到数据包的时候设置了两个“安全检查点”:

1反向路径检查Reverse Path Forwarding (RPF)

2异步检查(asymroute,也就是大家常说的连接完整性检查)

两项检查只有都符合,才会继续其他模块检查,否则直接丢弃数据包,那针对这两个检查特性我们展开聊聊:

反向路径检查

所谓反向路径检查,简单举例,就是如果从内网口port31收到一个数据包,反向的回包必须从内网口port31回去,也就是要确保源进源出,反之认为此数据包为欺骗包执行丢弃动作。假设,防火墙收到数据包是src_addr_ip->dst_addr_ip为172.16.1.16->219.222.191.72,防火墙不会执行其他模块检查(这些模块会涉及到源目的地址转换、UTM等),而是先执行反向路径检查,根据反向流量219.222.191.72->172.16.1.16,在查找路由表后如果也是从port31出去的,说明流量是正常的,继续处理其他模块检查;如果存在另一个路由通路比如从port32出去或者甚至没有查找到相应路由,这个将导致反向路径检查失败防火墙执行丢弃动作。

使用debug flow抓包命令,会发现有个提示为:reverse path check fail, drop,特别显眼,这个提示就是因反向路径检查失败直接执行了丢弃动作了,这种情况建议是查一下防火墙上的路由配置问题。


异步路由检查

所谓异步路由检查,就是要确保来回路径要一致,保证数据连接的完整性。如:tcp的三次握手的数据包都要过防火墙,正常的tcp三次握手交互过程如下:


如果出现来回路径不一致的情况,防火墙认为报文有问题直接丢弃。


小锐现在就说说这流量转发哪里出现问题了,从流量转发来看PC1访问服务器的流量tcp syn报文转发路径是

PC1->RouterA->NGFW->RouterB->internet->Server,回包syn ack的转发路径是Internet>RouterB>RouterA->PC1,未经过防火墙,ack报文PC1->RouterA->NGFW(丢弃报文不转发),防火墙发现会话状态不完整(我没有看到syn ack,我不信任你),执行丢弃动作。

使用debug flow命令对数据流分析一般会提示为:“org dir, ack in state syn_sent, drop”


当然这里还有更为奇葩的数据转发路径,如果是syn包转发路径不过防火墙,syn ack的回复报文经过防火墙,这种情况下防火墙是无法找到对应的会话(我没有看到syn,我压根就没有你的会话),直接丢弃,这种也属于异步路由的一种特殊场景。使用debug flow抓包命令,会发现有个提示为:“no session matched”


还有一种就是来回的二层mac不一致问题也是异步路由检查的一种特例了,一般这种场景常见于防火墙透明模式部署的时候。也就是如果过防火墙的数据包是mac1->mac2[pc1->pc2],回包的时候是mac3->mac1[pc2->pc1],这种数据包也是有问题的防火墙不会允许过的。

那可能大家会问小锐,异步路由检查可以关闭吗,实际业务场景不建议关闭的,最好的做法是找到导致来回路径不一致的原因,将异步问题终结掉,因为防火墙关闭异步检查后,多链路出口的场景源进源出功能将不生效,代理防护类utm功能将无法正常工作。

方法是:

#config system settings

#set asymroute enable

#end

此命令就是允许防火墙存在异步,这样防火墙可以不检查数据包的连接完整性了。

#config system settings

#set tcp-session-without-syn enable (默认disable)

#end

此命令是告诉防火墙如果不是syn的报文一样也可以创建会话。

数据包穿越防火墙处理过程详解

正常的数据包穿越防火墙,需要经过哪些过程呢?可以通过debug flow命令查看整个完整过程。

#diagnose debug enable //开启debug

#diagnose debug flow show console enable //启用debug flow显示打印,有些版本不需要敲

#diagnose debug flow show function-name enable //显示debug flow 功能名称,便于打印信息输出,有些版本可以不用敲

#diagnose debug flow filter addr 192.168.1.110 //过滤条件,避免抓包无用信息过多,这里过滤地址,filter ?可以查看过滤哪些条件


#diagnose debug flow trace start 100 //开始抓100条数据流

下面是数据包穿越防火墙的全部过程,我们一起来看看

id=36871 trace_id=1 msg="vd-root received a packet(proto=6, 192.168.

