现场设备做了IRF,现场的异常流量拓扑如下:
10.10.10.101--------------------------BGG10 (F5060)BGG30------------------211.137.191.**(DNS服务器)
现场设备做了IRF,会有部分经过设备的DNS解析流量,无法正常转发的情况,经过查看日志,有大量回程流量被拦截的日志记录。
%Oct 30 11:16:36:102 2019 SDFI_Server_FW-F5060 FILTER/6/FILTER_ZONE_IPV4_EXECUTION: -Slot=2; SrcZoneName(1025)=Untrust;DstZoneName(1035)=Trust;Type(1067)=ACL;SecurityPolicy(1072)=any_TO_Server;RuleID(1078)=10;Protocol(1001)=UDP;Application(1002)=general_udp;SrcIPAddr(1003)=211.137.191.**;SrcPort(1004)=53;SrcMaAddr(1021)=441a-fa74-dc01;DstIPAddr(1007)=10.10.10.101;DstPort(1008)=8528;MatchCount(1069)=1;Event(1048)=Deny;
(1)因为现场日志中报错,都是回包的被拒绝的日志记录,同时现场设备还是台做了IRF的设备,所以开始怀疑是会话同步的问题。但是检查设备配置发现,现场设备的会话同步是开启了的。
session synchronization enable asymmetric
session synchronization dns http
(2)查看会话,显示是没有回包:
Initiator:
Source IP/port: 10.10.10.101/37248
Destination IP/port: 211.137.191.**/53
DS-Lite tunnel peer: -
VPN instance/VLAN ID/Inline ID: -/2010/-
Protocol: UDP(17)
Inbound interface: Bridge-Aggregation30
Source security zone: Trust
Responder:
Source IP/port: 211.137.191.**/53
Destination IP/port: 10.10.10.101/37248
DS-Lite tunnel peer: -
VPN instance/VLAN ID/Inline ID: -/2010/-
Protocol: UDP(17)
Inbound interface: Bridge-Aggregation10
Source security zone: Untrust
State: UDP_OPEN
Application: DNS
Rule ID: 40
Rule name: out_9999_可访问校外网地址
Start time: 2019-10-30 17:05:26 TTL: 22s
Initiator->Responder: 1 packets 104 bytes
Responder->Initiator: 0 packets 0 bytes
(3)由于通常没有回程会话记录的情况下,是没有回包导致的,但是由于设备日志中有报错,所以我们收集了下debug信息这边看下:
Debug中查看确实有发包和回包记录:
*Oct 30 17:13:13:744 2019 SDFI_Server_FW-F5060 FILTER/7/PACKET: -COntext=1; The packet is permitted. Src-ZOne=Trust, Dst-ZOne=Untrust;If-In=Bridge-Aggregation30(155), If-Out=Bridge-Aggregation10(151), VLAN-In=2010, VLAN-Out=2010; Packet Info:Src-IP=10.10.10.101, Dst-IP=211.137.191.**, VPN-Instance=, Src-MacAddr=0016-31e7-466c,Src-Port=44935, Dst-Port=53, Protocol=UDP(17), Application=dns(574), SecurityPolicy=out_9999_可访问校外网地址, Rule-ID=40.
但是对于回包,debug中显示报文被丢弃:
*Oct 30 17:13:16:431 2019 SDFI_Server_FW-F5060 FILTER/7/PACKET: -COntext=1-Slot=2; The packet is denied. Src-ZOne=Untrust, Dst-ZOne=Trust;If-In=Bridge-Aggregation10(151), If-Out=Bridge-Aggregation30(155), VLAN-In=2010, VLAN-Out=2010; Packet Info:Src-IP=211.137.191.**, Dst-IP=10.10.10.101, VPN-Instance=, Src-MacAddr=441a-fa74-dc01,Src-Port=53, Dst-Port=44935, Protocol=UDP(17), Application=general_udp(2087), SecurityPolicy=any_TO_Server, Rule-ID=10.
(4)根据debug和会话情况,可以确认,该问题确实是由于我们设备的问题导致的。但是结合日志中查看的情况,只有DNS的回包流量会被拒绝,正常情况下,DNS的请求流量经过我们设备转发出去后,设备上会有相应的会话,然后回程流量会匹配会话做回程的转发,DNS请求的流量已经正常转发出去了,那么回包被拒绝就应该不是安全策略的原因导致了的。
所以怀疑是否设备上的DNS会话,在DNS应答报文还没到设备上的时候,就已经老化了,所以拒绝了收到的DNS应答报文。
我们的DNS应用老化时长默认是1秒的,后续让现场将后来让现场将配置session aging-time application DNS 5测试,故障依旧。
(5)后续经产品线工程师建议,修改为session aging-time application DNS 30后,测试正常
(1)设备上开启会话同步功能:
session synchronization enable asymmetric
session synchronization dns http
(2)同时修改设备上的DNS会话默认老化时长为1秒,将老化时长修改为30秒使用
session aging-time application DNS 30
该案例暂时没有网友评论
✖
案例意见反馈
亲~登录后才可以操作哦!
确定你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作