清静防护卫士-防火墙升级刷新的八步曲|运维实战家

宣布时间：2020-12-18

“运维实战家”专栏，从手艺到实践，

和您聊聊运维的那些事儿，讲述运维人的“昨天、今天和明天”

作者：风起儿

01 前言

01 防火墙演化史

防火墙的生长历史也履历了从初级到高级、从功效简朴到功效重大的历程。在这一历程中，随着网络手艺的一直生长，新需求的一直提出，防火墙在原有的路由交流的基础上扩展和往协议上层功效一直的富厚的蹊径上演进和生长，形成今天这样功效富厚多样的功效荟萃一体化的形态，见下图：

02 防火墙的数据包处置惩罚流程

防火墙在网络中就是一个多面手基本什么都可以干，能不可像路由交流那样的报文来了就转，主要看防火墙的特点：功效多，多意味着大杂烩，若是没有合理的配料和工序就会酿成了一锅粥，防火墙凭证现实客户营业需求给自己的焦点定位是控制，而路由交流的焦点在转发，防火墙的数据报转发流程就是它完成自己合理配料和工序的历程。见下图：

02 正片

谈完防火墙的身世，那就来看看防火墙的吐槽……

“背锅”不是防火墙的专利，“逃跑”不是防火墙的特技，掌握我们的防火墙的升级刷新的八步曲，让我们依旧坚挺下去的神秘，下面让我们一起修炼秘笈吧：

01 相识需求配景

先和接口的售前、销售相识项目的计划、装备清单、需求列表，项目注重事项以及客户和集成商的相关人等；基于前面的基础再和客户以及集成商一起确认清晰需求清单、分工责任界面、工期等，主要是形成一版需求跟踪矩阵和关连人管理，把事和人搞清晰下面的详细的事情就好开展了。

02 营业情形调研

网络拓扑能够在大框下直观地反响网络架构和营业关系，可是往往网络拓扑由于客户水平的狼籍不齐和拓扑的绘制标准缺少明确划定，很难给出准确的营业走向和现实物理状态这个时间就需要营业信息网络。

营业会见关系的信息网络尤其在新建项目和清静品级要求较量高的项目中特殊主要，它是营业开通与否的依据，也是测试验证的参考，仅供参考列表如下：

序号	营业名称	源IP	目IP	端口
1	CRM测试	192.168.1．2	192.168.10.4	10000~65535

协议类型	起止日期	申请人
UDP	2020.1.1-2020.3.31	张山

防火墙的装备的设置和状态关于遇到升级刷新很是主要，它是装备测试验证和营业上线的条件，97国际防火墙基础信息网络的下令如下：

序号	名称	执行下令	信息种别
1	备份设置	exec backup config	设置
2	系统设置文件	show configuration	设置
3	系统基本信息	get sys status	硬件状态信息
4	系统状态信息	get sys performance status	硬件状态信息
5	装备硬件信息	get hardware status	硬件状态信息
6	硬件性能使用情形	diag sys top	硬件状态信息
7	审查 ntp 状态	diagnose sys ntp status	硬件状态信息
8	审查硬盘状态	diagnose hardware deviceinfo disk	硬件状态信息
9	审查硬盘情形	exec disk list	硬件状态信息
10	审查 ha 设置	show full-configuration system ha	HA信息
11	审查 ha 状态	get sys ha status	HA信息
12	审查 ha 信息	diagnose sys ha dump	HA信息
13	检查设置文件是否同步	diagnose sys ha showcsum	HA信息
14	单接口状态	diagnose hardware deviceinfo nic 接口名	网络基础状态信息
15	聚合接口状态	diagnose netlink aggregate name 聚合接口名	网络基础状态信息
16	限速接口状态	diagnose netlink device list	网络基础状态信息
17	接口状态统计	get sys interface physical	网络基础状态信息
18	ARP表	get sys arp	网络基础状态信息
19	ARP详细信息	diagnose ip arp list	网络基础状态信息
20	审查路由表	get router info routing-table all	网络基础状态信息
21	审查转揭晓	get router info kernel	网络基础状态信息
22	系统历程	diagnose sys top 5 99	系统历程状态
23	审查日志	exec log display	日志纪录

