Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
이 페이지의 내용
 

보안 플로우 세션 모니터링

이 주제에서는 운영 모드 명령을 사용하여 플로우 세션을 모니터링, 표시 및 확인하는 정보를 다룹니다. 따라서 실행 중인 구성을 커밋하거나 수정할 필요 없이 디버깅할 수 있습니다.

보안 플로우 세션 모니터링 개요

Junos OS를 사용하면 운영 모드 명령을 사용하여 플로우 세션의 모니터링을 구성하고 시작할 수 있습니다. 따라서 실행 중인 구성을 커밋하거나 수정할 필요 없이 디버깅할 수 있습니다. 이 접근 방식은 추적 옵션을 켜도록 구성을 커밋하여 디바이스의 상태를 변경하지 않으려는 경우에 특히 유용할 수 있습니다.

플로우 세션 모니터링을 구성하려면 플로우 필터를 정의하고, 출력 파일을 지정하고, 모니터링을 시작해야 합니다. 플로우 세션 모니터링은 필터(하나 이상)와 출력 파일을 지정하지 않는 한 시작되지 않습니다. 또한 필터 자체를 정의해도 모니터링이 트리거되지 않습니다. 및 monitor security flow stop 명령을 명시적으로 사용하여 monitor security flow start 각각 모니터링을 활성화 및 비활성화해야 합니다.

  • 플로우 필터 정의—소스 주소, 목적지 주소, 소스 포트, 목적지 포트, IP 프로토콜 번호, 수신 또는 발신 인터페이스 이름, 논리적 시스템 이름과 같은 일치 기준의 조합을 사용하여 모니터링하려는 플로우 세션을 정의합니다. 명령을 사용하여 필터를 삭제할 수 있습니다 clear monitor security flow filter .

    메모:

    구성 모드에 정의된 필터와 달리 운영 모드 명령을 사용하여 정의된 필터는 시스템을 재부팅할 때 지워집니다.

  • Specify the output file(출력 파일 지정) - 보안 플로우 모니터링 정보를 저장할 출력 파일을 생성합니다. 이 파일은 디렉터리에 저장됩니다 /var/log/ . 명령을 사용하여 이 파일의 내용을 볼 수 있습니다 show log filename . monitor security flow file 명령을 사용하여 최대 크기, 최대 개수 및 유형과 같은 출력 파일 특성을 지정합니다.

  • 모니터링 시작 - 명령을 사용하여 monitor security flow start 모니터링을 시작합니다. 모니터링이 시작되면 필터와 일치하는 모든 트래픽이 디렉터리의 지정된 출력 파일에 /var/log/ 저장됩니다. basic-datapath 플래그는 기본 플래그이며 모니터링이 시작되면 켜집니다.

    monitor security flow stop 명령을 사용하여 모니터링을 중지합니다. 모니터링이 중지되면 basic-datapath 플래그가 지워집니다.

  • 모니터링 흐름 정보 표시 - 모니터링 작업에 대한 세부 정보를 표시하려면 명령을 사용합니다 show monitoring security flow .

메모:

운영 모드 모니터링 및 flow traceoptions 구성 문을 사용하여 모니터링 세션 모니터링 및 디버깅을 구성할 수 있습니다. 이 두 작업은 병렬로 실행할 수 없습니다. 보안 플로우 모니터링을 켜면 flow traceoption 세션이 차단되고, flow traceoption 세션이 실행 중일 때는 플로우 세션의 모니터링이 차단됩니다.

SRX 시리즈 방화벽에 대한 세션 정보를 얻는 방법 이해

특정 세션에 대한 세부 정보를 포함하여 디바이스에서 활성화된 세션 및 패킷 흐름에 대한 정보를 얻을 수 있습니다. (SRX 시리즈 방화벽은 실패한 세션에 대한 정보도 표시합니다.) 활동을 관찰하고 디버깅하기 위해 이 정보를 표시할 수 있습니다. 예를 들어 show security flow session 명령을 사용할 수 있습니다.

