问题描述

【产品型号】

H3Cloud OS

H3C VCFC

【涉及版本】

H3Cloud OS E1138H02之前版本

H3C VCFC主线E2187及之前版本

H3C VCFC分支E2180P12及之前版本

【问题描述】

当在H3Cloud OSVCFC上直接添加或删除防火墙规则时,业务可能出现秒级中断(防火墙规则越多,中断时间越长),随后自动恢复。

【原因分析】

防火墙早期版本不支持Netconf MOVE规则操作,当添加或删除的规则不是在规则集的末位操作时,将导致防火墙规则重新排序。此时控制器会删除现有规则再重新下发,造成经过防火墙的业务短时中断。

原因分析

防火墙早期版本不支持Netconf MOVE规则操作,当添加或删除的规则不是在规则集的末位操作时,将导致防火墙规则重新排序。此时控制器会删除现有规则再重新下发,造成经过防火墙的业务短时中断。

规避措施/解决方案

规避措施:

操作方式

VCFC上操作对业务的影响

CloudOS上操作对业务影响

规避措施

直接添加

VCFC默认将规则添加在末尾,对业务无影响

CloudOS默认将规则添加首位,会造成业务短时中断

CloudOS上添加防火墙规则时,通过特定操作指定将规则添加至末尾,CloudOSE1131版本开始支持,详见表格下方的配置举例

将规则指定添加在非末尾的位置

短时中断,防火墙规则配置越多,中断时间越长

短时中断,防火墙规则配置越多,中断时间越长

申请变更窗口

删除非末位位置的规则

短时中断,防火墙规则配置越多,中断时间越长

短时中断,防火墙规则配置越多,中断时间越长

申请变更窗口

添加规则举例:

1、由于CloudOS上看到的最后一条防火墙规则并不是防火墙上实际排在末尾的规则。首先需在VCFC上防火墙对应策略查看最后一条防火墙规则名称,如下图所示的test_3 。

2、在CloudOS上的选择框中选中实际排列在末尾的规则test_3,指定将新规则添加再其之后。

解决方案:

VCFC后续版本支持插入或删除规则时不删除已有规则,具体版本需咨询新网络二线。

H3Cloud OS 后续发布的版本E1138H02将支持在新增防火墙规则时默认添加在规则末尾。

 

案例信息

案例类型:技术公告
案例号:201711290011
创建时间:2017年11月29日
更新时间:2017年12月5日
发布时间:2017/12/5 14:40:23
文章密级:游客可见
有效期:长期有效
发布者:陈楷铎 [c12967]
点击次数:1245
评论平均得分:0
关键词:H3Cloud OS VCFC 添加 删除 防火墙规则
产品线:SDN控制器产品
产品系列:SDN控制器
产品版本:
技术分类: 技术分类

常用操作
收藏