分享新架构防火墙场景配置部署内容(需求配置排障处理)
  

刘海涛 27203人觉得有帮助

{{ttag.title}}
由项目内容配置,分享新架构防火墙场景配置问题处理

1、双向地址转换不生效(出口多运营商场景:策略路由+默认路由)

2、出口防火墙内网口为聚合口,VPN无法引用网口作为vpn接口

3、SSL vpn客户端接入后,ping测试不通

确认双向地址转换策略配置,外网访问做目的地址转换,内网访问公网业务地址做双向地址转换,测试可看到匹配数,但仍访问不通。经二线同事抓包排查,确认网口均可接收到ping包,去3个包回4个包,在防火墙上进行路由测试,第一条匹配为运营商静态路由,第二条为策略路由。
此时进行防火墙"系统-网络参数"中路由优先级设置,可查看到默认的设置为从上往下匹配,策略路由优先级高于目的路由(静态路由、动态路由),使用自定义设置,将目的路由(静态路由、动态路由)优先级调整到策略路由之上。再次进行测试,可看到公网业务地址+端口能够正常在内网进行测试联通。

此场景使用VPN通过单臂接入,由于VPN接口只能选择单独的非WAN网口,因此另外选择一个接口配置IP连到交换机(无需此IP与其他主机通讯),之后即可正常使用SSLvpn和SANGFOR VPN

防火墙发布SSL vpn资源,发布堡垒机资源和内网主机资源,发现ping主机和堡垒机都不通,经排查后与第一条问题一致,为路由优先级问题,可通过将SSL vpn路由优先级提至策略路由之上,修改完成后即可正常访问。

打赏鼓励作者,期待更多好文!

打赏
61人已打赏

Goodgooder 发表于 2022-12-3 19:30
  
感谢楼主分享!文章对解决新架构双机地址转换问题很有帮助,如增加更多网络拓扑分解,原理分析步骤讲解会更好,期待楼主带来更多有价值的分享
Sangfor43876 发表于 2022-12-7 13:47
  
感谢楼主分享!文章主要介绍了新架构AF的一些常见配置及排错思路,新架构AF路由模式部署的情况下,如果外网是多条链路需要注意开启逆向路由,否则可能会因为路由优先级不同导致业务转发异常,期待楼主带来更多有价值的内容分享。
蟲爺 发表于 2023-2-10 23:05
  
感谢分享
策c 发表于 2023-2-2 14:10
  
我在社区摸爬滚打这么多年,所谓阅人无数,就算没有见过猪走路,也总明白猪肉是啥味道的。一看到楼主的气势,我就觉得楼主同在社区里灌水的那帮小混子有着本质的差别,你一定就是传说中的最强技术牛。
dhf 发表于 2023-1-31 13:10
  
每日打卡学习,感谢分享,学习了!!!
唐三平 发表于 2023-1-12 17:39
  
资料详细,内容清晰,感谢分享
朱墩2 发表于 2023-1-12 17:38
  
资料详细,内容清晰,感谢分享
蔺嘉宾 发表于 2023-1-12 17:38
  
资料详细,内容清晰,感谢分享
刘延捷 发表于 2022-12-7 08:57
  
每天学习一点新知识,谢谢分享
新手626351 发表于 2022-12-5 09:18
  
感谢楼主的分享,每日打卡
发表新帖
热门标签
全部标签>
每日一问
技术盲盒
每周精选
干货满满
技术笔记
产品连连看
2024年技术争霸赛
技术咨询
标准化排查
技术晨报
GIF动图学习
2023技术争霸赛专题
安装部署配置
新版本体验
功能体验
秒懂零信任
自助服务平台操作指引
文档捉虫活动
通用技术
信服课堂视频
答题自测
每日一记
玩转零信任
技术圆桌
在线直播
问题分析处理
SDP百科
畅聊IT
专家问答
MVP
网络基础知识
升级
安全攻防
上网策略
测试报告
日志审计
流量管理
运维工具
云计算知识
用户认证
原创分享
解决方案
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
加速技术
排障笔记本
产品预警公告
信服圈儿
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
深信服技术支持平台
社区帮助指南
答题榜单公布
纪元平台
卧龙计划
华北区拉练
天逸直播
以战代练
山东区技术晨报
齐鲁TV
华北区交付直播

本版版主

396
137
63

发帖

粉丝

关注

本版达人

新手61940...

本周建议达人

BGP网络

本周分享达人

BGP网络

本周提问达人