  • 서비스를 포함하여 들어오고 나가는 IP 흐름 목록을 표시하려면

  • 흐름과 관련된 보안 속성(예: 해당 흐름에 속하는 트래픽에 적용되는 정책)을 표시하려면

  • 세션 시간 초과 값을 표시하려면 세션이 활성화되었을 때, 활성 상태였던 기간, 세션에 활성 트래픽이 있는지 여부

메모:

인터페이스 NAT가 구성되고 해당 인터페이스 IP 주소를 사용하여 세션이 NAT로 설정된 경우, 인터페이스 IP 주소가 변경될 때마다 NAT로 설정된 세션이 새로 고쳐지고 새 세션이 새 IP 주소로 설정됩니다. CLI 명령을 사용하여 show security flow session 확인할 수 있습니다.

관련 정책 구성에 로깅 옵션이 포함된 경우 세션 정보도 로깅될 수 있습니다. 모든 SRX 시리즈 방화벽의 플로우 세션 로그에 대해 정책 구성이 향상되었습니다. CC(Common Criteria) MRPP(Medium Robustness Protection Profiles) 규정 준수를 충족하기 위해 session-init 및 session-close에 대한 세션 로그와 정책 또는 애플리케이션 방화벽에 의해 세션이 거부되는 경우 세션 로그의 패킷 수신 인터페이스 매개 변수에 대한 정보가 제공됩니다.

정책 구성 - match를 log session-init 또는 session-close and로 기록하고 syslog에 세션을 기록하려는 세션에 대한 정책을 구성하려면:

  • set security policies from-zone untrustZone to-zone trust zone policy policy13 match source-address extHost1

  • set security policies from-zone untrustZone to-zone trustZone policy policy13 match application junos-ping

  • set security policies from-zone untrustZone to-zone trustZone policy policy13 then permit

  • set security policies from-zone untrustZone to-zone trustZone policy policy13 then log session-init

  • set security policies from-zone untrustZone to-zone trustZone policy policy13 then log session-close

Example : 플로우 일치 정책13은 로그에 다음 정보를 기록합니다.

<14>1 2010-09-30T14:55:04.323+08:00 mrpp-srx550-dut01 RT_FLOW - RT_FLOW_SESSION_CREATE [junos@2626.192.0.2.1.40 source-address="192.0.2.1" source-port="1" destination-address="198.51.100.12" destination-port="46384" service-name="icmp" nat-source-address="192.0.2.1" nat-source-port="1" nat-destination-address="198.51.100.12" nat-destination-port="46384" src-nat-rule-name="없음" dst-nat-rule-name="없음" protocol-id="1" policy-name="policy1" source-zone-name="trustZone" destination-zone-name="untrustZone" session-id-32="41" packet-incoming-interface="ge-0/0/1.0"] 세션 생성 192.0.2.1/1-->198.51.100.12/46384 icmp 192.0.2.1/1-->198.51.100.12/46384 없음 없음 1 policy1 trustZone untrustZone 41 ge-0/0/1.0

<14>1 2010-09-30T14:55:07.188+08:00 mrpp-srx550-dut01 RT_FLOW - RT_FLOW_SESSION_CLOSE [junos@2626.192.0.2.1.40 reason="응답 수신" source-address="192.0.2.1" source-port="1" destination-address="198.51.100.12" destination-port="46384" service-name="icmp" nat-source-address="192.0.2.1" nat-source-port="1" nat-destination-address="198.51.100.12" nat-destination-port="46384" src-nat-rule-name="없음" dst-nat-rule-name="없음" protocol-id="1" policy-name="policy1" source-zone-name="trustZone" destination-zone-name="untrustZone" session-id-32="41" packets-from-client="1" bytes-from-client="84" packets-from-server="1" bytes-from-server="84" elapsed-time="0" packet-incoming-interface="ge-0/0/1.0"] 세션 닫힌 응답 수신: 192.0.2.1/1-->198.51.100.12/46384 icmp 192.0.2.1/1-->198.51.100.12/46384 없음 없음 1 정책1 trustZone untrustZone 41 1(84) 1(84) 0 ge-0/0/1.0

모든 SRX 시리즈 서비스 게이트웨이에 대한 글로벌 세션 매개 변수 표시

목적

모든 흐름 또는 세션에 적용되는 구성된 매개 변수에 대한 정보를 가져옵니다.

