第九章 防火墙典型组网及常见故障诊断
网络防火墙排查与解决网络故障的方法(四)
网络防火墙排查与解决网络故障的方法随着互联网的迅速发展，网络安全问题日益凸显。
为了确保网络的安全与稳定，网络防火墙成为了必不可少的一种防护设备。
然而，网络防火墙也不是绝对完美的，有时候也会发生故障，给网络运维人员带来一些困扰。
本文将探讨网络防火墙排查与解决网络故障的方法，以期为网络运维人员提供一些参考。
一、排查网络防火墙故障的方法1.检查硬件设备：首先要确定网络防火墙的硬件设备是否正常工作。
检查电源、风扇、接口等物理部分是否存在故障，同时还需检查硬件设备的配置是否正确。
2.审查日志记录：网络防火墙一般都会记录重要事件和警报信息，通过审查防火墙的日志记录可以发现潜在的故障或异常情况。
关注系统错误、连接中断以及异常数据流量等问题，以便进一步排查。
3.验证安全策略：网络防火墙的安全策略是决定哪些网络流量允许通过的重要依据。
排查网络防火墙故障时，需要验证安全策略是否正确、完整。
检查访问控制列表（ACL）和规则集等配置，确保没有误配置或遗漏。
4.检查网络连接：网络防火墙作为网络的关键环节，需要确保其与其他设备的连接正常。
检查网络线缆连接是否松动或损坏，并测试是否能够与其他设备建立稳定的连接。
5.升级软件和固件：网络防火墙的软件和固件升级可能会修复一些已知的故障或漏洞。
在排查防火墙故障时，可以尝试升级软件和固件，以解决潜在的问题。
二、解决网络故障的方法1.重启设备：重启网络防火墙设备是解决一些常见故障的常用方法。
通过重启设备，可以清除一些临时缓存、刷新相关服务，从而恢复设备的正常工作。
2.修改配置：对于已排查出来的故障，可以尝试适当修改网络防火墙的配置。
例如，更新安全策略、调整访问控制列表或重新配置接口。
但在修改配置之前，建议先备份当前的配置，以防万一。
3.联系技术支持：对于一些复杂的网络故障，可能需要专业的技术支持进行协助。
如果经过自己排查和解决仍无法解决问题，可以联系网络防火墙设备提供商的技术支持团队，寻求专业的帮助。
网络防火墙排查与解决网络故障的方法(六)
网络防火墙排查与解决网络故障的方法介绍：网络防火墙是保护网络安全的重要手段之一，然而，有时候我们在使用网络时会遇到诸如无法访问某个网站、网速过慢等问题。
这些问题可能是由于网络防火墙的设置不当或存在故障所导致的。
本文将探讨网络防火墙排查以及解决网络故障的方法。
一、检查网络连接：首先，当我们遇到网络故障时，首要排查的是是否存在网络连接问题。
我们可以通过以下几个步骤来进行排查。
1. 确保使用的网络连接设备（例如路由器，交换机等）正常工作并且开启。
2. 检查网络线缆是否连接稳固，网线是否损坏。
3. 确认网络连接设备的指示灯是否正常工作，以确保物理连接没有问题。
4. 使用其他设备或电脑尝试连接同一网络，以确定问题是否存在于特定设备。
二、检查网络防火墙设置：假设我们排除了网络连接问题，但仍然无法正常访问某些网站或网速过慢，这时候我们需要检查网络防火墙的设置。
1. 查看防火墙规则：防火墙服务可能会限制特定端口或IP地址的访问。
检查防火墙规则，确保被限制的端口或IP地址被正确设置为允许。
2. 禁用防火墙：暂时禁用防火墙，看看问题是否得到解决。
如果问题消失，则说明是防火墙设置导致的。
3. 防火墙更新：确保防火墙软件是最新版本，并更新规则以适应网络环境的变化。
4. 其他网络防火墙设备：在大型网络环境中，可能有多个网络防火墙设备。
确保所有设备的设置一致，以免产生冲突。
三、调整网络设置：如果无法解决问题，可能是由于网络设置不当导致的。
以下是一些常见的网络设置问题及排查方法。
1. DNS设置：错误的DNS设置可能导致访问特定网站时遇到问题。
可以尝试切换到其他公共DNS服务器，如谷歌的或Cloudflare的等。
2. IP地址冲突：当两台设备在同一网络上使用相同的IP地址时，就会发生IP地址冲突。
检查设备的本地IP地址，并确保它们是唯一的。
3. MTU设置：MTU（最大传输单元）是网络设备能够传输的最大数据包的大小。
如果MTU设置不当，可能导致数据包丢失和网速下降。
