Risoluzione dei problemi relativi al firewall

È possibile raccogliere i registri di diagnostica del firewall eseguendo i test diagnostici remoti su un Edge.

Per gli Edge che eseguono la versione 3.4.0 o versioni successive e hanno anche il firewall stateful abilitato, è possibile utilizzare i seguenti test diagnostici remoti per ottenere informazioni diagnostiche del firewall:

• Svuota sessioni firewall (Flush Firewall Sessions): eseguire questo test per reimpostare le sessioni stabilite dal firewall. L'esecuzione di questo test in un Edge non solo svuota le sessioni del firewall, ma invia anche attivamente un TCP RST per le sessioni basate su TCP.
  Nota: Se si desidera svuotare le sessioni del firewall IPv6, eseguire il test Svuota sessioni del firewall (Flush Firewall Sessions) dalla nuova interfaccia utente di Orchestrator.
• Elenca sessioni firewall attive (List Active Firewall Sessions): eseguire questo test per visualizzare lo stato attuale delle sessioni del firewall attive (fino a un massimo di 1000 sessioni). È possibile limitare il numero di sessioni restituite utilizzando i filtri: indirizzo IP di origine e destinazione, porta di origine e di destinazione e segmento.

  

  Nota: Non è possibile visualizzare le sessioni che sono state negate perché non sono sessioni attive. Per risolvere i problemi di queste sessioni, sarà necessario controllare i registri del firewall.
  Nota: Le informazioni della sessione del firewall IPv6 possono essere visualizzate dalla nuova interfaccia utente di Orchestrator. Per visualizzare le informazioni della sessione del firewall IPv6 è necessario eseguire il test Elenca sessioni firewall attive (List Active Firewall Sessions) dalla nuova interfaccia utente di Orchestrator.
  Nell'output di diagnostica remota sono visualizzate le seguenti informazioni: nome del segmento, IP di origine, porta di origine, IP di destinazione, porta di destinazione, protocollo, applicazione, criterio del firewall, stato TCP corrente di tutti i flussi, byte ricevuti o inviati e durata. Sono disponibili 11 stati TCP distinti, come definito nella RFC 793:

  • LISTEN: rappresenta l'attesa di una richiesta di connessione da qualsiasi TCP e porta remoti. (Questo stato non è incluso dell'output di diagnostica remota).
  • SYN-SENT: rappresenta l'attesa di una richiesta di connessione corrispondente dopo aver inviato una richiesta di connessione.
  • SYN-RECEIVED: rappresenta l'attesa di una conferma della richiesta di connessione dopo aver ricevuto e inviato una richiesta di connessione.
  • ESTABLISHED: rappresenta una connessione aperta. I dati ricevuti possono essere recapitati all'utente. Si tratta dello stato normale per la fase di trasferimento dati della connessione.
  • FIN-WAIT-1: rappresenta l'attesa di una richiesta di interruzione della connessione dal TCP remoto o di una conferma della richiesta di interruzione della connessione inviata in precedenza.
  • FIN-WAIT-2: rappresenta l'attesa di una richiesta di interruzione della connessione dal TCP remoto.
  • CLOSE-WAIT: rappresenta l'attesa di una richiesta di interruzione della connessione da parte dell'utente locale.
  • CLOSING: rappresenta l'attesa di una conferma della richiesta di interruzione della connessione dal TCP remoto.
  • LAST-ACK: rappresenta l'attesa di una conferma della richiesta di interruzione della connessione inviata in precedenza al TCP remoto (che include una conferma della sua richiesta di interruzione della connessione).
  • TIME-WAIT: rappresenta l'attesa di un tempo sufficiente per essere certi che il TCP remoto abbia ricevuto la conferma della sua richiesta di interruzione della connessione.
  • CLOSED: indica che non è presente alcuno stato di connessione.

Per ulteriori informazioni su come eseguire la diagnostica remota in un Edge, vedere Diagnostica remota.