행동

CLI에서 세션 정보를 보려면 다음 명령을 입력합니다.

의미

show security flow configuration 명령은 다음 정보를 표시합니다.

  • allow-dns-reply- 일치하지 않는 수신 DNS(Domain Name System) 응답 패킷이 허용되는지 여부를 식별합니다.

  • route-change-timeout- 활성화된 경우, 존재하지 않는 경로로의 경로 변경에 사용할 세션 시간 초과 값을 표시합니다.

  • tcp-mss- 네트워크 트래픽의 모든 TCP 패킷에 사용할 TCP 최대 세그먼트 크기 값의 현재 구성을 표시합니다.

  • tcp-session- 세션 매개 변수를 제어하는 구성된 모든 매개 변수를 표시합니다.

  • syn-flood-protection-mode- SYN 프록시 모드를 표시합니다.

SRX 시리즈 서비스 게이트웨이에 대한 세션 요약 표시

목적

디바이스의 세션 종류, 각 종류의 수(예: 유니캐스트 세션 및 멀티캐스트 세션 수), 실패한 세션 수, 현재 사용 중인 세션 수, 디바이스가 지원하는 최대 세션 수를 결정합니다. 이 명령은 현재 사용 중인 세션의 세부 정보도 표시합니다. 예를 들어 유효한 세션, 보류 중인 세션, 무효화된 세션 및 다른 상태의 세션이 있습니다.

행동

CLI에서 세션 요약 정보를 보려면 다음 CLI 명령을 입력합니다.

SRX 시리즈 서비스 게이트웨이의 세션에 대한 세션 및 플로우 정보 표시

목적

세션 ID, 세션이 속한 가상 시스템, 네트워크 주소 변환(NAT) 소스 풀(소스 NAT를 사용하는 경우), 세션에 대해 구성된 타임아웃 값 및 표준 타임아웃, 세션 시작 시간 및 세션이 활성화된 시간을 포함하여 디바이스의 모든 세션에 대한 정보를 표시합니다. 디스플레이에는 흐름 방향, 소스 주소 및 포트, 대상 주소 및 포트, IP 프로토콜 및 세션에 사용된 인터페이스를 포함한 모든 표준 흐름 정보도 표시됩니다.

행동

CLI에서 세션 흐름 정보를 보려면 다음 명령을 입력합니다.

SRX 시리즈 서비스 게이트웨이의 특정 세션에 대한 세션 및 플로우 정보 표시

목적

세션 식별자를 알면 모든 세션이 아닌 특정 세션에 대한 모든 세션 및 흐름 정보를 표시할 수 있습니다.

행동

CLI에서 특정 세션에 대한 정보를 보려면 다음 명령을 입력합니다.

필터를 사용하여 SRX 시리즈 서비스 게이트웨이에 대한 세션 및 흐름 정보 표시

목적

필터를 명령에 대한 인수로 지정하여 하나 이상의 세션에 대한 흐름 및 세션 정보를 표시할 수 있습니다 show security flow session . application, destination-port, destination-prefix, family, idp, interface, nat, protocol, resource-manager, session-identifier, source-port, source-prefix, tunnel 필터를 사용할 수 있습니다. 디바이스는 각 세션에 대한 정보를 표시한 다음 보고된 세션 수를 지정하는 줄을 표시합니다. 다음은 source-prefix 필터를 사용하는 명령의 예입니다.

행동

CLI에서 필터를 사용하여 선택한 세션에 대한 정보를 보려면 다음 명령을 입력합니다.

SRX 시리즈 서비스 게이트웨이의 세션 로그 항목에서 제공되는 정보

세션 로그 항목은 정책 구성에 연결됩니다. 각 기본 세션 이벤트(생성, 닫기 및 거부)는 제어 정책에서 로깅을 활성화한 경우 로그 항목을 생성합니다.

세션 생성, 세션 닫기 및 세션 거부 이벤트에 대해 표 1, 표 2 및 표 3과 같이 서로 다른 필드가 기록됩니다. 각 유형 아래의 동일한 필드 이름은 동일한 정보가 기록됨을 나타내지만 각 테이블은 해당 유형의 세션 로그에 대해 기록된 모든 데이터의 전체 목록입니다.

