7 NGAF故障及排错分析
type
status
date
slug
summary
tags
category
icon
password
1）简述AF有哪些排障工具及每种工具的适用场景。
深信服AF提供多种排障工具，帮助管理员快速定位和解决网络问题。以下是一些常用的排障工具及其适用场景：
- 流量日志： 记录通过AF的所有流量信息，包括源/目的IP、端口、协议、时间等。适用场景：分析网络流量、排查网络连接问题、识别安全威胁。
- 策略命中日志： 记录流量命中哪些安全策略，以及策略的动作（允许或拒绝）。适用场景：排查策略配置是否正确、分析流量被阻断的原因。
- 入侵防御日志： 记录入侵防御系统检测到的攻击事件。适用场景：分析网络攻击、识别安全漏洞。
- 应用识别日志： 记录AF识别出的应用程序流量。适用场景：分析网络应用的使用情况、排查应用相关的网络问题。
- 系统日志： 记录AF的系统运行状态、配置变更、错误信息等。适用场景：排查AF自身故障、监控系统运行状况。
- 调试日志： 提供更详细的调试信息，用于深入分析问题。适用场景：在深信服技术支持的指导下进行高级故障排除。
- 诊断工具： 包括ping、traceroute、端口扫描等工具，用于测试网络连通性、路由、端口状态等。适用场景：排查网络连接问题、定位故障点。
- 抓包工具： 捕获网络流量的原始数据包，用于深入分析网络协议和数据内容。适用场景：分析复杂的网络问题、排查协议错误。
- 命令行界面 (CLI)： 提供更强大的配置和管理功能，以及更详细的调试信息。适用场景：高级配置、故障排除、性能调优。
除了以上工具，深信服还提供在线技术支持和丰富的文档资源，可以帮助用户更快地解决问题。 选择合适的排障工具可以有效提高故障排除效率。 建议根据具体问题选择合适的工具进行排查。
3）管理员创建了一个URL过滤策略后发现不生效，请简述你的排查思路。
管理员创建URL过滤策略后不生效，排查思路如下：
- 确认策略启用状态： 首先确认该URL过滤策略是否已启用。未启用的策略自然不会生效。
- 检查策略位置： URL过滤策略的生效位置很重要。确保策略放置在正确的位置，并在其他策略之前或之后，避免被其他策略覆盖或绕过。 确认策略应用到的安全域或接口是否正确。
- 验证策略配置：
- URL地址/域名： 仔细检查配置的URL地址或域名是否准确，包括拼写、大小写、通配符的使用等。尝试使用精确匹配和模糊匹配，看是否有区别。
- 过滤动作： 确认策略的过滤动作（允许或阻止）设置是否符合预期。
- 时间计划： 如果策略配置了时间计划，确认当前时间是否在计划范围内。
- 用户/用户组： 如果策略应用于特定用户或用户组，确认测试用户是否属于该用户/用户组。
- 检查应用控制策略： 某些应用控制策略可能优先于URL过滤策略，导致URL过滤策略失效。检查是否存在冲突的应用控制策略。
- 检查其他安全策略： 例如防火墙策略、IPS策略等，可能阻止了对目标URL的访问，导致URL过滤策略看似无效。 暂时禁用其他策略进行测试，以隔离问题。
- 查看日志： 检查流量日志、策略命中日志、URL过滤日志等，确认目标流量是否匹配该策略，以及策略的执行结果。 这可以帮助判断策略是否生效以及失效的原因。
- 测试网络连通性： 使用ping、traceroute等工具测试网络连通性，确认能否访问目标URL。 网络连接问题也可能导致URL过滤策略失效。
- 检查AF版本及授权： 确认AF的版本是否支持URL过滤功能，以及URL过滤功能的授权是否有效。
- 联系深信服技术支持： 如果以上步骤都无法解决问题，建议联系深信服技术支持，获取更专业的帮助。
通过以上步骤逐步排查，可以有效地定位URL过滤策略不生效的原因，并最终解决问题。 记住要记录每个步骤的操作和结果，以便更好地分析问题。
4）管理员在AF上发布了内网的web服务后发现外网无法访问，请简述你的排查思路。
- 检查Web服务本身: 确保Web服务在内网正常运行。尝试从内网其他机器访问，确认服务可用。
- 检查AF发布规则:
- 虚拟服务器: 验证虚拟服务器IP和端口配置正确，监听正确的协议(HTTP/HTTPS)。
- 后端服务器: 确认后端Web服务器IP和端口配置正确。
- 健康检查: 检查健康检查设置是否正确，并确保Web服务通过健康检查。 尝试暂时禁用健康检查进行测试。
- 访问控制: 确保没有访问控制策略阻止外网访问。 尝试暂时禁用所有访问控制策略进行测试。
- 检查网络连通性:
- 外网到AF: 使用ping/traceroute测试外网能否连接到AF的公网IP和端口。
- AF到Web服务器: 使用ping/traceroute测试AF能否连接到Web服务器的内网IP和端口。
- 检查NAT策略: 确认存在正确的NAT策略，将外网流量转换到内网Web服务器。
- 检查防火墙:
- AF防火墙: 确保AF防火墙允许外网访问虚拟服务器的IP和端口。
- Web服务器防火墙: 确保Web服务器防火墙允许AF访问其IP和端口。