防火墙双机热备典型故障现象及定位
双机热备份典型故障现象及定位当前现网组网基本上都是双机热备份组网，而现在由于双机热备份配置或者是组网带来的问题导致现网业务中断也是多有案例出现，下面就几个典型案例来介绍防火墙双机热备份组网中的常见故障及故障定位解决办法。
1案例一：双机热备份组网部分业务中断的问题业务与软件部门在河北某局点于2007年11月用两台Eudemon 1000替换NetScreen的防火墙NS500，业务割接之后发现部分业务不通，最终定位为双机热备份配置的问题。
1.1组网图：组网图如下所示，其中图中注明的新增的两台Eudemon 1000是替换掉NS500割入的设备，防火墙使用路由模式组网，使用的版本是EU300&500&1000&SP1800-VRP3.30-0359(08)。
1.2防火墙配置：防火墙配置如下附件所示：由于此次割接是Eudemon 防火墙替换NS500的防火墙，所以防火墙的配置基本上是把NS500的配置翻译成防火墙的配置之后割接上去。
1.3故障现象：防火墙割接上去之后，发现用一个测试软件从trust到dmz域做NAT outbound出去访问一个指定的server不通，但是可以从防火墙上ping通此server服务器，查看防火墙会话，有从测试PC到server的会话。
刚开始业务与软件部门的兄弟开始检查配置，找自己的部门人员分析，反复查看配置及组网，对比防火墙和NS500的配置之后，仍然没有发现任何疑点，因为NAT地址的地址以前在NS500上使用是可以的对外发起访问的，但是在Eudemon 1000上却对外发起访问不成功，由于此次割接只是用防火墙Eudemon 1000替换NS500，其他设备没有什么改动，初步定位问题出现在防火墙上。
但是防火墙上已经建立了从内网访问server的会话，如果按照防火墙的转发原理，只要回来的报文能到达防火墙，都能命中会话转发到测试PC上。
1.4定位过程：最后现场技术支持和用服找到防火墙研发，防火墙研发登陆到防火墙上，开始进行定位。
第九章 防火墙典型组网及常见故障诊断
14
常见故障现象六
故障现象：GRE隧道设置完毕后，不能ping通对端tunnel 接口 分析诊断：对于可能存在的原因，逐一检查如下： 1）确保隧道接口已经加入公网接口所在的域； 2）display interface tunnel 检查隧道接口是否已经处于up 状态； 2）检查是否配置隧道是否配置了正确的源和目的地址； 3）检查路由表里是否存在到隧道目的地址的路由，也可以 通过ping命令测试隧道目的地址是否可达。
常见故障现象一
故障现象：防火墙接口配置IP地址后，ping不通
分析诊断：ping不通存在如下可能，请逐一检查 1）确保防火墙物理链路up状态； 2）确保物理接口加入区域中的一个； 3） 检查防火墙的缺省规则及ACL规则； 4） 检查ARP表项中是否存在对端设备的MAC地址； 5） 通过debug命令查看ICMP报文的收发情况。
第九章防火墙典型组网及常见故障诊断防火墙常见故障诊断目录第九章防火墙典型组网及常见故障诊断防火墙常见组网案例电信级可靠性应用第九章防火墙典型组网及常见故障诊断在政府企业纵向网络出口中的应用secpath防火墙企业用户trust域untrust域dmz域服务器群第九章防火墙典型组网及常见故障诊断金融证券行业的组网应用认证服务器数据中心网上银行电子商务网页浏览内部网serversecpath企业用户企业用户untrust区域dmz区域1dmz区域2trust区域第九章防火墙典型组网及常见故障诊断电信级可靠性组网应用internet分支机构企业用户内部网公网服务器第九章防火墙典型组网及常见故障诊断防火墙常见故障诊断目录第九章防火墙典型组网及常见故障诊断故障诊断流程检查域统计功能是否开启第九章防火墙典型组网及常见故障诊断常见故障现象一分析诊断
网络防火墙排查与解决网络故障的方法(二)
网络防火墙排查与解决网络故障的方法在如今数字化时代，互联网已经成为我们日常生活和工作中不可或缺的一部分。
然而，在网络世界中，我们也面临着各种网络故障的问题，可能会影响到我们的正常使用和工作。