다음 표에는 세션 로그 항목에 표시되는 필드가 정의되어 있습니다.

표 1: 세션 생성 로그 필드

Field

Description

source-address

세션을 생성한 패킷의 소스 IP 주소입니다.

source-port

세션을 만든 패킷의 원본 포트입니다.

destination-address

세션을 생성한 패킷의 대상 IP 주소입니다.

destination-port

세션을 만든 패킷의 대상 포트입니다.

service-name

패킷이 통과한 애플리케이션(예: 네이티브 텔넷을 허용하는 정책에 의해 허용되는 세션 중 텔넷 트래픽의 경우 "junos-telnet").

nat-source-address

NAT가 적용된 경우 변환된 NAT 소스 주소입니다. 그렇지 않으면 위와 같은 소스 주소입니다.

nat-source-port

NAT가 적용된 경우 변환된 NAT 소스 포트입니다. 그렇지 않으면 위와 같은 소스 포트입니다.

nat-destination-address

NAT가 적용된 경우 변환된 NAT 대상 주소입니다. 그렇지 않으면 위와 같은 대상 주소입니다.

nat-destination-port

NAT가 적용된 경우 변환된 NAT 대상 포트입니다. 그렇지 않으면 위와 같은 대상 포트입니다.

src-nat-rule-name

세션에 적용된 소스 NAT 규칙(있는 경우). 정적 NAT도 구성되어 세션에 적용되고 소스 주소 변환이 이루어지면 이 필드에는 정적 NAT 규칙 이름이 표시됩니다.*

dst-nat-rule-name

세션에 적용된 대상 NAT 규칙(있는 경우)입니다. 고정 NAT도 구성되어 세션에 적용되고 대상 주소 변환이 이루어지면 이 필드에는 정적 NAT 규칙 이름이 표시됩니다.*

protocol-id

세션을 만든 패킷의 프로토콜 ID입니다.

policy-name

세션 생성을 허용한 정책의 이름입니다.

session-id-32

32비트 세션 ID입니다.

* 일부 세션에는 대상 및 소스 NAT가 모두 적용되고 정보가 기록될 수 있습니다.

Junos OS 릴리스 12.1X47-D20 및 Junos OS 릴리스 17.3R1부터 시스템 로그에는 NAT 규칙 유형에 대한 정보가 포함됩니다. 두 개의 새로운 src-nat-rule-type 및 dst-nat-rule-type 필드가 NAT 규칙 세션에 도입되었습니다.

표 2: 세션 종료 로그 필드

Field

Description

reason

세션이 종료된 이유입니다.

source-address

세션을 생성한 패킷의 소스 IP 주소입니다.

source-port

세션을 만든 패킷의 원본 포트입니다.

destination-address

세션을 생성한 패킷의 대상 IP 주소입니다.

destination-port

세션을 만든 패킷의 대상 포트입니다.

service-name

패킷이 통과한 애플리케이션(예: 네이티브 텔넷을 허용하는 정책에 의해 허용되는 세션 중 텔넷 트래픽의 경우 "junos-telnet").

nat-source-address

NAT가 적용된 경우 변환된 NAT 소스 주소입니다. 그렇지 않으면 위와 같은 소스 주소입니다.

nat-source-port

NAT가 적용된 경우 변환된 NAT 소스 포트입니다. 그렇지 않으면 위와 같은 소스 포트입니다.

nat-destination-address

NAT가 적용된 경우 변환된 NAT 대상 주소입니다. 그렇지 않으면 위와 같은 대상 주소입니다.

nat-destination-port

NAT가 적용된 경우 변환된 NAT 대상 포트입니다. 그렇지 않으면 위와 같은 대상 포트입니다.

