作者phdch (爱咪)
看板MIS
标题[请益] 两端系统伺服器之中间网路发生去回不同路
时间Fri May 22 23:58:09 2020
如题
两端系统伺服器主机都被两边网路防火墙给保护
中间网路跑OSPF，且网路线路有redundancy机制(HA)
跟同事讨论，若两边都没有防火墙，只有router
则封包去回不同路，没关系
但两边有防火墙，封包去回不同路，我们之前就有发生过问题(但我算没经历过，同事有)
我目前想到几点
1.封包送出後，经过很多router或L2 switch
封包中的source ip与destination ip都不会变，但L2 source and dest. mac会一直变
因routing是看dest. ip(从头到尾不变)，router依据目的ip网段而转发到next hop
2.封包去回不同路，可能回的网路品质不佳(packet drop)或找不到next hop
请问各位先进与大大
是否有其他去回不同路而发生障碍的可能原因?
感恩
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 220.136.108.21 (台湾)
※ 文章网址: https://webptt.com/cn.aspx?n=bbs/MIS/M.1590163091.A.242.html
1F：→ voodist: 其实防火墙有封包检查机制，不过这个机制是可以关掉的， 05/23 00:26
2F：→ voodist: 基於资安考量通常都不建议关掉 05/23 00:26
3F：推 a0952864901: HA(Master)挂掉的时候 连线中的Session可能就会出现 05/23 01:47
4F：→ a0952864901: 封包去回不同路的状况 05/23 01:47
5F：→ a0952864901: 所以HA有个机制会让Master&Slaver建立虚拟共用IP&MAC 05/23 01:50
6F：→ a0952864901: 避免让接收端认为去回不同路(被攻击)而把封包Drop 05/23 01:51
7F：→ a0952864901: 另外有读过类似的情境是Triangular Routing Problem 05/23 01:54
8F：→ a0952864901: 但看起来比较像ISP端处理Routing的作法 跟企业环境的 05/23 01:56
9F：→ a0952864901: Rouring应该比较没关系 我想这个应该不是你要问的XD 05/23 01:57
10F：→ deadwood: 防火墙的TCP inspection会检查TCP封包是不是属於同一个 05/23 09:21
11F：→ deadwood: connection(看序号等资讯)，预设值都是不符合就丢弃 05/23 09:23
12F：→ deadwood: 非对称路由会造成TCP封包有些经过防火墙、有些没有 05/23 09:24
13F：→ deadwood: 所以TCP沟通容易出问题，不过就如一楼讲的，可以关掉 05/23 09:25
14F：→ deadwood: 要注意的是会生这问题的架构，通常防火墙不是唯一闸道 05/23 09:26
15F：→ deadwood: 例如企业常有MPLS VPN，又透过防火墙做site to siteVPN 05/23 09:27
16F：→ deadwood: 路由设计的时候就要考虑到会发生去回不同路的情境 05/23 09:28
17F：推 gogohc: 去回不同路没关系？ 05/23 10:50
18F：→ asdfghjklasd: BGP 就去回不同路了..你上网有影响? 05/23 17:52
19F：→ slash66: 你确定封包来去不同路，怎麽可能，收到一个封包没头没尾 05/23 20:04
20F：→ slash66: 早就被Drop掉了 05/23 20:06
21F：→ slash66: 整个封包session都是一连串有关连ID互相辨识的 05/23 20:08
22F：→ deadwood: 去回不同路是指中间路由经过不同路径，来源目的没变好吗 05/23 20:17
23F：→ deadwood: 只要TCP没丢包到连线逾时，来源跟目的根本不在乎路径如 05/23 20:19
24F：→ deadwood: 何走，只要中间没有防火墙、路由黑洞，通常不会察觉问题 05/23 20:21
25F：推 error987: Firewall或是资安设备是AA mode? 动态路由没刻意调整演 05/23 20:45
26F：→ error987: 算法下，去回不同路是很正常的 05/23 20:45
27F：→ infosec: 在ECMP VXLAN EVPN环境下去回不同路实属正常 05/25 19:58
28F：→ infosec: 调整Firewall的架构(不是enable asymroute) 也是正常 05/25 20:00
29F：→ phdch: 感谢各位大大集思广益,但我还是不能想像,各种原因造成障碍 05/26 12:52
30F：→ phdch: 可能还没有遇过这样问题吧! 我们firewall是AS mode 05/26 12:53
31F：→ phdch: firewall是唯一闸道与唯一出入口,没有其他link 05/26 12:57