蚂蚁网-多维人生，三实而立！

天融信的debug功能

作者：易隐者 发布于：2012-5-3 15:49 Thursday 分类：网络安全

1，debug说明：

在TOS 3.3.005以上版本下使用

通常遇到了防火墙的故障时一般是通过抓包的方式来查看进出的数据包，但是有些情况下设备不支持抓包（如：425平台）或者通过抓包无法分析出故障，那么这种情况下可以通过防火墙的DEBUG功能（005以上版本都可以支持，与硬件平台没关系）来进行故障的定位，这个功能可以观察数据包在防火墙不同的模块间数据转发的一个过程，可以很快定位数据故障的原因，下面介...

阅读全文>>

标签: 天融信 debug

评论(5) 引用(0) 浏览(7394)

A10负载均衡抓包方法

作者：易隐者 发布于：2012-3-26 22:53 Monday 分类：参考资料

1，登录方式

（1）Console方式设置说明
COM的参数设置如下图所示：

AX的默认用户名为：admin，默认密码为：a10。
（2）SSH/Telnet方式登录说明
AX的MGMT接口的默认IP地址为：172.31.31.31/24。将PC的IP地址配置为与AX的MGMT接口同网段的地址（如：172.31.31.33/24）。采用SSH客户端软件（如：PuTTY）等访问AX的MGMT接口地址。

CLI命令行模式说明

AX采用类似Cisco的命令行模式，便于工程师操作和维护。
1） 当通过SSH客户端软件或远程终端软件登录AX时，并输入用户认证信息后，则进入AX的用户模式：
2） 
jjwxc-2>
3） 在用户模式下，AX只允许使用一些基本的命令，查询状态基本信息。具体可使用的命令列表可通过“？”来查询。
jjwxc-2>?
  axdebug     AX Debug Commands
  enable      Turn on privileged commands
  exit        Exit from exec
  help        Description of the Interactive Help System
  no          Negate a command or set its defaults
  ping        Send ICMP echo messages
  show        Show Running System Information
  ssh         Open an ssh connection
  telnet      Open a telnet connection
  traceroute  Trace route to destination

Debug抓包分析命令

抓包命令设置如下：
（1）首先设置过滤条件：
Debug packet [ l3 ip <clientip vip or serverip> ] [ l4 TCP/UDP  port  端口号 ]
（2）启用抓包输入
             Debug monitor
 （3）分析抓包输出结果
 （4）结束抓包输入：
            No debug all

阅读全文>>

标签: 负载均衡 debug 抓包 A10 monitor

评论(0) 引用(0) 浏览(15983)

Juniper防火墙下抓包方法

作者：易隐者 发布于：2012-3-16 17:44 Friday 分类：参考资料

debug flow basic

       相对于其他防火墙而言，Juniper防火墙提供许多有效的查错工具，其中之一就是debug flow basic， 应用方式举例如下:
1. 先设置过滤列表，使得防火墙只对需要的数据包进行分析. 即set ffilter命令:
ns208-> set ffilter ?  
dst-ip      flow filter dst ip
dst-port    flow filter dst port
ip-proto    flow filter ip proto
src-ip       flow filter src ip
src-port    flow filter src port
=DBtZ|~4f@ 
ns208-> set ffilter src-ip 192.168.1.10
filter added 
ns208-> get ff
Flow filter based on:
id:0 src ip 192.168.1.10
ns208-> set ffilter src-ip 192.168.1.11
filter added
ns208-> get ff
Flow filter based on:
id:0 src ip 192.168.1.10
id:1 src ip 192.168.1.11
看出来了吗? 设置两次ffilter的结果是两个过滤列表之间是OR的关系. 如果直接设  