1.110:51661->119.253.62.131:80) from internal. "id=36871 trace_id=1 msg="allocate a new session-00016920" //internal口收到数据,建立新会话

id=36871 trace_id=1 msg="find a route: gw-192.168.118.1 via wan1" //查找到路由表

id=36871 trace_id=1 msg="find SNAT: IP-192.168.118.28, port-43333" //检测存在NAT配置

id=36871 trace_id=1 msg="Allowed by Policy-1: SNAT" //匹配策略,ID1

id=36871 trace_id=1 msg="SNAT 192.168.1.110->192.168.118.28:43333"//做NAT

id=36871 trace_id=3 msg="vd-root received a packet(proto=6,

119.253.62.131:80->192.168.118.28:43333) from wan1." // Wan1口收到返回数据包

id=36871 trace_id=3 msg="Find an existing session, id-00016920, reply direction" //数据包匹配会话id-0001692

id=36871 trace_id=3 msg="DNAT 192.168.118.28:43333->192.168.1.110:51661" //做反向的DNAT

id=36871 trace_id=3 msg="find a route: gw-192.168.1.110 via internal" //查找路由,发送到internal口

id=36871 trace_id=5 msg="vd-root received a

packet(proto=6,192.168.1.110:51661->119.253.62.131:80) frominternal." //internal口收到后续数据包

id=36871 trace_id=5 msg="Find an existing session, id-00016920, original direction" //匹配会话id-0001692  

id=36871 trace_id=5 msg="enter fast path" //直接转发

id=36871 trace_id=5 msg="SNAT 192.168.1.110->192.168.118.28:43333" //NAT

抓完数据流后可以通过以下命令关闭。

#diagnose debug flow trace stop //停止

#diagnose debug disable //关闭

#diagnose debug reset //重置

#diagnose debug flow filter clear //可以清空debug的过滤条件设置

通过debug flow命令我们可以看到一个数据包流入防火墙后,各个模块的详细处理情况,整理成数据包处理流程图如下:


下面也一并介绍一些小锐常常遇到的debug flow关键信息提示,现总结如下:

如果是策略拒绝了数据包访问,会看到“Denied by forward policy check”,需要重点确认是否是安全策略拦截所致。


如果无法正常管理防火墙的时候,debug flow往往会出现提示,msg="iprope_in_check() check failed, drop",一般会有下列三种可能原因所致:

1、当访问NGFW进行远程管理(ping, telnet, ssh ...)时,正在访问的服务未在接口上启用。

2、当访问NGFW进行远程管理时(ping, telnet, ssh ...),正在访问的服务在接口上启用,但是配置了受信任的主机,这些主机与入站数据包的源IP不匹配;

3、当通过同一NGFW的另一个接口访问用于远程管理的NGFW接口(ping,telnet,ssh ...)时,不存在防火墙策略。

策略动作拒绝,或命中隐含策略, 数据包被拒绝,一般会提示:msg="Denied by forward policy check"

如果涉及ALG相关会话(这类流量一般是动态多通道协议如ftp、sip等,此类协议较复杂,小锐下次再跟大家分享,嘻嘻)将送至 session-helper 模块处理,一般会提示:msg="run helper-ftp(dir=original)"

看到这里,小锐相信您也和小锐一样get 了不少防火墙的抓包命令了吧?那么接下来我们继续深入看下进阶版案例分析吧。


进阶案例展示一下命令有多么神奇^-^

现场反馈的拓扑简单描述如下:


全新下一代防火墙做端口映射,部分ISP专网IP访问端口映射的业务不通。基础的配置检查也没有看出问题所在,那接下来使用强大的debug flow对其数据流进行捕获,在信息输出中发现防火墙本地回复了RST报文(也就是图中的...from local. flag [R]),这点甚是可疑,说明问题还是出在防火墙的哪个模块处理环节上。


那我们一起开动脑筋思考一下什么情况下防火墙会主动发送RST包?

从数据包转发上我们注意到tcp syn将通过防火墙,但是当接收到tcp syn / ack时,NGFW会将tcp rst发送回tcp syn / ack的始发者。

即使存在允许流量通过NGFW的策略,配置错误的IPpool或VIP[l7] 也会给TCP连接造成连接问题。(名词解释:这里的ippool一般是用在上网做源地址转换的时候,一个地址不够用,可以把内网的源地址转换成一个地址段范围内的地址,VIP是防火墙的端口映射,也就是大家常说的目的地址转换关系)

一般这种问题的可能性是:本地有相应的IP地址(比如是源地址)了,因为没有对应的服务在监听,会去响应RST报文,按照这种排查思路去检查配置。

那我们把问题点锁定在IPPool或VIP上重点排查,通过配置查看找到了这个始作俑者。将对应错误的策略配置删除问题解决。


经确认现场源地址10.85.40.3也加到了虚拟ip映射里了。对于防火墙配置不太熟悉的往往可能会出现这种奇怪的配置,有时候策略一多真的用肉眼很不好看出问题出在哪儿。

一般出现防火墙回复...from local. flag [R]的情况有如下三种:

1、将服务器地址配置到了IPpool里;

2、将客户端IP地址配置到了IPpool里;

3、将客户端IP地址配置到了VIP里。

总结

Debug flow命令是防火墙实施部署过程中使用频率极高,而且故障诊断问题定位率可达80%左右,真的是算上是爱说大实话的命令了,提示什么原因一般故障就定位出来 了,是小锐力荐需掌握的命令,学会了就是掌握了上乘武功了哦,一起修炼起来吧。


