CNESA - SE_Gao的文章

SE_Gao 的文章

Windows

windows自带mpio（多路径）详解

windows的MPIO 1.在双活系统中，常常为客户端配置多路径，来保证业务可持续，那今天我们来聊聊windows自带的MPIO 2.首先先教大家如何安装windows自带的MPIO （1）实验环境是windows2012 R2，其他版本大致一样，FC路径。首先打开服务器管理器，选择"添加角色和功能" （2）然后点击“下一步” （3）点击“下一步” （4）直接点击“下一步” （5）默认，点击“下一步” （6）这边是重点，勾选“多路径I/O”，点击下一步（7）勾选“如果需要，自动重新启动目标服务器”，当我们不确定某个操作后，是否需要重启，就勾选。当然安装mpio是需要重启的。然后点击安装 (8)开始安装（10）安装成功，点击关闭。 3.安装成功后，如何设置mpio，莫急，下面就是啦。 (服务器管理-工具-mpio) （2）在MPIO属性中，可以添加存储阵列，有两种方式，一种是手动添加；另一种是时device ID(尽量使用这种) 如下图，是手动添加，点击添加，输入供应商（8个字符）和产品ID（16个字符），如果不够，用空格补全。添加之后需要重启这是第二种,发现多路径，直接选择硬件，点击添加（3）在磁盘管理中，可以查看多路径是否绑好，右击，选择“属性” （4）查看路径是不是显示正常。 4 下面聊一点高级的，关机MPIO的几种模式。 (1)仅故障转移（failover only）这是最简单的一种模式，与游戏中的复活类似。一条路径挂了，切到另一条。它是自动切换，active/standby模式 (2)协商会议（round robin）李彦宏的英文名字就是robin。这个模式就是负载均衡，每条路径都会写IO，不能浪费服务器性能， active/active模式 (3)带子集的协商会议（传说中alua），比协商会议更高级一点，alua是储存的三种工作模式中的一种，主要是存储控制那一条路径，而不是客户端。主要是提高存储的读写性能和可靠性。 active/activ……

SE_Gao 2024-11-28

104 0 0
VMware vSphere

/storage/log partition full due to cloudvm-ram-size.log file rotation is not working in vCenter Server Appliance

Issue/Introduction Symptoms: In VCSA 6.0, the /storage/log/vmware/cloudvm/cloudvm-ram-size.log file size increases without log rotation. The available space in the /storage/log directory reduces gradually. Environment VMware vCenter Server Appliance 6.0.x Cause This issue occurs due to the absence of log rotation configuration for the cloudvm-ram-size.log file. Resolution This issue is fixed in vSphere 6.5. For previous vSphere versions, work around this issue by manually configuring log rotation for the cloudvm-ram-size.log file. To manually configure log rotation for the cloudvm-ram-size.log file: Log into the vCenter Server Appliance. Navigate to: /etc/logrotate.d To create the cloudvm_ram_size.log file, run this command: touch /etc/logrotate.d/cloudvm_ram_size.log Open the cloudvm_ram_size.log file created in step #3 using a text editor. Enter these entries: /storage/log/vmware/cloudvm/cloudvm-ram-size.log{ missingok notifempty compress size 20k monthly rotate 5 create 0660 root cis } Save the cloudvm_ram_size.log file. To enable log rotation for the cloudvm-ram-size.log file and all the other log files, run this command: logrotate -f /etc/logrotate.conf Notes: You may see some errors while running the logrotate command, which can be ignored. You can keep the latest cloudvm-ram-size.log-xxxxxxxxx-.bz2 file. It is recommended to do periodic cleanup of older .bz2 files in the /storage/log/vmware/cloudvm location.