营业可用性纪录在防火墙升级刷新的时间可以在装备上抓取，它是测试验证的参考项，同时也是割接后评判营业关系的凭证，97国际防火墙营业相关信息网络的下令如下：

序号	名称	执行下令	信息种别
1	审查防火墙战略	show firewall policy	战略
2	审查会话表	get system session list	营业会话
3	审查会话表前过滤	diagnose sys session list	营业会话
4	会话表过滤	diagnose sys session filter	营业会话
5	审查整体会话状态	diagnose sys session full-stat	营业会话
6	审查会话统计	get system session-info statistics	营业会话

备注：97国际防火墙升级刷新需要有以上下令适用，替换友商的装备提供类似下令

03 软硬件情形准备

1>硬件情形

检查凭证现真相形举行增减，参考表格如下：
情形要求：安防门和锁、静电地板、湿度、装修、卫生保洁、空调等
机柜：物理位置、机柜规格参数、资源使用情形等
供电：PDU供电标准、插头规格、电源线长度等
线缆：运营商、光纤跳线、双绞线，ODF架资源等
工具：记号笔、螺丝刀、标签纸和标签机、卡扣、测试仪器等

2>软件准备

其中包括软件新旧系统版本及其补丁包和版内情关文档说明，软件工具类如下
升级工具：如FTP软件3CDaemon
调试工具：如CRT、Xshell
测试工具：如HostMonitor、网关监控系统等

3>测试搭建

在测试情形允许条件下，尽可能的搭建1比1的测试情形，模拟营业做功效和营业需求的相关测试，测试纪录表格可以参考如下：

测试项目	VPN(IPSec)对接阿里云站点
测试目的	检测IPSEC VPN隧道对接功效
测试要领	1、基本上网设置
	2、建设VPN
	3、修改VPN参数
	4、设置路由和战略
	5、测试营业
预期效果	可以对接阿里云VPN需求，知足营业会见需求
测试工具	无特殊工具
测试纪录
测试效果	抵达预期效果

04 模拟测试验证

1>网络连通性测试

防火墙的相关常用下令如下：

RG-WALL #execute ping-options source 192.168.1.200//指定ping数据包的源地址 192.168.1.200

RG-WALL#execute ping 8.8.8.8 //继续输入ping的目的地址，即可通过192.168.1.200的源地址执行ping操作

RG-WALL #execute traceroute 8.8.8.8 //举行路径探测

RG-WALL #execute telnet 2.2.2.2 //举行telnet会见

RG-WALL #execute ssh 2.2.2.2 //举行ssh 会见

2>营业可用性测试

这部分主要是让营业一些要害营业如：CRM，OA等；特殊营业和应用好比：语音，长链接等需要配合上线前验证测试；其他通俗营业也可以使用ping,telnet端等方法模拟会见营业可以在防火墙举行审查相关纪录。

如下令抓报：

下令名堂：diagnose sniffer packet <interface>　<'filter'>　<verbose>　<count>

1 interface

<interface> 指定现实的接口名称，可以是真实的物理接口名称，也可以是VLAN 的逻辑接口名称，当使用“any”要害字时，体现抓所有接口的数据包。

2 verbose显示内容

<verbose> 指控制抓取数据包的内容。常用选项4和6。

3 count

<count> 抓取的数据包的数目。

4 filter 包过滤参数

举例：

diagnose sniffer packet any 'host 192.168.1.11' 4 2

diagnose sniffer packet wan1 'icmp and host 8.8.8.8' 1 10;　

如会话日志纪录：

勾选后可以在会话日志中盘问相关测试纪录。

3>网络高可用架构参考如下

备注：凭证现真相形举行测试和演练。

05 危害评估

1>网络影响规模

防火墙新建项目营业危害相对较量低，若是是升级整改历程一样平常会涉及许多应用和营业属于主要变换，由于营业现真相形纯粹从网络层面是不完整的，一些特殊的营业可能无法正常使用，在实验割接提内部变换评审流程，在流程上和手艺原理上确认网络影响危害规模后，还需要见告甲方有关认真职员举行相关营业的评估，把危害降低。

2>营业影响粒度

针对一些未知的特殊应用服务提供的营业可能泛起中止情形，需要前期梳理的详尽水平以及前期营业可用性纪录抓取营业时机和次数距离往复确定营业的前后转变。

梳理关系见参照表格如下：

序号	营业名称	源IP	目IP	端口
1	CRM测试	192.168.1．2	192.168.10.4	1000~65535

类型	起止日期	申请人
UDP	2020.1.1-2020.3.31	张山

3>割接危害评估

手艺重漂后：操作办法的长度和是否新手艺引入来权衡
故障恢复时间：营业恢复的时长和品级级别对应
营业影响规模：可以凭证营业主要性和规模指标评估
历史纪录：纪录是否保存以及其纪录爆发的频率作为指标参考
回退计划：有无验证、是否可逆、计划操作明细度

