H3C防火墙特征库升级失败排查

H3C新一代防火墙(NGFW)融合了很多应用安全层面的功能,比如IPS(入侵检测系统)、ACG(应用识别)、AV(防病毒)、URL(超链接)检测、WAF(web应用防火墙)等功能,统称为DPI(深度报文检测),又称为内容安全。

防火墙设备在出厂时会自带一个基础版本的特征库,也就是1.0.0版本,能满足普通用户的基本要求,如果对应用安全有更高的要求,比如要实时更新特征库,跟上时代的变化,就要购买License,才能更新;包括本地升级、在线升级和在线定时升级等功能都要License授权。

H3C防火墙特征库升级失败排查_第1张图片

 

但是也不是说购买了授权就一帆风顺了,可能也会出现升级失败的异常情况。本文将对一些常见场景进行分析,并给出解决方案。

问题现象:

1、设备使用过程中虽然设备可以配置DPI功能,但是特征库升级不可用;

2、安装完license之后,特征库能够本地升级,但是在线升级不成功;

​​​​​​​告警信息:

1、操作失败:没有找到有效的license。

H3C防火墙特征库升级失败排查_第2张图片

 

2、连接特征库服务器失败。

H3C防火墙特征库升级失败排查_第3张图片

 

3、特征库已是最新版本,不需要进行升级。

H3C防火墙特征库升级失败排查_第4张图片

 

​​​​​​​原因分析

升级的前提是已经购买并注册license授权。

通过查看流量日志以及抓包,可以看到特征库升级的分为以下步骤:

1、检查设备是否已经安装正确的license授权,如果未授权则返回“操作失败:没有找到有效的license”;

2、发起DNS解析请求,解析www.h3c.com.cn,获取IP地址;

3、将预定义URL中的域名替换为IP地址,发起HTTP访问请求,向服务器发送自己的设备信息(SN等)进行授权校验,以及发送现有的设备类型、特征库类型及版本号;(如果连接失败,则返回“连接特征库服务器失败”)

4、进行特征库版本信息比对,如果当前版本低于服务器版本,则发送请求通过http下载协议下载特征库;如果当前版本不低于服务器端版本,则返回“特征库已是最新版本,不需要进行升级”;

5、下载成功之后,进行安装,升级成功之后提示“升级完成”或对话框消失,可以看到特征库版本更新。

以下为正常升级时的流量统计信息:

 

命令行提示:

%May 16 06:40:39:244 2017 F1060 ANTI-VIR/4/Warning: Update signature package successfully.

如果版本已是最新,流量统计信息如下:

 

不会进行文件下载以及升级操作。

以下为debug dns报文信息,可以看到请求解析的是www.h3c.com.cn的域名:

*May 16 07:36:17:930 2017 F1060 DNS/7/EVENT: -Context=1; Starting A resolving for www.h3c.com.cn

*May 16 07:36:17:930 2017 F1060 DNS/7/EVENT: -Context=1; Trying to resolve www.h3c.com.cn in local database

*May 16 07:36:17:930 2017 F1060 DNS/7/EVENT: -Context=1; Trying to resolve www.h3c.com.cn in dynamic cache

*May 16 07:36:17:930 2017 F1060 DNS/7/EVENT: -Context=1; Successfully resolved www.h3c.com.cn: host name is www.h3c.com.cn, address is 10.63.16.77

*May 16 07:36:17:930 2017 F1060 DNS/7/EVENT: -Context=1; Starting AAAA resolving for www.h3c.com.cn

*May 16 07:36:17:930 2017 F1060 DNS/7/EVENT: -Context=1; Trying to resolve www.h3c.com.cn in local database

*May 16 07:36:17:930 2017 F1060 DNS/7/EVENT: -Context=1; Trying to resolve www.h3c.com.cn in dynamic cache

*May 16 07:36:17:930 2017 F1060 DNS/7/EVENT: -Context=1; Trying to resolve www.h3c.com.cn by contacting DNS server 10.72.66.36 through UDP

 

*May 16 07:36:17:931 2017 F1060 DNS/7/PACKET: -Context=1; Sent:

Question:

QName  = www.h3c.com.cn

QType  = AAAA (28)

QClass = IN (1)

第一个发送设备信息的HTTP请求报文:

 

H3C防火墙特征库升级失败排查_第5张图片

deviceNumber>210235A35K0088000003

featureType>5

featureVersion>01000052

productType>0x0101

下载文件的HTTP请求报文:

H3C防火墙特征库升级失败排查_第6张图片

 

​​​​​​​解决方法:

1、购买并激活安装对应的license授权,确认状态为in use;

2、在设备上正确配置DNS服务器,并测试可以正常解析到www.h3c.com.cn域名的IP地址;

3、检查现网是否存在多个出口的情况,检查安全策略是否有阻断日志,检查是否有策略路由导致目的地址不可达。

经过测试,是现网两条等价路由导致,断掉一条链路之后在线升级成功。

​​​​​​​建议与总结

1、一定要购买并激活安装对应的license授权,确认状态为in use,否则会因为没有可用license导致不能升级;

2、可以先进行本地升级测试,确认license已经生效,可以正常升级特征库;

3、需要在设备上正确配置DNS服务器,因为www.h3c.com.cn在公网已经禁ping,所以测试可以正常解析到www.h3c.com.cn域名的IP地址即可;

4、检查设备域间策略配置,是否有报文阻断日志,如果有,需要放通升级的流量;

5、检查现网是否存在多个出口的情况,查看是否有出口不可用的情况,或者是否因为配置策略路由导致流量无法到达特征库服务器,建议先单独使用一根链路进行测试。

你可能感兴趣的:(网络技术)