SE_Gao 2024-11-27

14 0 0
Windows

Windows – 在 Windows 10 和 Windows 2016 桌面上禁用 HTTP/2 协议

对于某些 Web 浏览器，您可能会在访问 Windows 10 VADC 或 Windows 2016 VADC 桌面时遇到 ERR_SPDY_PROTOCOL_ERROR 错误。您可以在桌面上禁用 HTTP/2 协议以防止出现该错误。过程启动 Windows 注册表编辑器。导航到注册表项 HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\HTTP\Parameters。在该注册表项中添加 2 个新 REG_DWORD 值：EnableHttp2Tls 和 EnableHttp2Cleartext。将两个值设置为 0。重新引导桌面。

SE_Gao 2024-11-26

15 0 0
CentOS

linux系统启动报错：file system check of the root filesystem failed

一、场景还原在系统在疯狂读写时，软件或者系统突然停止工作，导致重启是包以下类似的错误： Begin: Will now check root file system ... fsck from util-linux 2.27.1 [/sbin/fsck.ext4 (1) -- /dev/mapper/ubuntu-lv-mapper] fsck.ext4 -a -C0 /dev/mapper/ubuntu-lv-mapper /dev/mapper/ubuntu-lv-mapper: One or more block group descriptor checksums are invalid. FIXED. /dev/mapper/ubuntu-lv-mapper: Group descriptor 64 checksum is 0x0000, should be 0xe333. /dev/mapper/: UNEXPECTED INCONSISTENCY; RUN fsck MANUALLY. (i.e., without -a or -p options) fsck exited with status code 4 done. Failure: File system check of the root filesystem failed The root filesystem on /dev/mapper/ubuntu-lv-mapper requires a manual fsck BusyBox v1.22.1 (Ubuntu 1:1.22.0-15ubuntu1) built-in shell (ash) Enter 'help' for a list of built-in commands. 1 2 3 4 5 6 7 8 9 10 11 12 13 并在下错误下面显示了（inittramfs）和一个闪烁的光标二、解决方案 1、排查问题：是否磁盘损坏因为我这是重启过后引导出现问题，并且通过替他系统确认过磁盘并没有损坏磁盘损坏了导致这个问题那就只能进行更换磁盘了，毕竟磁盘都坏了 2、问题解决–方法1 既然不是磁盘损坏，那就是文件系统出现了问题了按照提示进行fsck检查： fsck -f || fsck -r -V 输入指令后会弹出以下字样： fsck from XXXXXX Checking all file systens. 1 2 随后输入指令： fsck -f -V <错误显示的分区>（我的是/ev/mapper/ubuntu-lv-mapper）这时候会弹出大量修复，并需要人为选择y/n 如果没有什么要注意的可以直接敲回车，一路到底最后重启就解决了 3、问题解决–方法2 方法2和方法1相同，只……

SE_Gao 2024-11-25

20 0 0
防火墙

控制台无法登录之TLS协议不支持

新版本的谷歌浏览器、火狐浏览器已不支持TLS1.0/1.1 ，使用此类浏览器登入低版本AF时会提示TLS协议不支持目前可通过打JG包解决，JG21及之后的JG包均可解决 JG包是以sp包的形式下发的，可在【安全能力更新】-【软件优化】出点击更新，也可通过acheck工具打 7.3 <=AF版本 <=8.0.23不支持TLS1.2，AF8026及之后版本即可在页面开启TLS1.2 1.优先建议打JG包解决，升级到高版本也可以解决，是在没辙在打KB包； //截止2023-8-17，防火墙主线版本均已覆盖JG25，都可以通巡检打包解决此问题（WAF/IPS/FW也覆盖了） 2.补丁包重启sangfor_waf影响控制台服务，不影响网络业务，双机场景建议先打备机在打主机； 3.巡检确认此设备是否有JG19及之前的JG包要打（一般为vaf、单品），需要先打JG19及以前的JG包，然后获取补丁包升级，现有版本的包都有ssu格式，可使用update工具升级。 PS：因为TLS的包和JG包都会改sangfor_waf，如果先打TLS的包在打JG19及以前的包就会导致sangfor_waf又被改回去不支持TLS1.2，所以如果设备需要打JG19级以前的JG包，则先打JG包在打TLS的包，如果设备有JG21及之后的包打，就直接打JG包无需要打KB包常规补丁包对应关系：包名为：KB-AF-20220217-WEBUI-TLS1.2 加版本注：英文的AF除了AF8.0.23需要找研发确认外，其他23以下的AF都是中文切过去的，可直接打FTP的包