网络防火墙作为一种非常重要的安全设备，可以帮助我们排查和解决这些网络故障。
首先，我们需要了解什么是网络防火墙。
它是一种用于保护私有网络免受未经授权的访问和攻击的设备。
它可以监控和控制数据流，并且可以根据预设的策略来允许或拒绝特定的网络通信。
当我们遇到网络故障时，首先要考虑的是防火墙的问题。
一种常见的网络故障是无法连接到特定的网站或服务器。
在这种情况下，我们需要检查防火墙是否设置了不正确的访问规则。
例如，防火墙可能已经阻止了特定IP地址或端口的访问。
解决这个问题的方法是检查防火墙的配置，如果发现不当的规则，可以进行修改或添加允许访问的规则。
同时，网络防火墙也能帮助我们排查和解决网络攻击的问题。
例如，当我们遭受到分布式拒绝服务（DDoS）攻击时，防火墙可以通过限制流量或阻止特定IP地址的访问来减轻攻击的影响。
此外，防火墙还可以帮助我们检测和阻止其他类型的网络攻击，如端口扫描、入侵尝试等。
通过及时发现和阻止这些攻击，我们可以保护我们的网络和数据安全。
除了防火墙，我们还可以使用其他方法来排查和解决网络故障。
例如，我们可以使用网络诊断工具来检查网络连接是否正常。
通过Ping命令，我们可以测试到目标服务器的延迟和丢包率。
如果延迟过高或丢包率过大，说明网络连接可能存在问题。
在这种情况下，我们可以尝试重新连接网络设备或与网络服务提供商联系以解决问题。
此外，我们还可以使用抓包工具来分析和解决网络故障。
抓包工具可以帮助我们捕获和分析网络数据包，从而识别问题的所在。
例如，如果我们发现某个应用程序无法正常访问远程服务器，我们可以使用抓包工具来检查该应用程序发送的数据包是否能够到达服务器。
如果没有到达，可能是防火墙阻止了该数据包。
通过这种方式，我们可以更好地理解网络故障的原因，并采取相应的措施来解决它们。
解决防火墙损坏引起的网络故障
解决防火墙损坏引起的网络故障单位局域网已经稳定运行了五、六年，当初选购的防火墙设备运行性能也比较稳定，安全防护性能也比较强，不过最近由于电源风扇损坏，造成设备内部的电子元件被烧毁，从而发生网络访问故障。
损坏的防火墙设备已经过了维保期限，生成厂商已经不提供免费维修服务了，为了快速恢复网络故障，同时有效节约维修费用，笔者就尝试着自己动手来排查故障，经过一番分析、处理之后，终于解决了防火墙无法工作的故障，使网络又恢复到正常的运行状态，延长了防火墙的“服役”时间，也节约了一笔不菲的维修资金。
现在，本文就将这则故障的详细排查过程贡献出来，希望大家能从中得到帮助!防火墙有故障嫌疑单位局域网的组网拓扑图很简单，所有上网终端通过分布在各个楼层的接入交换机，连接到局域网核心交换机上，而核心交换机通过宽带光纤线缆依次连接防火墙、路由器等设备，实现Internet网络的连接访问。
最近，单位局域网突然无法正常上网访问，依照正确的排查顺序，逐一观察了核心交换机、防火墙、路由器等重要网络设备的信号灯状态，并没有发现异常之处。
在局域网的客户端系统中，使用ping命令测试核心交换机IP地址时，命令回包时间很正常，而对路由器的IP地址进行ping测试操作时，发现返回结果为“请求超时”(如图1所示)；当尝试跳过防火墙设备，使用网络线缆直接将路由器与核心交换机连接在一起时，局域网中的所有客户端系统都能正常上网，而且上网速度也很迅速，显然局域网中的防火墙设备存在故障嫌疑。
深入追查故障原因起初，笔者怀疑网络无法访问故障，是由于防火墙设备在长时间运行过程中，发生了意外死机现象，于是尝试切断该设备的输入电源，过一段时间后，再次接通电源进行设备重新启动操作，可是等到设备启动稳定后，网络故障现象仍然存在，这说明上述故障不是防火墙突然死机造成的。
通过仔细观察防火墙设备，笔者看到该设备控制面板中的电源信号灯虽然处于点亮状态，但是机箱背面的电源出风口，觉察不到空气的流动，再一靠近观察，竟然发现该设备的电源风扇已经不转了，难道是防火墙设备的输入电源部分发生了故障?为了一探究竟，笔者迅速找来相关工具，对防火墙设备进行“开腔破肚”后，看到电源风扇表面已经积聚了很多灰尘，尝试利用手指转动电源风扇时，明显感觉到有不小的阻力，看来电源风扇已经老化了。
