USG系列防火墙故障案例集讲解.docx
《USG系列防火墙故障案例集讲解.docx》由会员分享，可在线阅读，更多相关《USG系列防火墙故障案例集讲解.docx（14页珍藏版）》请在冰豆网上搜索。
USG系列防火墙故障案例集讲解
USG系列防火墙故障案例集
USG2100攻击防范导致地址映射不成功
接口MTU不匹配导致OSPF邻居卡在ExStart状态
MTU参数问题导致无法访问外网网站
解决ADSL拨号上网NATSERVER外网IP不固定问题
解决L2TP连接后总部主动和分支通信的问题
ADSL接口不能配置PVC命令问题
V.35SA卡双串口绑定与LOOPCONVERTER无法连通
UTM模式下，更换部署网络，签名库/病毒库无法更新
采用QoS限制其中一个子网访问外网的速率
USG2100攻击防范导致地址映射不成功
现象描述：
用户需要将内部地址8000端口和8999等端口通过地址映射发布到外网，然而在外网访问发布的端口却发现，只有8000端口能够访问进来，其他做了映射的端口均不能访问成功
原因分析：
1：
运营商阻止映射端口的通信
2：
防火墙包过滤未打开。
3：
其它原因。
处理过程：
1、将不能访问的端口修改成防火墙web登录的端口，可以访问。
说明运营商未封闭该端口。
2、查看防火墙上的包过滤策略，没有做端口过滤限制。
3、查看会话，发现除了8000端口外，访问任何映射的端口均无任何会话信息。
4、打开抓包功能，检查访问时数据包是否到了防火墙，当外网发起访问时能看到有数据包到达防火墙：
[shanxi09]dispfirewallpacket-capturestatistic
QueueIDCapturedNumberSentStateTCPUDPICMPOther
-----------------------------------------------------------------------------
04（0%）Unsent100.00%0.00%0.00%0.00%
10（0%）Unused0.00%0.00%0.00%0.00%
20（0%）Unused0.00%0.00%0.00%0.00%
30（0%）Unused0.00%0.00%0.00%0.00%
40（0%）Unused0.00%0.00%0.00%0.00%
证明访问的报文已经到了防火墙，说明是防火墙将报文丢弃。
5、检查用户攻击防范，除了开启默认攻击防范外，还开启了tcp代理攻击。
firewalldefendsyn-floodzonetrusttcp-proxyon
firewalldefendsyn-floodzoneuntrusttcp-proxyon
firewalldefendsyn-floodinterfaceEthernet1/0/0tcp-proxyon
firewalldefendsyn-floodinterfaceVlanif1tcp-proxyon
将该攻击防范关闭，外网访问映射端口正常
建议/总结：
如果默认开启了firewalldefendsyn-floodenable功能，不能再开启tcp代理攻击，否则可能导致访问映射端口失败
接口MTU不匹配导致OSPF邻居卡在ExStart状态
现象描述：
组网拓扑如下
一台USG2205BSR（在上图中Router-ID为20.1.1.2）与另一厂商防火墙之间建立GRE隧道，并运行OSPF，两设备的Tunnel0口参与OSPF进程。
现在的问题是，两台设备的OSPF邻居状态不正常，卡在ExStart状态。
[USG2205BSR]disospfpeerbrief
08:
59:
322011/11/03
OSPFProcess1withRouterID20.1.1.2
NeighborStatistics
AreaIDDownAttemptInit2-WayExStartExchangeLoadingFullTotal
0.0.0.14000010001
Total000010
00
原因分析：
OSPF总共有8种可能的启动过程，但并不是一定会经历这8个过程，具体过程如下：
Down→Attempt→Init→Two-way→Exstart→Exchange→Loading→Full
除了Two-way和Full这两个状态，邻居停留在任何状态，都是不正常。
处理过程：
1、检查两台安全网关的OSPF配置，物理接口和Tunnel接口配置，没有问题，测试物理口联通性和Tunnel的连通性，都正常。
2、使用命令检查两端设备的Tunnel口参数
[USG2205BSR]disinterfaceTunnel0
09:
00:
022011/11/03
Tunnel0currentstate:
UP
Lineprotocolcurrentstate:
UP
Tunnel0currentfirewallzone:
untrust
Description:
Huawei,USG2200BSRSeries,Tunnel0Interface
TheMaximumTransmitUnitis1500bytes
而另一端Tunnel口的MTU值为6400，修改另一端Tunnel口的MTU值为1500。
再看邻居状态正常：
[USG2205BSR]disospeerbrief
09:
01:
322011/11/03
OSPFProcess1withRouterID20.1.1.2
NeighborStatistics
AreaIDDownAttemptInit2-WayExStartExchangeLoadingFullTotal
0.0.0.14000000011
Total0000000
建议/总结：
实验验证，当MTU不匹配导致OSPF邻居卡在ExStart/ExChange状态时，Router-ID大的一端为ExStart状态，Router-ID小的一端为ExChange状态。
OSPF邻居正常状态只有Two-way和full，否则不正常，邻居不正常的可能原因如下：
1、接口未参与OSPF进程；
2、AreaID不一致；
3、Stub-bit或NSSA-bit不一致；
4、OSPF验证类型不一致或者密码不一致；
6、RrouterID是否冲突；
7、OSPF链路两端的MTU相差比较大，通常停留在ExStart状态（需要在其接口下配置OSPF忽略MTU检查或修改MTU）；
8、是否在同一网段（PPP链路除外）；
9、是否有策略过滤掉OSPF报文
MTU参数问题导致无法访问外网网站
现象描述：
客户使用我司产品USG2120，通过ADSL接口与BSNL（印度宽带运营商）的10MBPS网络相连，在配置Dialer、NAT、VLANIF、DNS等信息后，在内网PC机可以ping通，却无法打开网站页面。
原因分析：
通过分析客户的提供的配置脚本文件，配置基本都正确，Dialer、NAT、VLANIF、DNS及路由信息都没问题，且通过验证，内网PC机可以ping通外网，却无法打开网页。
将我司设备换成友商WirelessN-Router,ModelNoWRX150的路由器后，客户内网PC机可以访问外部网站。
遇到这种情况，一般情况下需要check两端link的参数配置。
故让客户提供WRX150相关配置信息，如下：
PPPOEadvancesettingofMTUSettingas1400andDNS
218.248.255.212
218.248.255.139
于是，我们怀疑MTU参数有问题，因为我司设备的每个接口的MTU默认参数时1500字节。
由于两端（USG212O与BSNL设备）的MTU参数不一致，导致双方link协商不能完成正常连接。
再者，ADSL使用的PPPoE略小于这个数值，一般为1492。
而此客户需要使用的MTU很可能是1400字节。
处理过程：
建议客户更改每一个VLANIF接口的MTU为1400，如下：
#
interfaceVlanif1
mtu1400
ipaddress192.168.120.1255.255.255.0
#
interfaceVlanif2
mtu1400
ipaddress192.168.121.1255.255.255.0
#
interfaceVlanif3
mtu1400
ipaddress192.168.122.1255.255.255.0
#
interfaceVlanif4
mtu1400
ipaddress192.168.123.1255.255.255.0
#
interfaceVlanif5
mtu1400
ipaddress192.168.124.1255.255.255.0
#
interfaceVlanif6
mtu1400
ipaddress192.168.125.1255.255.255.0
#
interfaceVlanif7
mtu1400
ipaddress192.168.126.1255.255.255.0
#
interfaceVlanif8
mtu1400
ipaddress192.168.127.1255.255.255.0
#
通过更改配置，内网PC机可以正常访问外网网站。
建议/总结：
涉及到此类问题，优先check设备是否配置DNS等信息，然后check链路对接等配置信息；此外，用其它设备替换进行验证测试，也是个很好的选择，有利于问题的快速甄别。
解决ADSL拨号上网NATSERVER外网IP不固定问题
现象描述：
客户ADSL拨号后，由于获取IP地址不断变动，NATSERVER失效
原因分析：
V100R003C01SPC700以前的版本不支持接口映射
处理过程：
一、需求：
V100R003其他版本无法实现使用接口作NATSERVER的功能，升级到V100R003C01SPC700即可解决问题
二、升级后的版本为V100R003C01SPC700
三、升级过程
为了客户操作方便这里我们使用WEB界面升级
