天融信防火墙维护指南讲解

天融信防火墙维护指南天融信防火墙维护指南一、综述防火墙作为企业核心网络中的关键设备，需要为所有进出网络的信息流提供安全保护，对于企业关键的实时业务系统，要求网络能够提供7*24小时的不间断保护，保持防火墙系统可靠运行及在故障情况下快速诊断恢复成为维护人员的工作重点。

天融信防火墙提供了丰富的冗余保护机制和故障诊断、排查方法，通过日常管理维护可以使防火墙运行在可靠状态，在故障情况下通过有效故障排除路径能够在最短时间内恢复网络运行。

本文对天融信防火墙日常维护进行较系统的总结，为防火墙维护人员提供设备运维指导。

二、天融信防火墙日常维护围绕防火墙可靠运行和出现故障时能够快速恢复为目标，天融信防火墙维护主要思路为：通过积极主动的日常维护将故障隐患消除在萌芽状态；故障发生时，使用恰当的诊断机制和有效的故障排查方法及时恢复网络运行；故障处理后及时进行总结与改进避免故障再次发生。

常规维护：在防火墙的日常维护中，通过对防火墙进行健康检查，能够实时了解天融信防火墙运行状况，检测相关告警信息，提前发现并消除网络异常和潜在故障隐患，以确保设备始终处于正常工作状态。

1、日常维护过程中，需要重点检查以下几个关键信息：连接数：如当前的连接数达到或接近系统最大值，将导致新会话不能及时建立连接，此时已经建立连接的通讯虽不会造成影响；但仅当现有的连接拆除后，释放出来的资源才可供新建连接使用。

维护建议：当当前连接数正常使用至85％时，需要考虑设备容量限制并及时升级，以避免因设备容量不足影响业务拓展。

CPU:天融信防火墙是高性能的防火墙，正常工作状态下防火墙CPU使用率应保持在10%以下，如出现CPU利用率过高情况需给予足够重视，应检查连接数使用情况和各类告警信息，并检查网络中是否存在攻击流量。

通常情况下CPU利用率过高往往与攻击有关，可通过正确设置系统参数、攻击防护的对应选项进行防范。

内存:天融信防火墙对内存的使用把握得十分准确，正常情况下，内存的使用率应基本保持稳定，不会出现较大的浮动。

如果出现内存使用率过高（>90%）时，可以查看连接数情况，或通过实时监控功能检查网络中是否存在异常流量和攻击流量。

2、在业务使用高峰时段检查防火墙关键资源（如：Cpu、连接数、内存和接口流量）等使用情况，建立网络中业务流量对设备资源使用的基准指标，为今后确认网络是否处于正常运行状态提供参照依据。

当连接数数量超过平常基准指标20％时，需通过实时监控检查当前网络是否存在异常流量。

当Cpu占用超过平常基准指标20％时，需查看异常流量、定位异常主机、检查策略是否优化。

3、防火墙健康检查信息表：常规维护建议：1、配置管理IP地址，指定专用终端管理防火墙；2、更改默认账号和口令，不建议使用缺省的账号、密码管理防火墙；严格按照实际使用需求开放防火墙的相应的管理权限，并且管理权限的开放控制粒度越细越安全；设置两级管理员账号并定期变更口令；仅容许使用SSH和SSL方式登陆防火墙进行管理维护。

3、深入理解网络中业务类型和流量特征，持续优化防火墙策略。

整理出完整网络环境视图（网络端口、互联地址、防护网段、网络流向、策略表、应用类型等），以便网络异常时快速定位故障。

4、整理一份上下行交换机配置备份文档（调整其中的端口地址和路由指向），提供备用网络连线。

防止防火墙发生硬件故障时能够快速旁路防火墙，保证业务正常使用。

5、在日常维护中建立防火墙资源使用参考基线，为判断网络异常提供参考依据。

6、重视并了解防火墙产生的每一个故障告警信息，在第一时间修复故障隐患。

7、建立设备运行档案，为配置变更、事件处理提供完整的维护记录，定期评估配置、策略和路由是否优化。

8、故障设想和故障处理演练：日常维护工作中需考虑到网络各环节可能出现的问题和应对措施，条件允许情况下，可以结合网络环境演练发生各类故障时的处理流程，如：设备出现故障，网线故障及交换机故障时的路径保护切换。

9、设备运行档案表应急处理当网络出现故障时，应迅速检查防火墙状态并判断是否存在攻击流量，定位故障是否与防火墙有关。

如果故障与防火墙有关，可首先检查防火墙的、地址转换策略、访问控制策略、路由等是否按照实际使用需求配置，检验策略配置是否存在问题。

一旦定位防火墙故障，可通过命令进行双机切换，单机环境下发生故障时利用备份的交换机/路由器配置，快速旁路防火墙。

在故障明确定位前不要关闭防火墙。

1、检查设备运行状态网络出现故障时，应快速判断防火墙设备运行状态，通过管理器登陆到防火墙上，快速查看CPU、内存、连接数、Interface以及相应信息，初步排除防火墙硬件故障并判断是否存在攻击行为。

2、跟踪防火墙对数据包处理情况如果出现部分网络无法正常访问，顺序检查接口状态、路由和策略配置是否有误，在确认上述配置无误后，通过tcpdump命令检查防火墙对特定网段数据报处理情况。