SE_Gao 2024-11-22

12 0 0
防火墙

单位PC访问某互联网业务失败之公网IP被网站封堵

客户局域网无法访问互联网某业务，客户发现在自己家能正常访问。访问某网页时显示访问超时。（客户怀疑是防火墙策略拦截） 1、防火墙开启直通发现还是无法访问此业务。（怀疑是对端单位把用户公网IP给封锁了） 2、抓取用户访问互联网某业务的pc包，再抓取AF的数据包。发现PC端的数据包和AF的数据包一致，说明AF没有拦截这个访问分析数据包发现源到目的访问为RST，说明是对端拒绝的。 3、用户有多个公网IP，在AF上NAT策略上更换了另一个公网地址上网。发现用户的PC可以正常访问对端业务了。对端单位的业务那边，把本端客户的公网地址给封锁了。临时方案：如果有多个公网地址，可以在AF的NAT策略上更换公网地址去访问。永久方案：联系对端单位管理员协商，把本用户的公网地址放通。建议让客户和对端单位沟通一下是什么原因导致，公网IP被拦截或者是被封锁了。

SE_Gao 2024-11-21

5 0 0
防火墙

防火墙会话机制与基本概念

会话机制与基本概念一、会话概念：当数据流经过AF转发时，AF会生成一个记录五元组、出入接口、路由匹配情况、策略匹配情况、nat转换情况等信息的表项，此表项称为会话二、会话作用： AF转发数据时为了提升数据转发效率率并减少重复判断策略匹配情况而损耗设备性能，通过会话记录的策略等信息，进行数据快处理三、会话的机制介绍： A：会话建立的条件参数： 1.老架构（五元组）：源IP，目的IP，源端口，目的端口，协议 2.新架构（七元组）：源IP，目的IP，源端口，目的端口，协议，VLAN，数据为二层或三层（数据经过AF时，AF是2层转发还是3层转发） B、会话匹配： 1.老架构：仅通过识别五元组信息是否已有会话一致，一致则根据对应会话转发并刷新老化时间，否则生成新会话。 2.新架构：在标准五元组场景的前提上针对数据包VLAN标签，以及首包为二层或三层的识别标签，共同组成七元组进行识别。若七元组完全一致则根据对应会话转发并刷新老化时间，否则生成新会话。 C、会话更新： 1、自然更新会话 TCP会话默认老化时间为30min，UDP会话默认老化时间为3min，ICMP默认老化时间为30s（对应时间可以在控制台修改），老化时间超过后会话过期清除，若同一五元组（七元组）数据在老化前再次触发则会刷新老化时间重新进老化计算。 2、recheck更新会话 recheck是指路由或者策略发生变化时（增/删/改操作），通知会话立即重新按照当前策略或路由的匹配情况进行更新并刷新老化时间。例如路由变化了，那已经建立的会话，需要重新去匹配路由，查询下一跳和出接口，如果转发情况发生变化则清理老会话并重新建立会话（recheck）。但是并非所有recheck场景均会重建所有会话，例如黑名单修改仅仅会让修改的IP相关会话recheck。注：老架构存在NAT策略调整下发后不及时recheck的情况，可通过打包优化解决-- KB-AF-20210904-Na……

