项目背景 xx客户变更,AF做出口,只配置了接口IP、路由、地址转换、引流策略+某人添加的DDOS模块
故障现象 AF双线路,开启引流后AF链路探测故障,ping网关不通;故障线路不定,一条或两条故障都有可能;禁用引流后5分钟,业务恢复。
排查步骤 1,在故障接口抓包,发现没有探测包发出 2,尝试禁用双机、禁用启用引流、修改链路探测频率,测试禁用/启用引流可以修复 3,通过全局直通策略,确认DDOS模块拦截了数据包,禁用DDOS模块后业务恢复
故障原因 AF在创建引流隧道的时候,会发送大量的UDP数据包,从而导致AF WAN口被识别为攻击IP,影响业务。且每次切换时间是5分钟。 ---如果要避免该问题,禁用DDOS或者将防火墙WAN口加白处理。
反思 1,配置为其他人配置的,配置复核不仔细导致故障发生; 2,排查问题没有第一时间考虑开启直通模式分析(路由模式,且没有配置安全防护策略),先入为主认为直通模式没用; 3,一开始只明确了ping不通网关,禁用启用引流后观察没有超过5分钟,导致错误判断不是引流模块问题。(5分钟是一个很明确的答案了) |