src-nat-rule-name

세션에 적용된 소스 NAT 규칙(있는 경우). 정적 NAT도 구성되어 세션에 적용되고 소스 주소 변환이 이루어지면 이 필드에는 정적 NAT 규칙 이름이 표시됩니다.*

dst-nat-rule-name

세션에 적용된 대상 NAT 규칙(있는 경우)입니다. 고정 NAT도 구성되어 세션에 적용되고 대상 주소 변환이 이루어지면 이 필드에는 정적 NAT 규칙 이름이 표시됩니다.*

protocol-id

세션을 만든 패킷의 프로토콜 ID입니다.

policy-name

세션 생성을 허용한 정책의 이름입니다.

session-id-32

32비트 세션 ID입니다.

packets-from-client

이 세션과 관련하여 클라이언트가 보낸 패킷 수입니다.

bytes-from-client

이 세션과 관련하여 클라이언트가 보낸 데이터 바이트 수입니다.

packets-from-server

이 세션과 관련하여 서버에서 보낸 패킷 수입니다.

bytes-from-server

이 세션과 관련하여 서버에서 보낸 데이터 바이트 수입니다.

elapsed-time

허용에서 종료까지 경과된 총 세션 경과 시간(초 단위)입니다.

unset

세션을 생성하는 동안 세션 종료 이유를 로 설정할 수 있습니다 unset.

제어 지점에서 세션 설치가 성공하지 못한 경우 세션 unset 이 이유와 함께 종료됩니다. 세션 설치 이유는 다양합니다(예: 비관리 세션 설치에 메모리를 사용할 수 없음).

TCP CLIENT RST

세션이 클라이언트에서 전송된 TCP 재설정 패킷에 의해 닫혔습니다.

TCP SERVER RST

서버에서 전송된 TCP 재설정 패킷에 의해 세션이 닫혔습니다.

TCP FIN

양쪽 끝에서 FIN을 받았습니다.

response received

패킷 요청에 대해 수신된 응답입니다(예: ICMP req-reply).

ICMP error

ICMP 오류가 수신되었습니다.

aged out

세션이 만료되었습니다.

ALG

ALG 오류로 인해 세션이 닫혔습니다(예: RAS(원격 액세스 서버) 최대 한도 도달).

HA

HA 메시지가 세션을 닫았습니다.

idle Timeout

구성된 에이징 아웃 시간에 도달하기 전에 세션에 대한 트래픽이 없었습니다.

auth

인증에 실패했습니다.

IDP

침입 탐지 및 방지(IDP)가 보안 모듈(SM) 내부 오류로 인해 세션을 종료했습니다.

synproxy failure

SYN 프록시 오류로 인해 세션이 닫혔습니다.

synproxy limit

부 세션 할당 실패 사유, 원래 세션을 해제해야 합니다.

parent closed

학부모 세션이 종료되었습니다.

CLI

CLI에 의해 세션이 지워졌습니다.

CP NACK

CP NACK 응답이 수신되었습니다.

CP delete

CP ACK 삭제로 세션이 종료되었습니다.

policy delete

삭제하도록 표시된 해당 정책입니다.

fwd session

전달 세션 삭제로 인해 세션이 닫혔습니다.

multicast route change

멀티캐스트 경로가 변경되어 세션이 닫혔습니다.

first path reroute, session recreated

첫 번째 경로가 다시 라우팅되고 세션이 다시 생성됩니다.

source NAT allocation failure

SPU가 중앙 지점에서 ACK 메시지를 수신했으나 DIP 리소스를 수신하지 못했습니다. 따라서 이 패킷이 삭제되고 세션이 닫힙니다.

other

다른 모든 이유로 인해 세션이 닫혔습니다(예: pim reg tun을 새로 고쳐야 함).

error create IKE pass-through template

IKE 통과 템플릿 만들기 오류.

IKE pass-through child session ageout

IKE 통과 템플릿 세션에 자식이 없으므로 세션이 삭제됩니다.

sess timeout on pending state

시간 초과 타이머가 보류 중 상태에 도달했기 때문에 보류 중인 세션이 닫혔습니다.

unknown

알 수 없는 이유로 세션이 종료되었습니다.