set ffilter src-ip 192.168.1.11 dst-ip 194.73.82.242 就是AND的关系了.
2. 开启debug
ns208-> debug flow basic
3. 发送测试数据包或让小部分流量穿越防火墙
4. 停止debug
ns208-> undebug all
5. 检查防火墙对所转发的符合过滤条件的数据包的分析结果: }
ns208-> get db stream
****** 12553.0: packet received [60]****** Packet arrived on the eth1 interface  tF(UJO xk 
ipid = 29503(733f)， @d7806910 IP id
packet passed sanity check. I rbyB6. ¬ 
ethernet1:192.168.1.10/1280->194.73.82.242/512，1(8/0) Src IP， Port， Dst IP， port incl Protocol 1
chose interface ethernet1 as incoming nat if. Int eth1 is placed in NAT mode  s<`Nxz@0 
search route to (192.168.1.10->194.73.82.242) in vr trust-vr for vsd-0/flag-0/ifp-null Route lookup in trust-vr 
route 194.73.82.242->1.1.1.2， to ethernet3 route found to gateway 1.1.1.2 exiting interface int eth3 
routed (194.73.82.242， 0.0.0.0) from ethernet1 (ethernet1 in 0) to ethernet3 packet routed
policy search from zone 2-> zone 1 Policy lookup performed from Trust (2) to Untrust (1) 
Permitted by policy 3 matched policy ID 3
choose interface ethernet3 as outgoing phy if choose physical interface eth3
no loop on ifp ethernet3. r4Ok(8f6¬D 
session application type 0， name None， timeout 60sec session time created as 60 seconds for ICMP
service lookup identified service 0. service lookup performed 
existing vector list 1-559ef00.
Session (id:76) created for first pak 1 Create session with ID 76 
route to 1.1.1.2 Routed packet to 1.1.1.2 
arp entry found for 1.1.1.2 Already had ARP entry for 1.1.1.2 
nsp2 wing prepared， ready
cache mac in the session Cached MAC address in the session
flow got session.
flow session id 76 
post addr xlation: 1.1.1.1->194.73.82.242. Translate src address to egress interface IP
packet send out to 0010db103041 through ethernet3 Packet sent out on the wire
6. 清除防火墙缓存的debug结果: 
ns208-> clear db
7. 清除防火墙的过滤设置 
ns208->unset ffilter 0
ns208->get ffilter

Snoop

        Snoop 是Juniper防火墙另外一个有效的查错工具，它和debug flow basic的区别是: snoop类似于在防火墙的接口上抓包，可以根据具体接口， 数据包的方向， 协议等等要素进行过滤抓包; debug flow basic则对数据包如何穿越防火墙进行分析，将防火墙的对数据包的处理过程显示出来. Snoop的使用举例如下: 1. 先设置过滤列表，使得防火墙只对需要的数据包进行分析. 即snoop filter命令: 
ns208-> snoop filterdelete          delete snoop filter >
ethernet        snoop specified ethernet
id            snoop filter id |
ip            snoop ip packet ?YcG
off            turn off snoop filter dwjYU\on            turn on snoop filter
tcp            snoop tcp packet udp            snoop udp packet 7 

ns208-> snoop filter ip
direction        snoop direction
dst-ip          snoop filter dst ip dst-port        snoop filter dst port
interface        interface name
ip-proto        snoop filter ip proto a port          src or dst port Pv
src-ip          snoop filter src ip 1)TEIsrc-port        snoop filter src port
    IPv4 Address 
offset          ip offset UqDqF
ns208-> snoop info
Snoop: OFF
Filters Defined: 2， Active Filters 2
Detail: OFF， Detail Display length: 96 EE
Snoop filter based on: id 1(on): IP dir(I) qc
id 2(on): IP dst-ip 172.27.68.1 dir(B) :WdL
RHtx3{S/ 
2. 开启snoop 进行抓包 YC
ns208-> snoopStart Snoop， type ESC or 'snoop off' to stop， continue? [y]/n y
3. 发送测试数据包或让小部分流量穿越防火墙
 4. 停止snoop ns208-> snoop off
5. 检查防火墙对所转发的符合过滤条件的数据包的分析结果(非采用上面的filter，而是采用另外的filter): 
ns208-> get db stream 5Y =M <ZEC&NBSP; q#I>m¬u=JJ 
          1.    The packet comes into the Netscreen from the Trusted side client.            55864.0: 0(i):005004bb815f->0010db00ab30/0800    D *MoEd 
            10.0.0.36->10.10.10.14/1， tlen=60    vhl=45， id=31489， frag=0000， ttl=32
          2.    The packet then leaves the Netscreen， on it’s way to the destination host.      55864.0: 1(o):0010db00ab31->00104bf3d073/0800            10.10.10.10->10.10.10.14/1， tlen=60 uS
            vhl=45， id=31489， frag=0000， ttl=31 r
          3.    The packet then returns to the Netscreen from the host. &W          55864.0: 1(i):00104bf3d073->0010db00ab31/0800 |_+% 'XtU 
              10.10.10.14->10.10.10.10/1， tlen=60 |yxLm              vhl=45， id=12289， frag=0000， ttl=128 
          4.    Finally， the packet is returned to the client on the trusted side. -
          55864.0: 0(o):0010db00ab30->005004bb815f/0800 4 /W|~=y            10.10.10.14->10.0.0.36/1， tlen=60 
            vhl=45， id=12289， frag=0000， ttl=127 6，19usXw:M 
6. 清除防火墙缓存的debug结果:ns208-> clear db W7. 清除防火墙的snoop过滤设置 
ns208-> snoop filter delete   
All filters removed

