Use la API y la interfaz de usuario de para solucionar los problemas del firewall de puerta de enlace.
Use la API y la interfaz de usuario de
NSX Manager para comprobar lo siguiente:
- El firewall de puerta de enlace está habilitado para la puerta de enlace especificada.
- Compruebe el estado de realización de una directiva de firewall de puerta de enlace determinada. La interfaz de usuario muestra el estado de realización junto a la parte superior derecha del encabezado de directiva de firewall.
- Compruebe las estadísticas de las reglas para ver si hay tráfico que llega a la directiva de firewall.
- Habilite el registro de la regla para solucionar los problemas de la directiva.
El firewall de puerta de enlace se implementa en el nodo de transporte de NSX Edge. En el siguiente paso, utilice la solución de problemas de ruta de datos como se indica a continuación mediante los comandos de nsxcli en la línea de comandos del nodo de NSX Edge.
Obtener el UUID de la puerta de enlace en la que el firewall está habilitado
EDGE-VM-A01> get logical-router Logical Router UUID VRF LR-ID Name Type Ports 736a80e3-23f6-5a2d-81d6-bbefb2786666 0 0 TUNNEL 4 8ccc0151-82bd-43d3-a2dd-6a31bf0cd29b 1 1 DR-DC-Tier-0-GW DISTRIBUTED_ROUTER_TIER0 5 5a914d04-305f-402e-9d59-e443482c0e15 2 1025 SR-DC-Tier-0-GW SERVICE_ROUTER_TIER0 7 495f69d7-c46e-4044-8b40-b053a86d157b 4 2050 SR-PROD-Tier-1 SERVICE_ROUTER_TIER1 5
Obtener todas las interfaces de puerta de enlace mediante UUID
El firewall de puerta de enlace se implementa por interfaz de vínculo superior de una puerta de enlace. Identifique la interfaz de vínculo superior y obtenga el identificador de interfaz de la salida que aparece a continuación.
dc02-nsx-edgevm-1> get logical-router 16f04a64-ef71-4c03-bb5c-253a61752222 interfaces
Wed Dec 16 2020 PST 17:24:13.134
Logical Router
UUID VRF LR-ID Name Type
16f04a64-ef71-4c03-bb5c-253a61752222 5 2059 SR-PROD-ZONE-GW SERVICE_ROUTER_TIER1
Interfaces (IPv6 DAD Status A-DAD_Success, F-DAD_Duplicate, T-DAD_Tentative, U-DAD_Unavailable)
Interface : 748d1f17-34d0-555e-8984-3ef9f9367a6c
Ifuid : 274
Mode : cpu
Port-type : cpu
Interface : 1bd7ef7f-4f3e-517a-adf0-846d7dff4e24
Ifuid : 275
Mode : blackhole
Port-type : blackhole
Interface : 2403a3a4-1bc8-4c9f-bfb0-c16c0b37680f
Ifuid : 300
Mode : loopback
Port-type : loopback
IP/Mask : 127.0.0.1/8;::1/128(NA)
Interface : 16cea0ab-c977-4ceb-b00f-3772436ad972 <<<<<<<<<< INTERFACE ID
Ifuid : 289
Name : DC-02-Tier0-A-DC-02-PROD-Tier-1-t1_lrp
Fwd-mode : IPV4_ONLY
Mode : lif
Port-type : uplink <<<<<<<<<< Port-type Uplink Interface
IP/Mask : 100.64.96.1/31;fe80::50:56ff:fe56:4455/64(NA);fc9f:aea3:1afb:d800::2/64(NA)
MAC : 02:50:56:56:44:55
VNI : 69633
Access-VLAN : untagged
LS port : be42fb2e-b10b-499e-a6a9-221da47a4bcc
Urpf-mode : NONE
DAD-mode : LOOSE
RA-mode : SLAAC_DNS_TRHOUGH_RA(M=0, O=0)
Admin : up
Op_state : up
MTU : 1500
arp_proxy :
Obtener reglas de firewall de puerta de enlace en una interfaz de GW
Utilice el identificador de interfaz para obtener reglas de firewall programadas en una interfaz de puerta de enlace.
dc02-nsx-edgevm-2> get firewall 16cea0ab-c977-4ceb-b00f-3772436ad972 ruleset rules
Wed Dec 16 2020 PST 17:43:53.047
DNAT rule count: 0
SNAT rule count: 0
Firewall rule count: 6
Rule ID : 5137
Rule : inout protocol tcp from any to any port {22, 443} accept with log
Rule ID : 3113
Rule : inout protocol icmp from any to any accept with log
Rule ID : 3113
Rule : inout protocol ipv6-icmp from any to any accept with log
Rule ID : 5136
Rule : inout protocol any from any to any accept with log
Rule ID : 1002
Rule : inout protocol any from any to any accept
Rule ID : 1002
Rule : inout protocol any stateless from any to any accept
dc02-nsx-edgevm-2>
Comprobar estado de sincronización de firewall de puerta de enlace
Estado de flujo de sincronización de firewall de puerta de enlace entre nodos de Edge para alta disponibilidad. La configuración de sincronización de firewall de puerta de enlace se puede ver en el siguiente resultado.
