• 全部
  • 经验案例
  • 典型配置
  • 技术公告
  • FAQ
  • 漏洞说明
  • 全部
  • 全部
  • 大数据引擎
  • 知了引擎
产品线
搜索
取消
案例类型
发布者
是否解决
是否官方
时间
搜索引擎
匹配模式
高级搜索

堆叠场景下NGFW开启会话同步功能后会话不一致问题

  • 1关注
  • 1收藏 1585浏览
粉丝:39人 关注:3人

组网及说明

不涉及

告警信息

不涉及

问题描述

某局点两台NGFW堆叠主备部署,下行为Reth接口,上行为二层跨框聚合配置最大选中数,业务实际是主备部署。

运行过程中发现主备设备会话数目不一致,差别较大。

设备也已经开启了会话同步功能。

[H3C-F1000-AK135]disp se sta su
Slot Sessions  TCP       UDP       Rate      TCP rate  UDP rate
1    146718    142107    4545      4816/s    4718/s    95/s    
2    148       85        35        33/s      29/s      1/s   
#
 session synchronization enable
 session synchronization dns http
#

过程分析

查看slot 2的会话,备份的会话基本都是一些本地发出或者到本机的会话。

<H3C-F1000-AK135>disp session ta ipv4 sl 2 ver
Slot 2:
Initiator:
  Source      IP/port: 221.12.166.112/6606
  Destination IP/port: 221.12.1.227/2048
  DS-Lite tunnel peer: -
  VPN instance/VLAN ID/Inline ID: -/-/-
  Protocol: ICMP(1)
  Inbound interface: InLoopBack0
  Source security zone: Local
Responder:
  Source      IP/port: 221.12.1.227/6606
  Destination IP/port: 221.12.166.112/0
  DS-Lite tunnel peer: -
  VPN instance/VLAN ID/Inline ID: -/-/-
  Protocol: ICMP(1)
  Inbound interface: Vlan-interface4012
  Source security zone: Untrust
State: INACTIVE
Application: ICMP
Rule ID: 3
Rule name: 1
Start time: 2023-05-02 11:58:32  TTL: 212s
Initiator->Responder:            0 packets          0 bytes
Responder->Initiator:            0 packets          0 bytes
 
Initiator:
  Source      IP/port: 113.12.181.168/9356
  Destination IP/port: 115.221.240.66/57413
  DS-Lite tunnel peer: -
  VPN instance/VLAN ID/Inline ID: -/-/-
  Protocol: UDP(17)
  Inbound interface: Dialer1
  Source security zone: Untrust
Responder:
  Source      IP/port: 115.221.240.66/57413
  Destination IP/port: 113.12.181.168/9356
  DS-Lite tunnel peer: -
  VPN instance/VLAN ID/Inline ID: -/-/-
  Protocol: UDP(17)
  Inbound interface: InLoopBack0
  Source security zone: Local
State: INACTIVE
Application: GENERAL_UDP
Rule ID: 4
Rule name: 2
Start time: 2023-05-06 15:04:48  TTL: 276s
Initiator->Responder:            0 packets          0 bytes
Responder->Initiator:            0 packets          0 bytes
 
Initiator:
  Source      IP/port: 183.167.205.250/52803
  Destination IP/port: 115.221.240.66/26881
  DS-Lite tunnel peer: -
  VPN instance/VLAN ID/Inline ID: -/-/-
  Protocol: TCP(6)
  Inbound interface: Dialer1
  Source security zone: Untrust
Responder:
  Source      IP/port: 115.221.240.66/26881
  Destination IP/port: 183.167.205.250/52803
  DS-Lite tunnel peer: -
  VPN instance/VLAN ID/Inline ID: -/-/-
  Protocol: TCP(6)
  Inbound interface: InLoopBack0
  Source security zone: Local
State: INACTIVE
Application: GENERAL_TCP
Rule ID: 4
Rule name: 2
Start time: 2023-05-06 15:05:09  TTL: 298s
Initiator->Responder:            0 packets          0 bytes
Responder->Initiator:            0 packets          0 bytes
 
Initiator:
  Source      IP/port: 49.234.25.245/49399
  Destination IP/port: 115.221.240.66/1234
  DS-Lite tunnel peer: -
  VPN instance/VLAN ID/Inline ID: -/-/-
  Protocol: UDP(17)
  Inbound interface: Dialer1
  Source security zone: Untrust
Responder:
  Source      IP/port: 115.221.240.66/1234
  Destination IP/port: 49.234.25.245/49399
  DS-Lite tunnel peer: -
  VPN instance/VLAN ID/Inline ID: -/-/-
  Protocol: UDP(17)
  Inbound interface: InLoopBack0
  Source security zone: Local
State: INACTIVE
Application: GENERAL_UDP
Rule ID: 4
Rule name: 2  
Start time: 2023-05-06 15:04:47  TTL: 276s
Initiator->Responder:            0 packets          0 bytes
Responder->Initiator:            0 packets          0 bytes

对比 slot1大部分都是转发的报文。

<H3C-F1000-AK135>disp session ta ipv4 ver
Slot 1:
Initiator:
  Source      IP/port: 192.168.20.124/57721
  Destination IP/port: 192.168.200.57/8080
  DS-Lite tunnel peer: -
  VPN instance/VLAN ID/Inline ID: -/-/-
  Protocol: TCP(6)
  Inbound interface: Reth12
  Source security zone: Trust
Responder:
  Source      IP/port: 192.168.200.57/8080
  Destination IP/port: 115.221.240.66/8104
  DS-Lite tunnel peer: -
  VPN instance/VLAN ID/Inline ID: -/-/-
  Protocol: TCP(6)
  Inbound interface: Dialer1
  Source security zone: Untrust
State: TCP_SYN_SENT
Application: GENERAL_TCP
Rule ID: 1
Rule name: trust_untrsut
Start time: 2023-05-06 15:07:57  TTL: 20s
Initiator->Responder:            2 packets        104 bytes
Responder->Initiator:            0 packets          0 bytes
 