防火墙故障排查
防火墙故障排查Catalog 目录1配置的常见问题（FAQ） (2)1.1接好防火墙之后，网络不通，无法ping通其他设备，其他设备也无法ping通防火墙 (2)1.2使用时感觉防火墙性能很低 (2)1.3有的端口打开了快转有的没有，在组合起来应用的时候，某些端口性能很低 (2)1.4D007版本的防火墙在使用管理网口上创建子接口，同交换机配合的时候子接口接收不到报文 (2)1.5ACL和报文过滤功能 (3)1.5.1ACL加速编译失败 (3)1.5.2配置了黑名单表项，但是Buildrun信息中却没有显示 (3)1.5.3使能地址绑定功能之后，原来配置的静态ARP表项消失 (3)1.5.4配置了ASPF功能，要进行java/activex block功能，也配置了ACL用来划定范围，但是却不起作用 (3)1.5.5设置了到local域的detect ftp选项，但是当禁止从本地域主动发出报文之后，连接防火墙自身的FTP数据通道还是无法连通 (3)1.6攻击防范和统计功能 (3)1.6.1使能了syn-flood/udp-flood/icmp-flood防御功能，但却没有作用 (3)1.6.2使能了地址扫描/端口扫描共能，但却没有作用 (4)1.7双机热备功能 (4)1.7.1配置了vgmp但却没有作用 (4)1.7.2指定用于传输数据的通道是专门通道，其状态切换不影响应用，此时怎么办 (4)1.7.3在应用正常的情况下，改动了vrrp的属性发现通讯有问题，表现为能ping通接口，但是不能透过防火墙 (4)1.7.4VRRP配置不一致的时候，屏幕上打印大量告警影响使用 (4)1.7.5VRRP状态不稳定切换频繁 (4)1.8透明模式问题 (5)1.8.1透明模式下ARP表项学习有问题 (5)1.9NAT问题 (5)1.9.1配置了NAT server之后，从其他域网络访问这个NAT server对应的私网IP地址也不通了51.9.2配置NAT Server之后，从这台服务器向外发起访问，是否还需要配置NAT地址池 (5)1.9.3防火墙割接后，NAT Server/Pool中的地址访问不正常，换回原有设备就可以访问 (5)1 配置的常见问题（FAQ）1.1 接好防火墙之后，网络不通，无法ping通其他设备，其他设备也无法ping通防火墙这是最常见的一个问题，请按照前面的典型配置4.1检查防火墙上的设置情况。
防火墙故障案例
防火墙故障案例
防火墙故障案例：
1. 防火墙硬件故障：防火墙的硬件可能会出现故障，例如主板故障、电源故障等，导致防火墙无法正常工作。
这种情况下，需要更换或修复防火墙的硬件组件。
2. 防火墙配置错误：防火墙的配置可能会出现错误，例如规则配置错误、策略配置错误等，导致防火墙无法正确地过滤和阻止网络流量。
这种情况下，需要检查和修复防火墙的配置。
3. 防火墙软件故障：防火墙的软件可能会出现故障，例如操作系统故障、防火墙软件程序崩溃等，导致防火墙无法正常运行。
这种情况下，需要重新启动或重新安装防火墙软件。
4. 防火墙性能问题：防火墙可能无法处理大量的网络流量，导致网络延迟和性能下降。
这种情况下，需要升级防火墙的硬件配置或优化防火墙的性能设置。
5. 防火墙更新问题：防火墙的更新可能会引发故障，例如更新过程中出现错误、更新后防火墙无法正常工作等。
这种情况下，需要重新安装或回滚防火墙的更新。
防火墙故障可能由硬件故障、配置错误、软件故障、性能问题以及更新问题等多种原因引起。
需要根据具体情况进行分析和解决。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
11
常见故障现象三
故障现象：网页内容关键字过滤设置后，不生效 分析诊断： 1）检查ASPF是否配置为检测HTTP； 2）检查ASPF是否应用到接口或者域间 3）通过display firewall web-filter 查看过滤记录
（注意事项：配置网页过滤及邮件过滤时，必须打开 ASPF检测功能）
13
常见故障现象五