  • 毒蛇和无毒蛇牙印的区别(世卫组织的logo为啥有条毒蛇)
  • 2024-11-22世卫组织的logo为啥有条毒蛇自新冠疫情爆发以来,世界卫生组织一直致力于向公众提供如何识别、预防和管理该疾病的相关信息,并针对公众关注的问题进行解答而不断出现在公众视野中的世卫组织的会徽也引起了不少网友的兴趣,会徽由一条蛇盘绕的权。
  • 本科和硕士工资对比(硕士学历工资比本科高80)
  • 2024-11-22硕士学历工资比本科高80经常看到有人网上说:高学历有什么用,还不是在我一个小学没毕业的人手底下干活,读那么多书有什么用?你觉得读书多,高学历没用吗?读书无用?不同学历不同收入,看看光明网上,国家说的明明白白的北京大学“全国高。
  • 什么是比例(比例术语介绍)
  • 2024-11-22比例术语介绍比例是一个数学术语,表示两个或多个比相等的式子在一个比例中,两个外项的积等于两个内项的积,叫做比例的基本性质在数学中,如果一个变量的变化总是伴随着另一个变量的变化,则两个变量是成比例的,并且如果变化总。
  • 细胞免疫治疗癌症获得重大突破(再谈肿瘤细胞免疫治疗)
  • 2024-11-22再谈肿瘤细胞免疫治疗点击上方“转化医学网”订阅我们!干货|靠谱|实用生物免疫治疗与手术、放疗、化疗并列为四大肿瘤治疗手段近年来,随着分子细胞生物学的发展,免疫学理论不断丰富,现代免疫学技术也在不断地推陈出新,人们从细胞和。
  • 我不能和你感同身受(虽然不能与你感同身受)
  • 2024-11-22虽然不能与你感同身受你为什么这么高冷因为暖的时候被伤过虽然不能与你感同身受,但我会是你的最佳听众小时候微笑是一种心情,长大了微笑是一种表情有些孩子走路喜欢看手机,他们不是贪玩,而是想掩饰一个人的尴尬诸葛亮出山前也没带过兵。
  • 啥是佩奇这个宣传片打动你的瞬间(其实7年前就拍过)
  • 2024-11-22其实7年前就拍过真的没想到啊,2019年的第一次刷屏,就这样给了一头粉红色的小猪昨天,一个叫《啥是佩奇》的短视频刷爆了微博和朋友圈虽然这部短片仅仅是《小猪佩奇过大年》的预告片,但却被导演张大鹏赋予了超越宣传本身的感动。
  • 忆江南里的江南好在哪里(四季风光各不同)
  • 2024-11-22四季风光各不同作者/月上中天A忆江南/春光靓[词林正韵第七部](欧阳修体)春光靓,甘露润田园风拂榆杨新吐绿,桃花含蕾缀枝端莺唱艳阳天双燕返,入屋意缠绵溪水潺潺鸣两岸,陌阡衰草换青颜真个好河山忆江南/春韵[词林正韵第。
  • 锻炼手臂肌肉四个动作及方法(怎么锻炼手臂力量)
  • 2024-11-22怎么锻炼手臂力量在健身训练中,很多动作都需要用到手臂肌肉,它的强弱直接决定了动作是否标准,还会影响到动作数量和使用重量手臂肌肉的力量不仅仅只是上臂肌肉力量,还包含了前臂和手部力量,因此整个手臂都需要进行强化训练那么该。
  • 最强臀大肌(拥有美国第一蜜桃臀)
  • 2024-11-22拥有美国第一蜜桃臀人称“美臀皇后”,拥有地表最强吸金家族,靠炒作成为网红鼻祖,随便一条消息收入就能高达100万美元,身价高达10亿美元,被贴上行走印钞机的标签,凭一段视频走红网络,从0到10亿,她到底是怎么做到的?靠捡。
  • 小学三年级过一点作垂线(小学生34)
  • 2024-11-22小学生34小学低年级小朋友在接触到汉字的时候,经常会出现汉字混淆不清的情况下,尤其是这四个字:“作、做、坐、座”现在小语一篇文章给你分析的清清楚楚~“做”和“作”“作”和“做”,都是常用字,音同,有时通用,所以。
  • 张译新剧每天几集(张译新剧牵头铁三角)
  • 2024-11-22张译新剧牵头铁三角正在北京卫视、江苏卫视播出的年代反特刑侦剧《光荣时代》,以真实的年代背景和历史案件为依托,再现北平和平解放后第一代公安大智大勇,和国民党潜伏特务展开殊死斗争的故事人物鲜活生动,情节紧张刺激,堪称谍战剧。