操作步骤
通过Web方式，从V100R003C01版本升级V100R003C01SPC700版本的具体步骤如下。
步骤1在作为Browser的PC2上使用IE浏览器登录到USG2100BSR/HSR，用户名为admin，密码为Admin@123。
步骤2选择“系统管理>启动信息”，在“上传系统软件”中选择“上传并替换当前的系统启动文件”。
步骤3单击“浏览”按钮，选择要上传的系统软件。
步骤4单击“上传”按钮上传系统软件。
在升级过程中，设备不能断电。
升级过程中，请不要切换、刷新页面或关闭IE浏览器，以便及时得到升级结果。
步骤5当出现“执行成功”提示框后，升级过程结束。
步骤6重新启动设备，自动运行新加载的主机软件。
----结束
四、升级后的操作
升级完成后即可执行命令行操作
natserverprotocoltcpglobalinterfacedialer08850inside192.168.1.188850
建议/总结：
虽然升级到V100R005版本也能解决该问题，但同一版本的兼容性更好
解决L2TP连接后总部主动和分支通信的问题
现象描述：
某客户利用USG2130BSR做LNS端和分支路由器SRG设备做LAC端建立L2TP隧道，分支通过拨号和总部建立L2TP隧道后，总部LNS端可以主动和各个分支路由器进行通信。
客户询问实现的方法
客户拓扑如下：
原因分析：
一般L2TP应用场景是LAC拨号和LNS建立连接后，可以和LNS内部主机或内部服务器通信。
该客户提出的应用场景，可以通过建立域账号方式和配置静态路由来实现，即每个分支路由器拨号分配固定IP地址，再在LNS端指一条明细路由到各个分支，可以实现总部和各个分支之间的通信问题,即可以在路由上，或是路由器下PC可以和LNS总部之间建立连接并通信。
处理过程：
关键配置如下：
LNS:
总部
[USG2130BSR]l2tpenable//开启L2TP功能
[USG2130BSR]l2tpdomainsuffix-separator@//设置域分割符为@
[USG2130-aaa]local-usertest@huaweipasswordsimpletest//本地域用户
[USG2130-aaa]local-usertest@hauweilevel3//配置用户等级
[USG2130-aaa]local-usertest@huaweiserverppp//配置允许PPP协议
[USG2130-aaa]domainhuawei//配置域名称
[USG2130-aaa]ippool3192.168.3.100192.168.3.100//为域用户分配的地址池
//为域用户分配的地址池，一个分支定义一个域，一个地址池，这样每个分支分配的IP肯定都是固定的了。
再配置一条路由
[USG2130]iproute-static192.168.3.10032Virtual-Template1
LAC:
分支配置
[SRG]l2tpenable//开启L2TP功能
[SRG]l2tpdomainsuffix-separator@//设置域分割符为@
[SRG]aaa
[SRG-aaa]domainhauwei
[SRG-aaa]local-usertest@huaweipasswordsimpletest//建立域账号
[SRG-aaa]local-usertest@huaweilevel3
[SRG-aaa]local-usertest@huaweiserverppp
//定义了一个“huawei”域中的用户，终端PC或服务器进行拨号时会进行帐号的认证，通过拨LAC后，可以实现总部和服务端通信。
再配置一条默认路由上网即可。
建议/总结
ADSL接口不能配置PVC命令问题
现象描述：
用户通过ADSL接口卡和专线对接，地址获取方式为上游提供固定IP，无需用户名密码拨号，在配置接口卡ATM口时，配置PVC的命令不成功，需要配置的命令如下：
interfaceAtm2/0/0
pvc8/35
mapbridgeVirtual-Ethernet1
但是输入命令，却不成功，如下：
[USG2130BSR-Atm2/0/0]pvc?
<0-255>/<32-65535>EntervalueofVPI/VCI
[USG2130BSR-Atm2/0/0]pvc8/35
Error:
Setfailed
原因分析：
1、ADSL接口卡异常。
2、配置命令不正确。
3、设备不支持等
处理过程：
1、接口卡不知此pvc8/35命令，说明是单PVC，可以通过modifypvc修改，但是输入该命令后，在输入命令mapbridgeVirtual-Ethernet1时，提示不支持该操作。
[USG2130BSR-atm-pvc-Atm2/0/0-8/35]mapbridgeVirtual-Ethernet1
Info:
Thiscarddoesnotsupportthisoperation.