部分地址无法通过防火墙往往与策略配置有关。

3、检查是否存在攻击流量通过实时监控确认是否有异常流量，同时在上行交换机中通过端口镜像捕获进出网络的数据包，据此确认异常流量和攻击类型，并在选项设置、入侵防护等项目中启用对应防护措施来屏蔽攻击流量。

4、检查HA工作状态检查HA工作状态，进一步确认引起切换的原因，引起HA切换原因通常为链路故障，交换机端口故障，设备断电或重启。

设备运行时务请不要断开HA心跳线缆。

5、防火墙发生故障时处理方法如果出现以下情况可初步判断防火墙硬件或系统存在故障：无法使用console口登陆防火墙，防火墙反复启动、无法建立ARP表、接口状态始终为Down、无法进行配置调整等现象。

为快速恢复业务，可通过调整上下行设备路由指向，快速将防火墙旁路，同时联系供应商进行故障诊断。

总结改进故障处理后的总结与改进是进一步巩固网络可靠性的必要环节，有效的总结能够避免很多网络故障再次发生。

1、在故障解决后，需要进一步总结故障产生原因，并确认该故障已经得到修复，避免故障重复发生。

2、条件容许的情况下，构建防火墙业务测试环境，对所有需要调整的配置参数在上线前进行测试评估，避免因配置调整带来新的故障隐患。

3、分析网络可能存在的薄弱环节和潜在隐患，通过技术论证和测试验证来修复隐患。

故障处理工具天融信防火墙提供灵活多样的维护方式，其中故障处理时最有用的两个工具是实时监控功能和tcpdump，实时监控功能用于实时查看网络当前的连接情况，可以快速定位存在异常流量的IP主机或攻击源主机，tcpdump用于跟踪防火墙对指定包的处理。

下面简要介绍一下两个工具的使用方法。

Tcpdump:捕获进出防火墙的数据包1、仅在老4k系统和TOS中的.1平台和.8平台（猎豹）支持TCPDUMP命令；2、老4k系统直接在串口登陆界面下或telnet到防火墙界面下，即可使用tcpdump命令；TOS中的.1平台和.8平台在串口登陆或telnet登陆后，先敲system回车，进入系统目录才可以使用tcpdump命令。

3、Tcpdump语法中存在三种主要的关键字：第一种是关于类型的关键字，主要包括host，net，port，例如host 210.27.48.2，指明 210.27.48.2是一台主机，net 202.0.0.0 指明 202.0.0.0是一个网络地址，port 23 指明端口号是23.如果没有指定类型，缺省的类型是host. 第二种是确定传输方向的关键字，主要包括src ， dst ，dst or src， dst and src ，这些关键字指明了传输的方向。

举例说明，src 210.27.48.2 ，指明ip包中源地址是210.27.48.2 ， dst net 202.0.0.0 指明目的网络地址是202.0.0.0 .如果没有指明方向关键字，则缺省是src or dst关键字。

第三种是协议的关键字，主要包括fddi，ip，arp，rarp，tcp，udp等类型。

Fddi 指明是在FDDI（分布式光纤数据接口网络）上的特定的网络协议，实际上它是"ether"的别名，fddi和ether具有类似的源地址和目的地址，所以可以将fddi协议包当作ether的包进行处理和分析。

其他的几个关键字就是指明了监听的包的协议内容。

如果没有指定任何协议，则tcpdump将会监听所有协议的信息包。

4、逻辑运算除了这三种类型的关键字之外，其他重要的关键字如下：gateway， broadcast，less，greater，还有三种逻辑运算，取非运算是 'not ''！ '，与运算是'and'，'&&'；或运算是'or' ，'││'；这些关键字可以组合起来构成强大的组合条件来满足人们的需要，下面举几个例子来说明。

5、使用例子：例1：在eth1口抓包，只显示地址为10.1.1.1和icmp协议的报文。

Tcpdump –i eth1 host 10.1.1.1 and icmp例2：在所有的接口抓包，不显示4000端口的管理报文，和23端口的telnet报文。

Tcpdump –i any not port 4000 and not port 23 （在同时管理的时候很实用）例3：在eth1口抓包，显示地址为211.1.1.1或10.1.1.1的报文。

Tcpdump –i eth1 host 211.1.1.1 or host 10.1.1.1 （针对MAP前后的地址同时抓包定位时非常实用）例4：在所有的接口抓包，显示地址为10.1.1.1报文。

Tcpdump |grep host 10.1.1.1 （在adls环境中非常实用，封装了PPPOE的报文也能抓到，但是TOS不支持grep的参数了）在tos系统中，X86的平台下才有抓包的工具，－n表示不需要域名解析，加快抓包的速度。

并且-evv比老的4k系统中，能抓到更多的信息，其中还包括校验和。

例5：System tcpdump –i any –evv -n （TOS系统中最后必须加-n的参数，才能保证抓包的速度）例6：System tcpdump –i ipsec0 -n （TOS支持在ipsec0中抓包，来判断数据流是否进入隧道）例7：System tcpdump –i ppp0 -n （TOS支持在ppp0中抓包，来判断数据流是否进入PPPoE的封装）实时监控功能：实时查看进出防火墙的连接情况1、天融信防火墙支持实时监控功能，可以实时了解当前经过防火墙的连接情况，其可以查看的内容有需：源IP地址、目的IP地址、源端口、目的端口、连接建立时间、接收的流量、发送的流量、NAT转换后的地址、连接属性等等内容。