山石hillstone日常维护手册234.docx
- 文档编号:26975837
- 上传时间:2023-06-24
- 格式:DOCX
- 页数:24
- 大小:98.24KB
山石hillstone日常维护手册234.docx
《山石hillstone日常维护手册234.docx》由会员分享,可在线阅读,更多相关《山石hillstone日常维护手册234.docx(24页珍藏版)》请在冰豆网上搜索。
山石hillstone日常维护手册234
Hillstone防火墙维护手册
Hillstone山石网科
20XX年X月
**防火墙硬件部分日常维护5
**防火墙机房要求5
**防火墙电源检查5
**防火墙风扇5
**防火墙前面板指示灯检查6
**防火墙模块及数据接口检查7
**防火墙系统部分日常维护7
**防火墙OS版本检查7
**防火墙温度和风扇检查8
**防火墙session利用率检查8
**防火墙CPU利用率检查8
**防火墙内存利用率检查9
**防火墙接口状态检查9
**防火墙路由检查11
**防火墙fib状态检查11
**防火墙日志检查12
**常见故障排查指南13
**防火墙CPU过高的处理13
**设备session数过多的处理14
**HA异常的处理14
**内网用户丢包的处理15
**目的NAT不生效的处理16
**设备无法管理的处理16
**策略配置与优化(policy)16
**故障处理工具17
**系统诊断工具17
**debug诊断与排错18
**防火墙备份和恢复22
**防火墙配置备份22
**防火墙配置恢复23
**防火墙出厂配置24
**防火墙软件升级24
**防火墙常用命令28
**查看设备序列号28
**重启防火墙29
**查看防火墙接口状态30
**查看防火墙安全区域30
**查看防火墙路由表31
**查看防火墙安全策略31
1概述
防火墙作为企业核心网络中的关键设备,需要为所有进出网络的信息流提供安全保护,对于企业关键的实时业务系统,要求网络能够提供7*24小时的不间断保护,保持防火墙系统可靠运行及在故障情况下快速诊断恢复成为维护人员的工作重点。
Hillstone防火墙提供了丰富的冗余保护机制和故障诊断、排查方法,通过日常管理维护可以使防火墙运行在可靠状态,在故障情况下通过有效故障排除路径能够在最短时间内恢复网络运行。
本文对Hillstone防火墙日常维护进行较系统的总结,为防火墙维护人员提供设备运维指导。
2Hillstone防火墙日常维护
围绕防火墙可靠运行和出现故障时能够快速恢复为目标,Hillstone防火墙维护主要思路为:
通过积极主动的日常维护将故障隐患消除在萌芽状态;故障发生时,使用恰当的诊断机制和有效的故障排查方法及时恢复网络运行;故障处理后及时进行总结与改进避免故障再次发生。
2.1防火墙硬件部分日常维护
2.1.1防火墙机房要求
Ø机房的卫生状况,要求清洁,防火墙上没有灰尘。
Ø温度(摄氏℃)
工作环境温度0℃-40℃
工作环境湿度(%)10%-95%
2.1.2防火墙电源检查
Ø检查防火墙电源插头有无松动。
Ø检查防火墙LED电源指示灯颜色:
电源指示灯颜色:
PWR1
电源1
绿色常亮
电源1工作正常
橙色常亮
电源工作异常
红色常亮
电源工作异常,系统处于关闭状态
PWR2
电源2
绿色常亮
电源2工作正常
橙色常亮
电源工作异常
红色常亮
电源工作异常,系统处于关闭状态
2.1.3防火墙风扇
Ø低端产品防火墙风扇固定在产品内;
Ø高端产品风扇为模块化设计,可热插拔;
Ø检测防火墙风扇风扇指示灯有否告警;
Ø检测风扇风力是否适中
风扇指示灯颜色:
FAN
风扇状态
绿色常亮
风扇工作正常
橙色常亮
一个风扇损坏,系统正常运行
红色常亮
风扇系统发生严重故障将自动进入关闭状态
2.1.4防火墙前面板指示灯检查
根据防火墙指示灯状况,可迅速查看防火墙某部分出现故障,以及防火墙运行情况。
指示灯
用途
颜色
说明
STATUS
系统状态
绿色闪烁
正常运行
绿色闪烁
系统启动并正常工作
红色常亮
系统启动失败或者系统异常
ALARM
系统警告
红色常亮
系统告警
绿色闪烁
系统处于等待状态
橙色闪烁
系统正在使用试用许可证
橙色
试用许可证到期,无合法许可证
PS
PS状态
绿色常亮
电源PS正常供电
橙色常亮
正常供电,电源散热风扇出现故障
熄灭
电源PS没有供电或者电源故障
HA
HA状态
绿色常亮
只有一台设备,工作在master状态
绿色闪烁
有一主一备两台设备,本设备工作master状态
黄色闪烁
有一主一备两台设备,本设备工作slave状态
红色闪烁
HA工作异常
VPN
VPN状态
绿色常亮
VPN隧道已连接
橙色常亮
VPN功能开启,无隧道连接
熄灭
VPN功能未启用
2.1.5防火墙模块及数据接口检查
Ø系统防火墙接口状态检查
检查模块安装是否松动,接口模块上指示灯是否正常。
已接有链路的端口link端为绿色常亮,ACT指示灯为黄色闪烁。
防火墙接口状态指示灯颜色:
Link
Link状态
绿色常亮
端口与对端设备通过网线或者光纤连接正常
熄灭
端口与对端无连接或者连接失败
ACT
ACT状态
黄色闪烁
端口处于收发状态
2.2防火墙系统部分日常维护
2.2.1防火墙OS版本检查
在防火墙上运行showversion查看当前软件版本和防火墙硬件设备系统持续运行时间及上次系统重启时间。
hillstone(config)#showversion
HillstoneStoneOSsoftware,Version3.5
Copyright(c)2006-2009byHillstoneNetworks,Inc.