SE_Gao 2024-11-20

15 0 0
防火墙

老架构防火墙日志上报MSS存在日志延时

老架构防火墙日志上报MSS存在日志延时老架构防火墙日志上报MSS存在日志延时有效排查步骤 1、排查域名能否正常解析通信，将脚本上传到后台，执行脚本python check_conn.py 2、排查获取接入地址REST接口是否正常使用如下命令测试REST接口，corpcode=后面的参数为企业ID。 wget --no-check-certificate -qO - “https://device.sangfor.com.cn/sc ... 0&corpcode=16729605” 如果正常，会返回如下接入地址： {"code":0,"message":"成功","data":{"ip":"219.135.99.249","port":5000}} 3、排查步骤二返回的IP端口是否正常，最好抓包确认tcp握手是否正常 telnet 219.135.99.249 5000 / ssh 219.135.99.249 -p 5000 4、确认用户id是否正确，接入的设备名称要和云图上的设备名称一致，密码是否正确（一定要反复确认，配置不对也会报代理服务不可用） 5、检查防火墙日志上报相关日志：/fwlog/slog/log/最新日志.log，存在报错信息：invalid character 'u' looking for beginning of value。防火墙上报日志到云端后，云端资源为新底座，上报线路切换到了clt1.sangfor.com.cn进行上报，防火墙自身依然是上报给clt.sangfor.com.cn，云端收到防火墙上报的数据后发现不是JSON格式，所以返回这个报错老架构防火墙自身调整上报域名存在较大代码改动，暂时无法通过后台调整上报的域名，可通过修改防火墙host配置，将clt.sangfor.com.cn的域名和clt1.sangfor.com.cn的公网IP进行绑定，实现防火墙上报日志最终是上报clt1.sangfor.com.cn。是日志上报云图流程： 1.slog_clint(AF)调用云脑认证接口 https://auth.sangfor.com.cn/v1/auth 获取token； 2.slog_clint(AF)根据客户端i_get中的log.server主控地址，执行s_get获取上报配置，上报配置中包含需要的表，还有需要上报给那个……

SE_Gao 2024-11-19

18 0 0
防火墙

AC通过SNMP跨三层获取AF的IP-MAC信息获取不到

AC通过SNMP跨三层获取AF的IP-MAC信息获取不到。 1、检查AF侧的SNMP配置，确认IP地址、团体名等配置正确。 2、抓包确认AC有正常发送SNMP请求到AF上，并且AF有回包，详细分析AF数据包，分析具体数据包情况，AF返回的数据不是IP和MAC的信息，判断是AC默认使用的OID值不是AF的IP、MAC的OID。 3、查询AF对应版本的SNMP的OID 表格，找到AF对应的IP和MAC的OID值填写到AC上，重新获取测试，可以正常获取到IP-MAC信息。 AC上使用的默认通用的IP-MAC的OID值在AF上不适用。查询AF的SNMP的OID表，AC上使用对应IP和MAC的OID值进行获取解决。跨三层取MAC需要的IP和MAC表为AF中路由信息的IP地址和物理地址的OID。

SE_Gao 2024-11-18

18 0 0
交换机

S5700交换机地址池lock导致静态绑定和解除静态绑定失败

问题描述问题描述 1、型号和版本：S5700 V200R008C00SPC500 2、网络拓扑： S5700---S2700---PC 3、故障现象（1）对地址池的地址进行绑定或者解除绑定时，提示The IP address's status is error 处理过程 1、对该地址进行绑定，出现报错:Error: The IP address's status is error. 2、查看地址池使用情况，检查该地址的状态为disable <SW_172.16.88.2>dis ip pool name vlan11 all | include 10.88.3.165 932 10.88.3.165- - Disable 3、尝试用命令reset ip pool name vlan11 10.88.3.165 10.88.3.165对该地址进行释放 3、用命令重新对该IP地址进行绑定，发现故障依旧 4、检查交换机配置，发现地址池被lock 5、解除地址池lock后重新reset ip pool name vlan11 10.88.3.165 10.88.3.165地址后重新绑定，绑定成功根因 DHCP地址池被lock之后将不能解除绑定，也不能进行静态绑定

SE_Gao 2024-11-15

11 0 0