故障现象： 防火墙透明模式设置为透明模式，防火墙
两边的路由器不能建立OSPF邻居关系。 分析诊断： 1）检查是否开启对unknown-mac的泛洪或者广播功能。 2）通过ping检查两端的物理链路是否通畅。 3）检查两端hello报文部分的区域号、网络号、hello间隔
时间和死亡时间等参数是否一致。 4）其他部分请参考OSPF协议的调试部分内容。
14
常见故障现象六
故障现象：GRE隧道设置完毕后，不能ping通对端tunnel 接口
分析诊断：对于可能存在的原因，逐一检查如下： 1）确保隧道接口已经加入公网接口所在的域； 2）display interface tunnel 检查隧道接口是否已经处于up 状态； 2）检查是否配置隧道是否配置了正确的源和目的地址； 3）检查路由表里是否存在到隧道目的地址的路由，也可以 通过ping命令测试隧道目的地址是否可达。
（注意事项：所有的接口，无论是物理接口还是虚拟接口都 必须加入某个域）
15
常见故障现象七
故障现象：通过浏览器登录防火墙时，提示“找不到页面” 分析诊断：
1）检查PC到防火墙的物理链路是否问题； 2）通过dir命令，检查flash里是否已经存在http.zip文件； 3）如果不存在，通过detach命令把该文件从系统软件中
10
常见故障现象二
故障现象： 配置端口扫描和地址扫描攻击防范及动态黑名单后在 防火墙上看不到攻击日志，同时没有把扫描源地址动 态加入到黑名单里。
诊断分析： 1）检查扫描工具的扫描速度是否超过配置文件文件设 置的每秒的max-rate值 2）检查是否启用黑名单功能 3）检查连接发起方域出方向的IP统计功能是否开启
SecPath B
企业用户
trust区域
企业用户
6
电信级可靠性组网应用企业用户源自内部网internet
分支机构
公网服务器 7
目录
防火墙常见组网 防火墙常见故障诊断
故障诊断流程
检查物理链路状态 检查防火墙的缺省动作是拦截还是放行 检查接口是否加入正确的域 检查ARP表项是否正确 检查ACL规则的匹配情况 检查NAT表项是否正确 检查ASPF是否启用，是否应用到正确的接口正确的方向 检查域统计功能是否开启
第12章 防火墙典型组网及常见故障诊断
ISSUE 1.1
日期： 杭州华三通信技术有限公司 版权所有，未经授权不得使用与传播
课程目标
学习完本课程，您应该能够：
掌握SecPath防火墙常见组网
掌握SecPath防火墙故障诊断技巧
目录
防火墙常见组网 防火墙常见故障诊断
防火墙常见组网案例
在政府、企业纵向网络出口中的应用 金融证券行业的组网应用 电信级可靠性应用
12
常见故障现象四
故障现象：系统不能检测2FE卡 分析诊断：
1）display version 查看2FE卡是否已经注册 2）检查2FE卡的类型，有两种类型的2FE卡。
secpath只支持82559芯片的2fe,不支持21143芯片的2fe 还需要补充两种类型的板卡的区别方法 （注：识别方法如下，可用通过单板的物理芯片肉眼观察 识别。21143芯片的2fe在靠近pci插座的地方，有一块4 平方厘米的芯片，上面有21143的标记。如果是82559芯 片的2fe，只有一块1平方厘米的芯片，在单板中间，上 面有82559的标记。）
4
在政府、企业纵向网络出口中的应用
SecPath 防火墙 trust域
untrust域
服务器群
企业用户
DMZ域
5
金融证券行业的组网应用
网页浏览 电子商务
网上银行
DMZ区域1
Server
内部网
认证服务器
DMZ区域2
数据中心
SecPath A
untrust 区域
分离；
16
本章总结
防火墙常见组网方式 SecPath防火墙常见故障诊断分析
杭州华三通信技术有限公司
9
常见故障现象一
故障现象：防火墙接口配置IP地址后，ping不通 分析诊断：ping不通存在如下可能，请逐一检查
1）确保防火墙物理链路up状态； 2）确保物理接口加入区域中的一个； 3） 检查防火墙的缺省规则及ACL规则； 4） 检查ARP表项中是否存在对端设备的MAC地址； 5） 通过debug命令查看ICMP报文的收发情况。