Initiator:
  Source      IP/port: 172.18.15.104/59664
  Destination IP/port: 192.168.200.56/8080
  DS-Lite tunnel peer: -
  VPN instance/VLAN ID/Inline ID: -/-/-
  Protocol: TCP(6)
  Inbound interface: Reth12
  Source security zone: Trust
Responder:
  Source      IP/port: 192.168.200.56/8080
  Destination IP/port: 115.221.240.66/42532
  DS-Lite tunnel peer: -
  VPN instance/VLAN ID/Inline ID: -/-/-
  Protocol: TCP(6)
  Inbound interface: Dialer1
  Source security zone: Untrust
State: TCP_SYN_SENT
Application: GENERAL_TCP
Rule ID: 1
Rule name: trust_untrsut
Start time: 2023-05-06 15:07:45  TTL: 7s
Initiator->Responder:            1 packets         52 bytes
Responder->Initiator:            0 packets          0 bytes
 
Initiator:
  Source      IP/port: 192.168.30.183/53390
  Destination IP/port: 17.3.92.215/445
  DS-Lite tunnel peer: -
  VPN instance/VLAN ID/Inline ID: -/-/-
  Protocol: TCP(6)
  Inbound interface: Reth12
  Source security zone: Trust
Responder:
  Source      IP/port: 17.3.92.215/445
  Destination IP/port: 192.168.30.183/53390
  DS-Lite tunnel peer: -
  VPN instance/VLAN ID/Inline ID: -/-/-
  Protocol: TCP(6)
  Inbound interface: Vlan-interface4012
  Source security zone: Untrust
State: TCP_SYN_SENT
Application: MICROSOFT-DS
Rule ID: 1
Rule name: trust_untrsut
Start time: 2023-05-06 15:07:52  TTL: 14s
Initiator->Responder:            1 packets         48 bytes
Responder->Initiator:            0 packets          0 bytes

进一步查看设备配置,发现现场配置了出链路负载均衡功能,转发的流量都要走LLB的流程。

#
virtual-server ##defaultvsforllbipv4##%%autocreatedbyweb%% type link-ip
 virtual ip address 0.0.0.0 0
 lb-policy ##defaultpolicyforllbipv4##%%autocreatedbyweb%%
 service enable
 bandwidth interface statistics enable
#

虚服务器默认不备份会话


解决方法

开启虚服务器的会话扩展信息备份功能

connection-sync enable命令用来开启虚服务器的会话扩展信息备份功能。
undo connection-sync enable命令用来关闭虚服务器的会话扩展信息备份功能。
【命令】
connection-sync enable
undo connection-sync enable
【缺省情况】
虚服务器的会话扩展信息备份功能处于关闭状态。
【视图】
虚服务器视图
【缺省用户角色】
network-admin
mdc-admin
vsys-admin
【使用指导】
HTTP类型的虚服务器不支持本命令。
【举例】
开启IP类型的虚服务器vs3的会话扩展信息备份功能。
<Sysname>system-view
[Sysname] virtual-server vs3 type ip
[Sysname-vs-ip-vs3] connection-sync enable

该案例对您是否有帮助:

您的评价:1

若您有关于案例的建议,请反馈:

0 个评论

该案例暂时没有网友评论

编辑评论

举报

×

侵犯我的权益 >
对根叔知了社区有害的内容 >
辱骂、歧视、挑衅等(不友善)

侵犯我的权益

×

泄露了我的隐私 >
侵犯了我企业的权益 >
抄袭了我的内容 >
诽谤我 >
辱骂、歧视、挑衅等(不友善)
骚扰我

泄露了我的隐私

×

您好,当您发现根叔知了上有泄漏您隐私的内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱,我们会尽快处理。
  • 1. 您认为哪些内容泄露了您的隐私?(请在邮件中列出您举报的内容、链接地址,并给出简短的说明)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)

侵犯了我企业的权益

×

您好,当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱,我们会在审核后尽快给您答复。
  • 1. 您举报的内容是什么?(请在邮件中列出您举报的内容和链接地址)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)
  • 3. 是哪家企业?(营业执照,单位登记证明等证件)
  • 4. 您与该企业的关系是?(您是企业法人或被授权人,需提供企业委托授权书)
我们认为知名企业应该坦然接受公众讨论,对于答案中不准确的部分,我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

抄袭了我的内容

×

原文链接或出处

诽谤我

×

您好,当您发现根叔知了上有诽谤您的内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱,我们会尽快处理。
  • 1. 您举报的内容以及侵犯了您什么权益?(请在邮件中列出您举报的内容、链接地址,并给出简短的说明)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)
我们认为知名企业应该坦然接受公众讨论,对于答案中不准确的部分,我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

对根叔知了社区有害的内容

×

垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载 >
辱骂、歧视、挑衅等(不友善)
骚扰我
诱导投票

不规范转载

×

举报说明

提出建议

    +

亲~登录后才可以操作哦!

确定

亲~检测到您登陆的账号未在http://hclhub.h3c.com进行注册

注册后可访问此模块

跳转hclhub

你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作