Productname:
VR5600TS/N:
XX06741Assemblynumber:
B045
BootfileisSA2000-3.5R2p4.binfromflash
Builtbybuildmaster22009/07/0712:
34:
08
Uptimeis0day0hour55minutes46seconds
2.2.2防火墙温度和风扇检查
检查防火墙温度如有超出标准值并是否处于正常状态,检查风扇及机扇环境,及时更换部件。
hillstone(config)#showenvironment
Boththetemperatureandfanareinnormalstate.
2.2.3防火墙session利用率检查
每个防火墙的并发会话数都有一个最值,如果超出最大值说明防火墙并发会话已经达到极限,防火墙成为一性能瓶颈,需要升级到更高档次防火墙。
会话信息如包含allocfailed说明防火墙会话曾经达到最大值,防火墙会话建立失败,可能是防火墙性能的问题或曾经出现网络攻击现象。
hillstone#showsessiongeneric
VSYS0,max200000,alloced0,denysession0,free200000,tunnel0,allocfailed0
2.2.4防火墙CPU利用率检查
hillstone防火墙的CPU主要任务为执行功能、会话、日志等管理功能,一般情况下CPU利用率不会太过高,一般超出75%以上要检查网络是否有攻击行为或网络流量异常行为。
防火墙CPU统计有1分钟、5分钟、15分钟平均值。
在某一时间段CPU利率较高,属异常现象,可能有攻击等情况发生。
CPU利用率持续较高,说明防火墙配置错误,需要调整防火墙配置,以降低CPU利用率。
hillstone#showcpu
Averagecpuutilization:
0.2%
currentcpuutilization:
2.0%
Last1minute:
0.1%
Last5minutes:
0.2%
Last15minutes:
0.2%
2.2.5防火墙内存利用率检查
在防火墙内执行showmemory查看内存利用率,防火墙利用率平时最好不能超过70%,如果超过要检查网络是否存在攻击行为。
hillstone#showmemory
Thepercentageofmemoryutilization:
25%
total(kB)used(kB)free(kB)
524288132793391495
2.2.6防火墙接口状态检查
在防火墙执行showinterface检查接口状态或者检查某个接口的状态情况详细信息。
SA-2001#showinterface
H:
physicalstate;A:
adminstate;L:
linkstate;P:
protocolstate;U:
up;D:
down
=============================================================InterfacenameIPaddress/maskZonenameHALPMACaddress
------------------------------------------------------------------------------
ethernet0/0192.168.10.1/24trustUUUU001c.5403.e100
ethernet0/1192.168.1.200/24untrustDUDD001c.5403.e101
ethernet0/20.0.0.0/0NULLDUDD001c.5403.e102
ethernet0/30.0.0.0/0NULLDUDD001c.5403.e103
ethernet0/40.0.0.0/0NULLDUDD001c.5403.e104
vswitchif10.0.0.0/0NULLDUDD001c.5403.e10d
SA-2001#showinterfaceeth0/0
------------------------------------------------------------------------------
Interfaceethernet0/0
description:
PhysicalupAdminup
LinkupProtocolup
InterfaceID:
8
IPaddress:
192.168.10.1
IPaddressmask:
255.255.255.0
MACaddress:
001c.5403.e100
Ipmtu:
1500
ARPlearn:
enable
ARPdisable-dynamic-entry:
disable
ARPtimeout:
1200
Speedmode:
1000
Duplexmode:
full
mediatype:
copper
QoSinputprofile:
1st-level--
2nd-level--
QoSoutputprofile:
1st-level--
2nd-level--
downstreambandwidthis1000000000
upstreambandwidthis1000000000
Bindtozonetrust
Belongtovsysroot
Auth-arpdisable
manageservice:
SSH;TELNET;PING;SNMP;HTTP;HTTPS;
