问题描述
客户那边已经购买了AF和AC,最近AF上有很多僵尸网络主机,于是搭个EDR给客户测试一下,部署完之后,发现内网无法访问EDR平台,网络不通。拓扑架构如下 通过拓扑已知EDR部署在af DMZ区域,内网不通。初步断定为路由问题,或者AF,AC上策略问题。
解决思路
1、检查AF上面路由、策略信息。 AF可以联动EDR,检查路由策略都正常。
2、检查AC上配置,在AC上发现无法ping通EDR地址。ping DMZ其他服务器正常,抓包分析 发现edr没有回包。需要检查EDR的配置
3、登陆EDR后台抓包分析,发现没有回包
4、进一步分析,检查edr网卡配置,没有问题。
5、无意间ifconfig发现掩码跟实际网卡上掩码不一致
6、nmtui查看网卡信息发现配置的是16位的掩码
7、掩码调整成26位之后,service network restart 重启下网络 ,发现通了
问题总结
EDR网卡掩码未配置正确导致的网络异常。
以上是本次事件的基本排错思路,期间走了几次误区。
1、由于我vpn拨入的虚拟ip可以正常访问EDR平台,由于是掩码问题,给我带来很大误区,以为EDR是正常的。期间测试发现DMZ其他服务器地址都正常,就edr不行,怀疑地址问题,修改过EDR的IP,但是还是不行。
2、AC上访问edr不通,检查路由没有问题,检查af策略没有问题,检查AC上的策略、防火墙过滤规则,开直通啥的都不行,当初一直纠结ac是问题浪费很多时间。
3、EDR网卡上的掩码是正确的,但是实际没匹配生效,本次edr是部署在centos上的,这个第一次碰到这个情况。 |