* 일부 세션에는 대상 및 소스 NAT가 모두 적용되고 정보가 기록될 수 있습니다.
표 3: 세션 거부 로그 필드

Field

Description

source-address

세션 생성을 시도한 패킷의 원본 IP 주소입니다.

source-port

세션 생성을 시도한 패킷의 원본 포트입니다.

destination-address

세션 생성을 시도한 패킷의 대상 IP 주소입니다.

destination-port

세션 생성을 시도한 패킷의 대상 포트입니다.

service-name

패킷이 통과하려고 시도한 애플리케이션입니다.

protocol-id

세션을 만들려고 시도한 패킷의 프로토콜 ID입니다.

icmp-type

거부된 패킷이 ICMP로 구성된 경우 ICMP 유형; 그렇지 않으면 이 필드는 0이 됩니다.

policy-name

세션 생성을 거부한 정책의 이름입니다.

오류 처리 확장

섀시 관리자 FPC 장애 감지 및 오류 처리 개선 사항 이해

SRX5400, SRX5600 및 SRX5800 디바이스의 Junos OS 라우팅 엔진 및 마이크로커널 오류 탐지 및 관리 기능을 통해 라우팅 엔진과 ukernel은 다양한 심각도 수준에 대해 보고된 모든 오류 활동 및 카운터의 기록을 축적하고 저장할 수 있습니다. 오류 처리 방법을 구성하고 심각도 수준과 오류가 감지되고 임계값에 도달할 때 수행할 작업을 지정할 수 있습니다. 저장된 정보를 기반으로 발생한 오류에 대한 보고서를 생성하고 표시할 수 있습니다.

Junos OS 릴리스 15.1X49-D30 및 Junos OS 릴리스 17.3R1부터는 IOC 및 SPC에서 추가 오류를 감지하고 향상된 오류 관리를 제공하는 오류 감지 기능이 향상되었습니다. 이 구현은 항목에서 show chassis fpc error 다루는 오류 감지 및 관리를 확장합니다.

메모:

이 기능은 라우팅 엔진 버전 1에서 지원되지 않습니다.

IOC 및 SPC의 오류 처리

Junos OS 릴리스 15.1-X49-D50 및 Junos OS 릴리스 17.3R1부터 IOC2 및 IOC3 I/O 카드(IOC)와 SPC2 SPC(Services Processing Card)에서 오류 관리 개선 사항이 지원됩니다. 일부 개선 기능은 IOC2 및 IOC3 또는 SPC2 FPC에만 해당되며, 이 주제에서는 차이점을 언급합니다.

오류 감지 및 관리

오류 관리에는 다음이 수반됩니다.

  • 오류 감지.

    Junos OS는 섀시 구성 요소 상태를 모니터링하여 일련의 오류 조건을 감지합니다. 감지된 오류는 미리 구성된 오류 심각도 수준 중 하나에 속할 수 있습니다.

    • 치명적인

    • 전공

    • 사소한

  • 수행할 작업 식별.

    오류가 발생하면 시스템은 오류의 심각도 수준과 설정 및 충족된 임계값에 따라 수행할 작업을 식별합니다.

    FPC는 각 오류 심각도 수준에 대한 오류 카운터 집합을 유지 관리합니다. 오류 카운터 집합은 모든 오류에 걸쳐 누적되는 카운터와 개별 오류 및 유형에 대한 카운터로 구성됩니다. 라우팅 엔진에 저장되는 것은 바로 이 정보입니다. 각 발생 카운터는 오류 발생 임계값과 연결됩니다. 두 가지 임계값 수준이 있는데, 하나는 유형을 기반으로 하고 다른 하나는 심각도를 기반으로 합니다.

  • 작업 실행.

    이러한 향상을 위해, 주어진 보안 수준에 대한 라우팅 엔진의 오류 발생 횟수가 구성된 임계값에 도달할 때 디바이스가 취하도록 지시할 수 있는 사전 구성된 작업은 다음과 같습니다.

    • 재설정

    • 오프 라인

    • 경보기

    • 상태 가져오기

    • 로그

주의:

디바이스의 SRX5000 라인에서 SPC2 카드에 대한 오류 처리 작업을 설정할 때 주의하십시오. SPC2 카드에 대한 오류 처리 작업을 오프라인 또는 재설정으로 설정한 경우, 카드가 오프라인으로 전환되거나 재부팅이 발생하면 섀시 데몬(섀시)이 모든 FPC 카드(SPC 및 IOC 모두)를 재부팅합니다. 즉, 전체 섀시가 재부팅됩니다.