阅读全文>>

标签: debug 防火墙 抓包 Juniper snoop

评论(0) 引用(0) 浏览(10630)

Hillstone防火墙抓包方法

作者：易隐者 发布于：2012-3-10 17:51 Saturday 分类：参考资料

debug

通过Debug定位NBC策略匹配问题相关说明如下：

使用注意：
         Debug功能开启后，有可能会产生CPU使用率高或设备打印输出大量信息，引起设备无法管理。
         请仔细理解Debug功能后，再使用相关调试功能。
         使用过程中，可以双击ESC关闭Debug功能；当设备开启Debug后无法管理设备，您也可以选择重启设备，设备重启后会自动关闭Debug功能
相关命令介绍：
         Debug dp filter src-ip X.X.X.X         //配置debug需要定位分析的源IP地址
         Show dp-filter                     //确认上一条配置的debug 数据转发过滤条件是否正确，如果配置错误可以使用“undebug dp filter id ”删除后重新配置
         debug dp policy lookup              //开启设备策略查找调试功能
         show debug                                                    //确认已经开启的设备调试功能
         clear logging debug                //清除历史调试打印信息
show logging debug                //查看debug打印日志
使用举例：
         设备配置了很多的NBC策略，目前发现172.20.10.68这个源IP没有达到客户城的NBC策略功能，现要求查看172.20.10.68访问某URL时匹配的NBC策略名称。
相应的调试过程如下（红色为输入的命令）：
SG6000-1(M)# debug dp filter src-ip 172.20.10.68
assigned id: 1
SG6000-1(M)# show dp-filter
---------------------------------------------------------------
vrouter name:trust-vr
---------------------------------------------------------------
id: 1
src-ip: 172.20.10.68 vrouter: trust-vr
---------------------------------------------------------------
SG6000-1(M)# debug dp policy lookup
SG6000-1(M)# show debug
dp:
  policy:
    lookup, enabled
SG6000-1(M)# clear logging debug
SG6000-1(M)# show logging debug
2011-05-24 10:00:32, DEBUG@FLOW: core 1 (sys up 0x169795ff ms): Pak src zone tru
st, dst zone untrust, prot 6, dst-port 80.
Auth-user id 0
Policy 37 matches, ===PERMIT=== （此处显示匹配了防火墙第37条策略，行为允许）
nbc match rule = 139\163mail   （此处显示匹配了NBC的“139\163mail”这条策略）

2011-05-24 10:00:32, DEBUG@FLOW: core 2 (sys up 0x1697962d ms): Pak src zone tru
st, dst zone untrust, prot 6, dst-port 80.
Auth-user id 0
Policy 37 matches, ===PERMIT===
nbc match rule = 139\163mail

SG6000-1(M)# undebug all               （此处非常重要，一定要在Debug使用完成后，关闭所有Debug功能）
SG6000-1(M)# undebug dp filter id 1
SG6000-1(M)# show debug
SG6000-1(M)# show dp-filter
---------------------------------------------------------------
vrouter name:trust-vr
---------------------------------------------------------------
[ FAQ88 ] 如何通过Debug定位NBC策略匹配问题？ - FAQ Information   Updated today (24 May 2011)

snoop

Snoop的语法应该跟juniper的差不多，暂无详细的相关资料。

阅读全文>>

标签: debug 防火墙 抓包 snoop Hillstone

评论(0) 引用(0) 浏览(24450)