- 检查DNS解析 (如果适用): 如果使用域名访问，确认域名正确解析到AF的公网IP。
- 查看日志: 检查AF日志和Web服务器日志，查找错误信息和访问记录。
- 检查AF资源: 确认AF有足够的资源处理请求 (CPU, 内存)。
- 其他安全策略: 检查其他安全策略，如IPS/WAF等，是否阻止了访问。 尝试暂时禁用这些策略进行测试。
- 联系深信服技术支持: 如果以上步骤都无法解决问题，联系深信服技术支持寻求帮助。
5）AF上架部署完毕后，有个部门的用户均反映无法上网，请简述你的排查思路。
部门用户通过AF上网后无法访问互联网，排查思路如下：
- 确认问题范围: 确认是否只有该部门用户无法上网，其他部门是否正常。这有助于判断是全局问题还是局部问题。
- 检查用户网络连接: 确认用户电脑网络连接正常，IP地址、网关、DNS等配置正确。 可以尝试ping内网网关和DNS服务器。
- 检查AF策略:
- 访问控制策略: 重点检查该部门用户的访问控制策略，确保允许访问互联网。 尝试暂时禁用所有针对该部门的访问控制策略进行测试。
- NAT策略: 确认存在正确的NAT策略，将内网流量转换为公网IP地址。
- 带宽管理: 检查是否对该部门进行了带宽限制，导致无法正常上网。
- 检查网络连通性:
- AF到互联网: 使用ping、traceroute等工具测试AF能否访问互联网上的公共DNS服务器 (例如 8.8.8.8 或 1.1.1.1)。
- 用户到AF: 使用ping、traceroute等工具测试用户电脑能否访问AF的内网IP地址。
- 检查DNS解析: 确认用户电脑能够正确解析域名。 可以尝试使用nslookup命令测试DNS解析。
- 检查AF资源: 例如CPU、内存、会话数等，确认AF是否有足够的资源处理用户的上网请求。
- 检查防火墙:
- AF防火墙: 确保AF防火墙允许用户访问互联网。
- 上级防火墙: 检查AF上级网络中是否存在防火墙阻止了用户的访问。
- 检查代理服务器 (如果适用): 如果使用了代理服务器，确认代理服务器配置正确，并且用户电脑已正确配置代理设置。
- 查看日志: 检查AF的流量日志、策略命中日志等，查找与该部门用户相关的访问记录和错误信息。
- 其他安全策略: 检查其他安全策略，如IPS/WAF等，是否阻止了用户的访问。 尝试暂时禁用这些策略进行测试。
- 客户端软件: 检查客户端是否存在防火墙、杀毒软件等安全软件阻止了网络访问。
- 联系深信服技术支持: 如果以上步骤都无法解决问题，建议联系深信服技术支持，获取更专业的帮助。 提供尽可能多的信息，例如问题发生时间、受影响的用户数量、具体的错误信息等。
6）AF上架运行一段时间后，突然有天用户反映上q网很慢，请简述你的排查思路。
AF上架运行一段时间后用户反映上网慢，排查思路如下：
- 确认问题范围: 确认是所有用户上网慢，还是只有部分用户/特定网站/特定应用慢。 这有助于缩小问题范围。
- 检查用户网络连接: 检查用户电脑网络连接是否正常，排除客户端自身问题。
- 检查AF系统资源:
- CPU使用率: 检查AF的CPU使用率是否过高。
- 内存使用率: 检查AF的内存使用率是否过高。
- 会话数: 检查AF的并发会话数是否过高。
- 磁盘I/O: 检查AF的磁盘I/O是否繁忙。
- 检查网络带宽:
- 出口带宽: 检查AF的出口带宽是否已满，或者是否存在带宽限制。
- 内网带宽: 检查用户到AF的内网带宽是否足够。
- 检查AF策略:
- 带宽管理策略: 检查是否配置了带宽管理策略，限制了用户的网速。
- 访问控制策略: 检查访问控制策略是否过于复杂，导致性能下降。 尝试简化策略或禁用部分策略进行测试。
- NAT策略: 检查NAT策略是否配置正确，是否存在性能瓶颈。
- 检查DNS解析: 检查DNS解析是否正常，是否存在解析延迟或错误。
- 检查网络连通性:
- AF到互联网: 使用ping、traceroute等工具测试AF到互联网的连通性，检查是否存在延迟或丢包。
- 用户到AF: 使用ping、traceroute等工具测试用户到AF的连通性，检查是否存在延迟或丢包。
- 检查代理服务器 (如果适用): 如果使用了代理服务器，检查代理服务器的性能和配置。
- 检查安全设备: 检查其他安全设备，例如防火墙、IPS、WAF等，是否对网络性能造成影响。
- 查看日志: 仔细检查AF的系统日志、流量日志、安全日志等，查找错误信息和性能瓶颈。
- 病毒/恶意软件: 检查是否存在病毒或恶意软件占用大量网络资源。
- 应用识别: 检查AF的应用识别功能是否正常工作，是否正确识别了用户的流量。 错误的应用识别可能导致带宽管理策略失效。
- 联系深信服技术支持: 如果以上步骤都无法解决问题，建议联系深信服技术支持寻求帮助。 提供尽可能多的信息，例如问题发生时间、受影响的用户、具体的慢速表现等。
上一篇
6 NGAF场景最佳实践
下一篇
下一代防火墙组网简介
Loading...