오류 감지 프로세스

이러한 향상된 기능을 통해 다음과 같은 오류 감지 프로세스가 활성화되고 지원됩니다.

  • 라우팅 엔진 버전 2의 오류 관리.

  • SPC2 카드의 ukernel 모듈에 대한 오류 관리.

  • IOC2 및 IOC3 카드의 오류 관리.

  • 드라이버는 쐐기 상태의 데이터 경로 오류 감지를 확인합니다.

    메모:

    Trinity Offload Engine 드라이버에 대한 웨지 상태 감지는 SPC2 카드에서만 지원됩니다. 즉, IOC2 및 IOC3 카드에서는 지원되지 않습니다.

  • 호스트 루프백에 대한 웨지 감지.

    메모:

    호스트 루프백에 대한 웨지 상태 감지는 SPC2 카드에서만 지원됩니다. 즉, IOC2 및 IOC3 카드에서는 지원되지 않습니다.

  • 섀시 관리자 패브릭 오류 감지.

  • IOC2 및 IOC3 카드의 경로 오류 감지를 제어합니다.

섀시 클러스터와의 통합

섀시 클러스터 환경에서는 중대한 오류나 치명적인 오류로 인해 처음으로 알람이 발생하면 RG1(Redundancy Group 1) 전환이 트리거됩니다. 이는 SRX 시리즈 방화벽의 표준 동작이며 변경되지 않습니다. 그러나 이러한 개선 사항을 통해 치명적 오류에 대한 경보가 기본 오류 처리 작업 목록에 추가됩니다. 기본 오류 처리 목록에 알람을 추가하면 치명적인 오류가 감지되는 즉시 섀시 알람이 RG1 전환을 트리거할 수 있습니다.

웨지 탐지, 보고 및 관리

쐐기 상태는 네트워크 트래픽을 차단하는 오류로 인해 발생합니다.

이 기능은 여러 유형의 쐐기 조건을 감지합니다. 술래:

  • 쐐기가 일시적인지 또는 되돌릴 수 없는지를 결정합니다.

  • 통계 및 syslog에 쐐기 상태를 기록합니다.

  • 라우팅 엔진에서 섀시 알람을 발생시켜 네트워크 관리자에게 돌이킬 수 없는 쐐기를 경고합니다.

  • IOC2, IOC3 및 SPC2 카드에 대해 다음 데이터 경로 오류 감지가 활성화되어 있는지 확인합니다.

    • XM 드라이버용 웨지 감지

    • LU 드라이버에 대한 웨지 감지

    • XL 드라이버용 웨지 감지

    • TOE 드라이버용 웨지 감지(SPC2 전용)

    • 호스트 루프백을 위한 웨지 감지(SPC2 전용)

모든 데이터 경로 웨지 상태는 5초 이내에 감지되고 보고됩니다. 각 오류 감지 모듈은 식별 가능한 쐐기 상태의 상태와 이력을 기록하고 보고합니다.

관련 문서

변경 내역 테이블

기능 지원은 사용 중인 플랫폼 및 릴리스에 따라 결정됩니다. 기능 탐색기 를 사용하여 플랫폼에서 기능이 지원되는지 확인합니다.

석방
묘사
15.1X49-D50
Junos OS 릴리스 15.1-X49-D50 및 Junos OS 릴리스 17.3R1부터 IOC2 및 IOC3 I/O 카드(IOC)와 SPC2 SPC(Services Processing Card)에서 오류 관리 개선 사항이 지원됩니다.
15.1X49-D30
Junos OS 릴리스 15.1X49-D30 및 Junos OS 릴리스 17.3R1부터는 IOC 및 SPC에서 추가 오류를 감지하고 향상된 오류 관리를 제공하는 오류 감지 기능이 향상되었습니다.
12.1X47-D20
Junos OS 릴리스 12.1X47-D20 및 Junos OS 릴리스 17.3R1부터 시스템 로그에는 NAT 규칙 유형에 대한 정보가 포함됩니다.