SecondaryIPaddress0:
0.0.0.0mask:
0.0.0.0
SecondaryIPaddress1:
0.0.0.0mask:
0.0.0.0
2.2.7防火墙路由检查
防火墙在透明模式只有vswicthif1或者设备interfaceeth0/0口通过默认IP地址登录,用来管理防火墙,透明模式下,路由只与管理有关,与数据转发无关。
防火墙在路由模式下工作时,防火墙数据转发跟系统路由相关。
检查路由设置是否正确。
Showiproute
hillstone#showiproute
Codes:
K-kernelroute,C-connected,S-static,I-ISP,R-RIP,O-OSPF,
B-BGP,D-DHCP,P-PPPoE,H-HOST,G-SCVPN,V-VPN,M-IMPORT,
>-selectedroute,*-FIBroute
RoutingTableforVirtualRouter
====================================================================
C>*192.168.1.0/24isdirectlyconnected,ethernet0/0
H>*192.168.1.1/32[0/0/1]islocaladdress,ethernet0/0
====================================================================
2.2.8防火墙fib状态检查
通过防火墙fib查看信息连接表情况
SA-2001#showfib
U-up;G-gateway;H-host;C-connected;B-blackhole;N-subnetbroadcast;
P-pingtrack;S-switchover;I-interface;V-vrouter
ForwardingTableforVirutalRouter
======================================================================
DestinationGatewayFlagsInterfaceWeight
------------------------------------------------------------------------------
**/240.0.0.0UCethernet0/01/1/1
**/32192.168.10.1UHethernet0/01/1/1
2.2.9**/32192.168.10.255UNethernet0/01/1/1
防火墙日志检查
hillstone提供了用于监控系统事件和网络流量的事件日志以及便于系统管理员分析和跟踪设备各种问题情况。
Stoneos的日志信息分为七种,分别是事件(Event)日志信息、告警(Alarm)日志信息、安全(Security)日志信息、配置(Configuration)日志信息、网络(network)日志信息、流量(Traffic)日志信息和调试(Debug)日志信息。
日志信息根据严重级别的不同,又可以分为8级别。
日志信息严重性级别分类:
ØEmergency(紧急)级别0:
系统不可用信息。
ØAlert(警示)级别1:
需要立即处理的信息,如设备受到攻击灯。
ØCritical(关键)级别2:
危急信息,如硬件出错。
ØError(错误)级别3:
错误信息。
ØWarning(警告)级别4:
报警信息。
ØNotification(通知)级别5:
非错误信息,但需要特殊处理。
ØInformation(信息)级别6:
通知信息。
ØDebugging(调试)级别7:
调试信息,包括正常的使用信息。
查看一些日志告警信息如下:
showloggingevent
showloggingsecurity
2.3常见故障排查指南
2.3.1防火墙CPU过高的处理
Ø查看设备当前吞吐是否到达设备极限,如果到达设备极限,建议通过减少通过设备流量,或者更换其他高性能防火墙的方式来解决。
Ø查看设备是否开启太多的统计集,如果统计集功能开启较多会占用较大cpu,建议通过关闭统计集的方法来降低cpu的使用率。
如果确实需要开启统计集,建议在一定时间内开启,待结果统计出来后即刻关闭统计集。
Ø查看设备是否开启debug,cli下输入showdebug如果开启建议关闭debug,方法:
连续按两次ESC键。
Ø设备开启太多占用cpu资源的功能,建议暂时关闭部分功能,或者更换高性能防火墙。
2.3.2设备session数过多的处理
通过showsessiongeneric或web查看到设备session数使用过多,解决方法:
在统计集中开启基于用户的session数统计,查看具体session数字过大的ip,手动将该ip的session删除,命令:
clearsessionsrc-ipip-address,来暂时降低设备的session。
通过配置session-limit的形式来控制用户的session数,操作方法(web):
请根据实际情况配置上面数值。
2.3.3HA异常的处理
在HA正常配置后,如果网络结果不发生变化,很少出现问题。
如果出现问题一般是由于HA心跳线由于某种原因断开所致。
