关于在H3Cloud OS或VCFC上添加或删除防火墙规则时可能引起业务中断的问题公告

【产品型号】

H3Cloud OS

H3C VCFC

【涉及版本】

H3Cloud OS E1138H02之前版本

H3C VCFC主线E2187及之前版本

H3C VCFC分支E2180P12及之前版本

【问题描述】

当在H3Cloud OS或VCFC上直接添加或删除防火墙规则时，业务可能出现秒级中断（防火墙规则越多，中断时间越长），随后自动恢复。

【原因分析】

防火墙早期版本不支持Netconf MOVE规则操作，当添加或删除的规则不是在规则集的末位操作时，将导致防火墙规则重新排序。此时控制器会删除现有规则再重新下发，造成经过防火墙的业务短时中断。

防火墙早期版本不支持Netconf MOVE规则操作，当添加或删除的规则不是在规则集的末位操作时，将导致防火墙规则重新排序。此时控制器会删除现有规则再重新下发，造成经过防火墙的业务短时中断。

规避措施：

添加规则举例：

1、由于CloudOS上看到的最后一条防火墙规则并不是防火墙上实际排在末尾的规则。首先需在VCFC上防火墙对应策略查看最后一条防火墙规则名称，如下图所示的test_3 。

2、在CloudOS上的选择框中选中实际排列在末尾的规则test_3，指定将新规则添加再其之后。

解决方案：

VCFC后续版本支持插入或删除规则时不删除已有规则，具体版本需咨询新网络二线。

H3Cloud OS 后续发布的版本E1138H02将支持在新增防火墙规则时默认添加在规则末尾。