【产品型号】
H3Cloud OS
H3C VCFC
【涉及版本】
H3Cloud OS E1138H02之前版本
H3C VCFC主线E2187及之前版本
H3C VCFC分支E2180P12及之前版本
【问题描述】
当在H3Cloud OS或VCFC上直接添加或删除防火墙规则时,业务可能出现秒级中断(防火墙规则越多,中断时间越长),随后自动恢复。
【原因分析】
防火墙早期版本不支持Netconf MOVE规则操作,当添加或删除的规则不是在规则集的末位操作时,将导致防火墙规则重新排序。此时控制器会删除现有规则再重新下发,造成经过防火墙的业务短时中断。
防火墙早期版本不支持Netconf MOVE规则操作,当添加或删除的规则不是在规则集的末位操作时,将导致防火墙规则重新排序。此时控制器会删除现有规则再重新下发,造成经过防火墙的业务短时中断。
规避措施:
操作方式 |
在VCFC上操作对业务的影响 |
在CloudOS上操作对业务影响 |
规避措施 |
直接添加 |
VCFC默认将规则添加在末尾,对业务无影响 |
CloudOS默认将规则添加首位,会造成业务短时中断 |
在CloudOS上添加防火墙规则时,通过特定操作指定将规则添加至末尾,CloudOS从E1131版本开始支持,详见表格下方的配置举例 |
将规则指定添加在非末尾的位置 |
短时中断,防火墙规则配置越多,中断时间越长 |
短时中断,防火墙规则配置越多,中断时间越长 |
申请变更窗口 |
删除非末位位置的规则 |
短时中断,防火墙规则配置越多,中断时间越长 |
短时中断,防火墙规则配置越多,中断时间越长 |
申请变更窗口 |
添加规则举例:
1、由于CloudOS上看到的最后一条防火墙规则并不是防火墙上实际排在末尾的规则。首先需在VCFC上防火墙对应策略查看最后一条防火墙规则名称,如下图所示的test_3 。
2、在CloudOS上的选择框中选中实际排列在末尾的规则test_3,指定将新规则添加再其之后。
解决方案:
VCFC后续版本支持插入或删除规则时不删除已有规则,具体版本需咨询新网络二线。
H3Cloud OS 后续发布的版本E1138H02将支持在新增防火墙规则时默认添加在规则末尾。