近期有客户通过AD负载均衡发布业务的时候,出现访问异常现象,下面简单介绍下问题定位和解决的办法。
【网络架构】如下图所示,AD设备路由模式部署出口,目前通过AD进行内网WEB服务的发布,内网服务器提供80和8080的http端口,外网映射为公网地址的50080和58080端口。 注:该图为简化后的逻辑图,中间实际上会部署ips、waf及三层路由设备,由于本次问题不涉以上设备,故进行省略;
【现象截图】
下图为外网访问http50080端口(该页面为测试环境搭建)
下图为外网访问http58080端口报错,提示当前无法使用此页面,无发送任何数据
【排查思路】 根据该现象,我们可以看出,目前外网终端是可以正常访问到50080和58080端口的,外网测试端口可达,因此下面测试的话,主要是测试几个内容: 外网端口可达,可能是AD发布的服务类型为7层模式,需确认发布类型及内网节点服务器端口是否可达(此处注意,发布三四层模式,AD设备是进行直接转发;发布七层类型时,设备会进行代理分别与客户端和服务端进行连接建立) 内网进行业务测试,确认该业务内网情况是可以正常访问
【开始排查】 确认虚拟服务发布类型为TCP,则公网telnet端口时,是与内网服务器进行直接连接,无经过代理。
将此类情况与后端服务器负责人反馈,内网使用域名也无法正常访问8080端口后,服务器端负责人自查发现未将域名与8080端口进行绑定,造成此类情况。
【总结】
排查此类问题当中,如中间安全设备未做acl阻拦的情况下(即外网可访问到服务器端口),建议绕开外网环境及设备,先测试内网访问情况,并且测试过程当中,如本案例中,内网原本不存在 www.test.com的域名解析,很多技术同事容易使用IP测试发现正常就去排查回设备问题,导致排查时间拉长,因此进行某些排查测试当中,需周全测试
|