趋势科技IWSA2015案例.pptVIP

充分理解并灵活运用rpolicy设置可以在测试中，尤其是在性能测试中可以达到很好效果，并且其可以在不需要重启网卡，在设置后自动生效的优点 * 像IWSA飞信的一个解决方案就是bypass飞信服务器IP地址，如果想动态增加bypass目标IP地址，由于前面提到的rpolicy规则优先级问题，请按以下步骤 * 保留该设置，请同时修改network.ini参数bypass_dstIP，添加该目的IP段 * * Confidential | Copyright 2012 Trend Micro Inc. * Bypass机制：硬件bypass（Lanbypass卡） 原理 硬件bypass即为lanbypass卡bypass，如果被启用，IWSA就像一根网线，网络流量根本不经过IWSA机器，对于客户的网络性能没有任何影响， 适用场景 如果IWSA出现故障，需要暂时bypass; 如果需要重启IWSA网卡； 如果需要重启IWSA机器。 优势 不影响客户网络流量下，可以对IWSA机器做任何事情 常用命令 （假设eth1和eth2为IWSA上下行网口, 其中eth1为master网口，下面的命令必须对master网口设置才起作用，如果对slave网口设置，其会提示出错信息。） 查看IWSA的网卡是否为bypass bpctl eth1 get_bypass 启用lanbypass(即网络流量不经过IWSA) bpctl eth1 set_bypass on 禁用lanbypass(即恢复扫描状态) bpctl eth1 set_bypass off 注意事项 在启用lanbypass功能之前，需要设置IWSA的管理口连接，否则无法管理机器，在lanbypass启用之后，只用通过管理口或者COM口才能连上IWSA。 Bypass机制：硬件bypass（Lanbypass卡） Bypass机制：系统bypass（IWSA系统内核层） 原理 利用IWSA操作系统内核conntrack进行bypass，即通常所说的rpolicy bypass。 通过rpolicy设置，可以控制IWSVA对哪些端口，哪些IP（包括目的IP和源IP）或者哪些mac地址进行扫描。 如果在rpolicy清空的情况下，即进行全部bypass，在1000M网络性能下，其可以达到900M+，可以说对网络性能几乎没有影响。 应用场景 在性能测试中，IWSVA的吞吐量不够； 在某些时段，客户流量达到一定的并发值之后，上网会变慢； 在某些情形下，内网通过IWSVA不能访问某些网站； 在某些情形下，某些特殊的客户端或者某个子网不能上网； 优势 不需要重启网卡，在设置后自动生效 两个角度： 从总的connection数目bypass 通常IWSA6000会设置总连接bypass的数目为5000， 即系统连接数超过5000个连接后的请求直接从系统内核经过，不会再扫描; 对于符合条件的流量进行bypass, 比如某些目的/源IP地址，某些目的/源端口，某些目的/源MAC地址； Bypass机制：系统bypass（IWSA系统内核层） 跟rpolicy密切相关的文件（1） /etc/iscan/network.ini（需要重启网卡） ct_redir_max=5000, 即总的连接数超过5000之后即bypass bypass_dstIP=…，该项参数是bypass所有这些目的IP的数据包 /proc/conntrack/rpolicy,查看rpolicy规则 Bypass机制：系统bypass（IWSA系统内核层） 跟rpolicy密切相关的文件（2） /proc/conntrack/ct_redir_max 查看当前总连接的bypass数目 network.ini文件中的ct_redir_max参数设置是对应的 /proc/conntrack/help 查看rpolicy设置的帮助命令 Bypass机制：系统bypass（IWSA系统内核层） 常见应用1： 动态更改bypass的总连接数(即通常所说的overload bypass) 场景： 在测试中频繁使用大文件测试，造成IWSA的性能降低 方法： 动态降低总的bypass连接数：echo 3000 /proc/conntrack/ct_redir_max 注： 在重启网卡或者机器会失效 要保留设置，同时修改network.ini参数ct_redir_max Bypass机制：系统bypass（IWSA系统内核层） 常见应用2： 删除某个policy 方法 echo DEL 5 /proc/conntrack/redirect 即可以删除第5条rpolicy Bypass机制：系统bypas