06 割接计划

割接计划可以参考公司的《手艺服务部网络变换管理程序V2.0》的变换计划（模版）编写，不做详细叙述。

割接历程中可能遇到一些问题，建议凭证防火墙数据包处置惩罚流程举行排查，也可以凭证营业征象履历跳过相关办法直接看有可能爆发的选项，主要排查思绪为：

1> 检查装备设置，确保装备目今设置与妄想中一致；

2> sniffer抓包，剖析数据包是否正常转发到防火墙，或防火墙是否转发相关报文；

3> debug flow，显示数据包在防火墙内完整数据流的处置惩罚历程，该办法关于防火墙收到数据包但没有转发时很是有用，常用的下令及作用如下：

diagnose debug flow filter add x.x.x.x 定制过滤器，支持多种过滤,如过滤IP

diagnose debug flow show console enable 最先 flow 的输出

diagnose debug flow show function-name enable 显示功效�？�

diagnose debug flow trace start 100 界说索要跟踪数据包的数目

diagnose debug enable 开启 debug 功效

diagnose debug flow trace stop 关闭debug flow trace

diagnose debug flow filter clear 扫除过滤条件

diagnose debug disable 关闭debug下令

diagnose debug reset 重置所有的debug下令

以上检查若是都检查不出来什么问题，实时联系400后台支持

07 变换规范

1> 变换规范

变换凭证现真相形的需要，走公司《手艺服务部网络变换管理程序V2.0》的划定流程。

2> 充分授权

简朴归纳为“三授权：手艺、管理、客户”，关于升级刷新历程中遇到的手艺相关问题疑难点要和后台手艺职员深度相同交流，找到解决计划，以及获得批准；割接计划的影响规模和危害点及其相关解决计划需要实时同步到上级主管认可赞成；客户也需要知道割接计划的危害点，一起加入评估影响规模以及对应的步伐（回退，应急计划），客户赞成需要有一定泛起而不是停留在口头上，需要落着实短信，微信，邮件等有用证实上。

08 值守包管

主要分为2个部分：当天的割接历程中的割接分工和割接完成之后的营业包管值守：

1>割接分工

主要是把当天割接的人、责任规模、时间、所在、联系方法等明确下来并通告各人统一指令，阻止杂乱，参考表格如下：

分组		姓名/手机	角色	所在
指挥小组		张山/139XXXXXXX1	决议	所在0
现场总协调		李四/139XXXXXXX2	现场接口人	所在1
现场总协调		王五/139XXXXXXX3	现场接口人	所在2
指令宣布		XXX/139XXXXXXXX	指令下发	所在0
包管组		XXX/137XXXXXXXX	故障剖析定位组	\
包管组		XXX/138XXXXXXXX	故障剖析定位组	\
实验职员分组
	分组	实验/手机	复核/手机	所在
网络操作组	网络A	XXX/139XXXXXXXX	YYY/139YYYYYYYY	所在1
网络操作组	网络B	XXX/140XXXXXXXX	YYY/140YYYYYYYY	所在2
机房组	机房I	机房组	ZZZ/139ZZZZZZZZ	所在1
机房组	机房J	机房组	ZZZ/140ZZZZZZZZ	所在2
营业验证组	验证组1	AAA/139AAAAAAAA	BBB/139BBBBBBBB	所在1
营业验证组	验证组2	AAA/140AAAAAAAA	BBB/140BBBBBBBB	所在2

2>值守规范

一样平常涉及网络大的调解，尤其是涉及防火墙等清静装备的升级刷新若是没有充分营业验证，都需要在事情日上班包管时间，详细时间长度和包管方法需要和客户协商。若是故障处置惩罚不了实时升可以参考凭证公司《故障处置惩罚管理程序V1.7》划定举行处置惩罚。参考表格如下：

值守包管职员
	分组	值守职员/手机	升级职员/手机	所在
网络操作组	网络A	XXX/139XXXXXXX1	YYY/139YYYYYYY1	所在XX
机房组	机房I	XXX/139XXXXXXX2	YYY/139YYYYYYY2	所在XX
营业验证组	验证组1	XXX/139XXXXXXX3	YYY/139YYYYYYY3	所在XX