建议出现问题后先通过下面的几个命令查看HA状态,可以先暂时将备用设备的HA功能关闭,检查两台设备HA部分配置是否一致,确认无误后再开启备用设备的HA功能。
查看HA状态命令:
Øshowhalinkstatus //查看HAlink状态,确认HAlink接口状态是否正常。
Ø showhagroupconfig//查看HAgroup配置状态,确认HAgroup相关配置。
Ø showhagroup0 //通过查看HAgroup0状态,确认对端状态是否正常。
Øshowhacluster//查HA簇配置信息。
Øshowhasyncstateconfig//查看HA配置同步状态。
Ønohacluster//关闭HA配置。
2.3.4内网用户丢包的处理
Ø确认用户到到网关是否丢包,如果内网网关丢包请检查内网交换、路由问题。
Ø确认到内网不丢包,到外网网关丢包,请检查从防火墙上到外网网关是否有丢包,如果丢包请联系线路供应商检查链路质量。
Ø确认从防火墙上到外网网关不丢包,请检查防火墙cpu是否很高,如果cpu高请根据cpu高的处理方法操作。
Ø确认cpu不高,请开启接口带宽统计集,查看接口带宽是否占满,如果带宽占满,请考虑通过配置qos功能对流量做控制。
2.3.5目的NAT不生效的处理
Ø检查服务器本身端口是否开启。
Ø检查是否有从外到内的策略是否有放行,源地址为any目的地址为映射后的公网地址。
Ø检查内网服务器网关配置是否正确
2.3.6设备无法管理的处理
Ø设备不能通过某些pc实现管理,原因:
Ø查看设备时候配置有可信任主机,并且该地址是否在可信任主机列表中。
web下位置:
系统-设备管理-可信任主机
cli下命令:
showadminhost
Ø添加可信任主机及权限方法:
web下位置:
系统-设备管理-可信任主机-新建
cli下命令:
SA(config)#adminhost A.B.C.D/M any
2.4策略配置与优化(policy)
防火墙策略优化与调整是网络维护工作的重要内容,策略是否优化将对设备运行性能产生显著影响。
考虑到企业中业务流向复杂、业务种类往往比较多,因此建议在设置策略时尽量保证统一规划以提高设置效率,提高可读性,降低维护难度。
●简化的策略表不仅便于维护,而且有助于快速匹配。
尽量保持策略表简洁和简短,规则越多越容易犯错误。
通过定义地址组和服务组可以将多个单一策略合并到一条组合策略中。
●防火墙按从上至下顺序搜索策略表进行策略匹配,策略顺序对连接建立速度会有影响,建议将流量大的应用和延时敏感应用放于策略表的顶部,将较为特殊的策略定位在不太特殊的策略上面。
●防火墙管理存在多个管理员情况,平时防火墙策略可能出现重复叠加情况,导致策略数过多,时间一长会耗尽防火墙策略资源,为了更好策略数过多而且存在重复情况,采用策略规则匹配次数统计功能在观察一些没有匹配流量的策略并进行确认后删除.
showpolicyhit-count{idid|[fromsrc-zone][todst-zone]top{10|20
|50}}
♦idid–显示指定ID规则的匹配次数统计信息。
♦fromsrc-zone–显示源安全域为指定域的规则的匹配次数统计信息
♦todst-zone–显示目标安全域为指定域的规则的匹配次数统计信息。
♦top{10|20|50}–显示匹配次数位于前10、20或者50
计信息。
2.5故障处理工具
2.6.1系统诊断工具
安全网关支持网络连接测试工具Ping和Traceroute,当网络出现问题时,用户可以用这些工具对网络进行测试,查找故障原因。
安全网关同时具有调试功能,供用户查阅与分析。
ØPing命令主要用于检查网络连接状态以及主机是否可达。
ping{ip-address|hostname}[countnumber][sizenumber][sourceip-address][timeouttime]
ØTraceroute用于测试数据包从发送主机到目的地所经过的网关。
它主要用于检查网络连接是否可达,以及分析网络什么地方发生了故障。
traceroute{ip-address|hostname}[numberic][portport-number]
[probeprobe-number][timeouttime][ttl[min-ttl][max-ttl]]
[sourceinterface][use-icmp]
2.6.2debug诊断与排错
ØDEBUG数据流基本步骤
1、关闭debug信息输出到console,把debug信息输到buffer.
nologgingdebugtoconsole/闭debug信息输出到console/
loggingdebugtobuffer/debug信息输到buffer/
loggingdebugon/开启debug日志信息/
2、设置debug过滤器(为了快速定位,请设置过滤条件)
debugdpfilter{src-ip|src-port|proto|dst-ip|dst-port}
undebugdpfilterid/关闭过滤条件/
3、开启debug功能
debugdpbasic/error/drop
4、清除缓存debug日志信息
clearlogg
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 山石 hillstone 日常 维护 手册 234
![提示](https://static.bdocx.com/images/bang_tan.gif)