【问题信息】
客户反馈防火墙ip流量排行出现公网IP,并且流量还挺大,并且都是smtp发邮件的流量现象如图 【排查步骤】 1.在设备eth1和eth3口两个lan口抓包看请求是内网IP访问公网IP的25端口, 且目的mac是eth1口mac,回包是公网IP的25端口到内网IP,源mac是eth3口的mac地址 2.ip流量排行正常是统计lan到wan的,不会有公网IP 3.协调AF研发排查,客户环境没有复现,研发本地搭建环境复现了 【排查结论】 邮件流量是被邮件安全模块检测,走了七层代理。系统底层模块统计流量方向时,走了七层代理的流量方向识别异常了,所以把wan侧ip统计进去了。两种方案:第一种,修改页面直接过滤只显示私网ip,不需要重启设备。第二种,修改系统底层模块识别流量方向的逻辑,需要重启设备。
|