防火墙域间策略故障排查.pdfVIP

防火墙域间策略故障排查 一、开 防火墙域间策略问题定位故障的思路是：首先在防火墙上查看业务流 所对应的会话表项是否存在。若会话表项存在，则需要仔细检查会话 版权所有:杭州华三通信技术有限公司 表项所包括的源/目的安全区域、发起方/响应方五元组、协议状态等 信息是否符合预期，否则，应按域间策略的正常配置顺序检查防火墙 是否存在配置错误。若防火墙上虽然可以查询到会话表项，但没有响 应方报文统计，这种情况很可能是由于路由交换网络未能将会话反向 报文正确转发至本防火墙造成的，此时需要从整网角度，尤其是报文 转发路径方面着手排查。若防火墙上业务流对应的会话表项不存在， 一种可能是由于业务报文被域间策略阻断而未能创建会话，这种情况 需要重点检查阻断动作的域间策略是否配置正确；另一种可能是防火 墙确实没有接收到会话发起方相应的业务报文，这种情况通常需要排 查网络中防火墙上游其他设备是否存在转发故障。域间策略是H3C Comware V5平台防火墙非常稳定的基础安全特性，无论现场遇到的问题是“应 该通的没通”还是“不应该通的通了”，相信通过确认组网连接、检 查设备配置、观察业务报文收发情况、观察防火墙会话表项信息等一 系列排查手段，最终都能得到定位和解决。 1、是否存