dc02-nsx-edgevm-1> get firewall 16cea0ab-c977-4ceb-b00f-3772436ad972 sync config Wed Dec 16 2020 PST 17:30:55.686 HA mode : secondary-active Firewall enabled : true Sync pending : false Bulk sync pending : true Last status: ok Failover mode : non-preemptive Local VTEP IP : 172.16.213.125 Peer VTEP IP : 172.16.213.123 Local context : 16f04a64-ef71-4c03-bb5c-253a61752222 Peer context : 16f04a64-ef71-4c03-bb5c-253a61752222 dc02-nsx-edgevm-1> dc02-nsx-edgevm-2> get firewall 16cea0ab-c977-4ceb-b00f-3772436ad972 sync config Wed Dec 16 2020 PST 17:47:43.683 HA mode : primary-passive Firewall enabled : true Sync pending : false Bulk sync pending : true Last status: ok Failover mode : non-preemptive Local VTEP IP : 172.16.213.123 Peer VTEP IP : 172.16.213.125 Local context : 16f04a64-ef71-4c03-bb5c-253a61752222 Peer context : 16f04a64-ef71-4c03-bb5c-253a61752222 dc02-nsx-edgevm-2>
Comprobar flujos activos de firewall de puerta de enlace
Los flujos activos de firewall de puerta de enlace se pueden ver con el siguiente comando. Los estados de flujo se sincronizan entre los nodos de Edge activos y en espera de esa puerta de enlace. El ejemplo siguiente muestra e resultado de edge-node-1 y edge-node-2.
dc02-nsx-edgevm-2> get firewall 16cea0ab-c977-4ceb-b00f-3772436ad972 connection Wed Dec 16 2020 PST 17:45:55.889 Connection count: 2 0x0000000330000598: 10.166.130.107:57113 -> 10.114.217.26:22 dir in protocol tcp state ESTABLISHED:ESTABLISHED fn 5137:0 0x04000003300058f1: 10.166.130.107 -> 10.114.217.26 dir in protocol icmp fn 5136:0 dc02-nsx-edgevm-2> dc02-nsx-edgevm-1> get firewall 16cea0ab-c977-4ceb-b00f-3772436ad972 connection Wed Dec 16 2020 PST 17:47:09.980 Connection count: 2 0x0000000330000598: 10.166.130.107:57113 -> 10.114.217.26:22 dir in protocol tcp state ESTABLISHED:ESTABLISHED fn 5137:0 0x04000003300058f1: 10.166.130.107 -> 10.114.217.26 dir in protocol icmp fn 3113:0 dc02-nsx-edgevm-1>
Comprobar registros de firewall de puerta de enlace
Los registros de firewall de puerta de enlace proporcionan la información de la interfaz de VRF y GW de puerta de enlace, junto con los detalles de flujo Se puede acceder a los registros del firewall de puerta de enlace en Edge o se pueden enviar al servidor syslog. Los registros de firewall proporcionan el enrutador lógico VRF, el identificador de la interfaz del firewall y los detalles del flujo del identificador de regla de FW.
dc02-nsx-edgevm-1> get log-file syslog | find datapathd.firewallpkt <181>1 2020-08-04T21:18:25.633996+00:00 dc02-nsx-edgevm-1 NSX 26581 FIREWALL [nsx@6876 comp="nsx-edge" subcomp="datapathd.firewallpkt" level="INFO"] <8 16cea0abc9774ceb:b00f3772436ad972> INET reason-match PASS 3061 OUT 48 TCP 10.114.217.26/33646->10.114.208.136/22 S <181>1 2020-08-04T21:18:41.182424+00:00 dc02-nsx-edgevm-1 NSX 26581 FIREWALL [nsx@6876 comp="nsx-edge" subcomp="datapathd.firewallpkt" level="INFO"] <2 460b362ce1254ebd:98498057bc3b18df> INET TERM PASS 3053 IN TCP 10.166.56.254/60291->10.114.217.26/22 dc02-nsx-edgevm-1>
Otras opciones de la línea de comandos para depurar el firewall de puerta de enlace
dc02-nsx-edgevm-2> get firewall 16cea0ab-c977-4ceb-b00f-3772436ad972
Possible alternatives:
get firewall <uuid> addrset name <string>
get firewall <uuid> addrset sets
get firewall <uuid> attrset name <string>
get firewall <uuid> attrset sets
get firewall <uuid> connection
get firewall <uuid> connection count
get firewall <uuid> connection raw
get firewall <uuid> connection state
get firewall <uuid> ike policy [<rule-id>]
get firewall <uuid> interface stats
get firewall <uuid> ruleset [type <rule-type>] rules [<ruleset-detail>]
get firewall <uuid> ruleset [type <rule-type>] stats
get firewall <uuid> sync config
get firewall <uuid> sync stats
get firewall <uuid> timeouts
get firewall [logical-switch <uuid>] interfaces
get firewall interfaces sync
dc02-nsx-edgevm-2>