2、由于接口卡是单PVC，所以ATM接口下不需要配置pvc8/35，也不需要配置映射到虚接口，即不需要配置mapbridgeVirtual-Ethernet1，而是直接在接口下配置上游设备提供的固定IP地址即可
建议/总结：
PVC命令只适用于多PVC的ATM接口，不需要绑定VT口
V.35SA卡双串口绑定与LOOPCONVERTER无法连通
现象描述：
我司产品USG2120BSRV100R005版本，做V.35SA卡双串口绑定后，与对端串口中继器LOOPCONVERTER连接后，linkprotocol无发起来，物理端口可以起来。
把我司设备更换为友商设备后，link可以起来。
原因分析：
在DebuggingPPPinformation后，发现我们设备串口可以发包，但不能正常收包，且在接口发现收到的包全是错误的包。
表明，串口在收包时无法区别是否为正确信息，通常情况下，是由于两端的时钟频率配置不一致所致。
处理过程：
在两个串口的物理视图下，分别执行“invertreceive-clock”命令，将接口置为接收时钟信号，问题解决
建议/总结：
我们的SAV.35串口目前只支持同步时钟频率，这点需要注意；同时，众多友商设备串口类型也较多，在做对接配置时，若能了解对端情况，将更有利于问题解决。
UTM模式下，更换部署网络，签名库/病毒库无法更新
现象描述：
UTM模式下，在局点A中，签名库/病毒库在线更新成功；删除flash下的规则目录，将设备带到局点B进行演示，签名库/病毒库无法在线更新。
原因分析：
UTM签名库/特征库是通过主动FTP方式连接到安全服务器进行下载，UTM设备若是通过我司安全产品NAT上网，域间没有开启natalgenableftp，会出现如下情形
UTM签名库/特征库是通过主动FTP方式连接到安全服务器进行下载，UTM设备若是通过我司安全产品NAT上网，域间没有开启natalgenableftp，会出现如下情形：
1、UTM设备使用端口N（N>1024）连接到服务器21端口；
2、UTM设备开始监听端口N+1；
3、服务器21端口对端口N进行应答；
4、UTM设备使用端口N发送端口N+1到服务器；
5、服务器21端口对端口N+1进行数据链路初始化；
6、由于UTM设备在我司安全设备之后，并且只做了端口监听的动作，我司安全设备中未建立端口N+1的NAT表项，该报文未能到达UTM设备，数据链路建立失败。
导致可以正常上网却无法更新签名库/病毒库的情况
处理过程：
在客户出口处，找到进行NAT的设备，在设备上开启域间NATALG
[sysname]displayinterzonetrustuntrust
interzonetrustuntrust
detectftp
#
建议/总结：
打开NATALG功能后，签名库/病毒库升级成功
采用QoS限制其中一个子网访问外网的速率
现象描述：
要求限制192.168.1.0进出公网的速率为1M，但是局域网内部访问速率不限制。
对192.168.2.0网络不做限制。
合作方做了QoS策略并应用于E0/0/2，出现访问速率时缓时快，并且内部访问慢，并不能满足客户的要求
原因分析：
1、ACL存在问题；
2、速率值不正确；
3、应用的端口不正确。
处理过程：
1、修改ACL为
aclnumber3201
rule5permitipsource192.168.1.00.0.0.255
aclnumber3300
rule5permitipdestination192.168.1.00.0.0.255
2、修改QoS策略为
trafficclassifierlimit_source_1operatorand
if-matchacl3201
trafficclassifierlimit_destination_1operatorand
if-matchacl3300
#
trafficbehaviorlimit_source_1
carcir1024000cbs1024000ebs0greenpassreddiscard
trafficbehaviorlimit_destination_1
carcir1024000cbs1024000ebs0greenpassreddiscard
qospolicylimit_source_1
classifierlimit_source_1behaviorlimit_source_1
qospolicylimit_destination_1
classifierlimit_destination_1behaviorlimit_destination_1
3、修改应用端口为公网出口E0/0/3
interfaceEthernet0/0/4
ipaddress1.1.1.1255.255.255.252#此IP为虚构的#
qosapplypolicylimit_source_1outbound
qosapplypolicylimit_destination_1inbound
建议/总结：
注意根据环境，灵活应用端口，正确配置ACL是关键的一环
SSLVPN网页访问找不到问题
问题与原命令行
SSLVPN完成如下配置后，https:
//x.x.x.x，点击“继续浏览此网站（不推荐）”后显示无法找到网页
#
v-gatewaysslvpnx.x.x.xpublic
v-gatewaysslvpnipaddressx.x.x.x
#****BEGIN***sslvpn**1****#
v-gatewaysslvpn
basic
dns-serverx.x.x.xx.x.x.x
sslversionallversion
ssltimeout5
ssllifecycle1440
sslciphersuitcustomaes256-shades-cbc3-sharc4-sharc4-md5aes128-shades-cbc-sha
logo&logo&.gif
welcome&welcome&.txt
title&title&.txt
service
network-extensionenable
network-extensionnetpool172.16.253.100172.16.253.254255.255.255.0
network-extensionmodefull
security
policy-default-actionpermituser-src-ip
policy-default-actionpermituser-dst-ip
policy-default-actionpermituser-url
policy-default
升级会员 