Print

关于在H3Cloud OS或VCFC上添加或删除防火墙规则时可能引起业务中断的问题公告

2017-11-29 发表

【产品型号】

H3Cloud OS

H3C VCFC

【涉及版本】

H3Cloud OS E1138H02之前版本

H3C VCFC主线E2187及之前版本

H3C VCFC分支E2180P12及之前版本

【问题描述】

当在H3Cloud OSVCFC上直接添加或删除防火墙规则时,业务可能出现秒级中断(防火墙规则越多,中断时间越长),随后自动恢复。

【原因分析】

防火墙早期版本不支持Netconf MOVE规则操作,当添加或删除的规则不是在规则集的末位操作时,将导致防火墙规则重新排序。此时控制器会删除现有规则再重新下发,造成经过防火墙的业务短时中断。


防火墙早期版本不支持Netconf MOVE规则操作,当添加或删除的规则不是在规则集的末位操作时,将导致防火墙规则重新排序。此时控制器会删除现有规则再重新下发,造成经过防火墙的业务短时中断。


规避措施:

操作方式

VCFC上操作对业务的影响

CloudOS上操作对业务影响

规避措施

直接添加

VCFC默认将规则添加在末尾,对业务无影响

CloudOS默认将规则添加首位,会造成业务短时中断

CloudOS上添加防火墙规则时,通过特定操作指定将规则添加至末尾,CloudOSE1131版本开始支持,详见表格下方的配置举例

将规则指定添加在非末尾的位置

短时中断,防火墙规则配置越多,中断时间越长

短时中断,防火墙规则配置越多,中断时间越长

申请变更窗口

删除非末位位置的规则

短时中断,防火墙规则配置越多,中断时间越长

短时中断,防火墙规则配置越多,中断时间越长

申请变更窗口

添加规则举例:

1、由于CloudOS上看到的最后一条防火墙规则并不是防火墙上实际排在末尾的规则。首先需在VCFC上防火墙对应策略查看最后一条防火墙规则名称,如下图所示的test_3 。

2、在CloudOS上的选择框中选中实际排列在末尾的规则test_3,指定将新规则添加再其之后。

解决方案:

VCFC后续版本支持插入或删除规则时不删除已有规则,具体版本需咨询新网络二线。

H3Cloud OS 后续发布的版本E1138H02将支持在新增防火墙规则时默认添加在规则末尾。