防火墙F1000-AK1150,随机不完全断网问题
- 0关注
- 0收藏，104浏览
问题描述：
学校环境，网络出口是华三防火墙，防火墙型号是F1000-AK1150,防火墙上联运营商互联网专线，防火墙下联华三上网行为管理器，上网行为管理下联华三核心，核心有2个板卡，板卡1下联接入交换机，板卡2 pon口下联分光器，分光器下联ONU，onu下联电脑和AP，现在的问题故障是，平均2-3天 整个学校会出现QQ能上 打不开网页 或者打开网页很慢，换了DNS也不行，重启防火墙就好， 故障的时候看了 防火墙 CPU占用49% ，内存占用76%，会话数达到10万条， 防火墙和核心侧 电脑侧 都能PING 通百度DNS 和运营商DNS， 请别的技术看了下，分析说可能是防火墙CPU占用过高，或需升级下防火墙版本看看，我自己分析有可能是硬件占用高，或者软件版本Bug导致的内存泄漏，哪位大神帮忙分析下
故障时，防火墙页面
型号是F1000-AK1150 防火墙当前版本：H3C Comware Software, Version 7.1.064, Release 8860P1211
麻烦管理员或大神提供一款 适合当前防火墙型号和版本的 升级该问题的版本型号，感谢
从会话数10万条来看，76%的内存可能正是被这10万条会话消耗掉了，防火墙的会话表项达到了性能瓶颈，导致无法为新连接（尤其是HTTP 80/443这种需要新建大量连接的）建立会话，而已经建立的连接（如QQ）不受影响。
可以先升级下版本试试
https://www.h3c.com/cn/Service/Document_Software/Software_Download/IP_Security/FW/Comware_V7/H3C_SecPath_F1000-AI-15/
大神，这是我AI上的回答，麻烦参考帮忙看下 ，会话数10万条：查询H3C F1000-AK1150的规格，其最大并发连接数是40万条。10万条仅占25%，远未到硬件极限。 内存76%、CPU 49%：CPU正常，但内存偏高。 结论：这不是单纯的"会话数过高"，也不是"CPU过载"，而是防火墙系统内部存在内存泄漏，运行2-3天后内存被异常占用到76%（触发告警），导致新建TCP连接（网页访问）失败。重启防火墙后内存释放，临时恢复。
猜测可能是这个问题，确认下吧
问题描述
|
公告类别 |
强制立即整改 |
|
整改完成期限 |
2022/9/23 |
|
操作要求 |
配置更改 |
【产品型号】
F100系列、F1000系列、F5000系列、SecBlade FW 系列中低端防火墙；
T1000系列、T5000系列、SecBlade IPS 系列入侵防御；
L100系列、L1000系列、L5000系列、SecBlade ADE 系列负载均衡。
【涉及版本】
所有Comware V7版本。
【问题描述】
当大量安全模块日志（安全策略日志、流日志、威胁日志等）上送设备信息中心时，可能导致设备运行异常，出现无法登录、转发异常、设备挂死、设备重启等故障。
原因分析
【原因分析】
当日志量大的情况下，可能导致控制核繁忙，内部进程通信异常，同时转发性能下降。
规避措施/解决方案
【解决方案】
1、开启各安全模块记录日志功能时，必须同步配置快速日志（customlog）将对应模块日志发送至日志主机；
2、严禁配置Flow日志输出到信息中心。
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
大神，这是我AI上的回答，麻烦参考帮忙看下 ，会话数10万条：查询H3C F1000-AK1150的规格，其最大并发连接数是40万条。10万条仅占25%，远未到硬件极限。 内存76%、CPU 49%：CPU正常，但内存偏高。 结论：这不是单纯的"会话数过高"，也不是"CPU过载"，而是防火墙系统内部存在内存泄漏，运行2-3天后内存被异常占用到76%（触发告警），导致新建TCP连接（网页访问）失败。重启防火墙后内存释放，临时恢复。