华为防火墙异常，求解！！

68781476

最近公司的华为防火墙出现30多万条session ，到底是为什么??正常吗???
[E1000]dis firewall session table
15:05:18  2013/07/08
Current total sessions : 349082
  tcp  VPN: public -> public 61.147.112.110:5191-->121.12.116.67:7000
  tcp  VPN: public -> public 61.147.112.83:3349-->121.12.116.67:7000
  tcp  VPN: public -> public 61.147.112.60:5386-->121.12.116.67:7000
  tcp  VPN: public -> public 61.147.112.60:5386-->121.12.116.67:7000
  tcp  VPN: public -> public 61.147.112.149:3410-->121.12.116.67:7000
  tcp  VPN: public -> public 61.147.112.118:5519-->121.12.116.67:7000
  tcp  VPN: public -> public 61.147.112.39:1905-->121.12.116.67:7000
  tcp  VPN: public -> public 61.147.112.162:2458-->121.12.116.67:7000
  tcp  VPN: public -> public 61.147.112.249:1790-->121.12.116.67:7000
  tcp  VPN: public -> public 61.147.112.225:1846-->121.12.116.67:7000
  tcp  VPN: public -> public 61.147.112.46:2392-->121.12.116.67:7000
  tcp  VPN: public -> public 61.147.112.18:389-->121.12.116.67:7000
  tcp  VPN: public -> public
  120.197.4.13:9900[192.168.50.10:9900]<--211.136.218.72:7524
  tcp  VPN: public -> public 61.147.112.3:3684-->121.12.116.67:7000
  tcp  VPN: public -> public 61.147.112.3:3684-->121.12.116.67:7000
  tcp  VPN: public -> public 61.147.112.73:3809-->121.12.116.67:7000
  tcp  VPN: public -> public 61.147.112.204:10-->121.12.116.67:7000
  tcp  VPN: public -> public 61.147.112.64:200-->121.12.116.67:7000
  tcp  VPN: public -> public 61.147.112.184:2670-->121.12.116.67:7000
  tcp  VPN: public -> public 61.147.112.61:1157-->121.12.116.67:7000
  tcp  VPN: public -> public 61.147.112.91:4787-->121.12.116.67:7000
  tcp  VPN: public -> public 61.147.112.133:4924-->121.12.116.67:7000
  tcp  VPN: public -> public 61.147.112.215:4721-->121.12.116.67:7000
  tcp  VPN: public -> public 61.147.112.8:4834-->121.12.116.67:7000
  tcp  VPN: public -> public 61.147.112.110:1236-->121.12.116.67:7000
  tcp  VPN: public -> public
  120.197.4.47:6005[192.168.50.23:6005]<--218.204.254.169:14948
  tcp  VPN: public -> public 61.147.112.11:337-->121.12.116.67:7000
  tcp  VPN: public -> public
  120.197.4.47:6005[192.168.50.23:6005]<--117.136.31.32:47855
  tcp  VPN: public -> public 61.147.112.220:3831-->121.12.116.67:7000
  tcp  VPN: public -> public 61.147.112.63:5674-->121.12.116.67:7000
  tcp  VPN: public -> public 61.147.112.72:4093-->121.12.116.67:7000
  tcp  VPN: public -> public
  120.197.4.17:8080[192.168.50.14:8080]<--117.136.31.20:40379
  tcp  VPN: public -> public 61.147.112.170:1711-->121.12.116.67:7000
  tcp  VPN: public -> public 61.147.112.241:2507-->121.12.116.67:7000
  tcp  VPN: public -> public 61.147.112.18:4374-->121.12.116.67:7000
  tcp  VPN: public -> public 61.147.112.88:4499-->121.12.116.67:7000
  tcp  VPN: public -> public 61.147.112.212:4433-->121.12.116.67:7000
  tcp  VPN: public -> public 61.147.112.158:4564-->121.12.116.67:7000
  tcp  VPN: public -> public 61.147.112.0:3396-->121.12.116.67:7000
  tcp  VPN: public -> public 61.147.112.61:5142-->121.12.116.67:7000
  tcp  VPN: public -> public 61.147.112.111:5467-->121.12.116.67:7000
  ---- More ----

aran514

7000端口应该是盛大传奇使用的端口。楼主是做什么的？
这个看表面现象应该是客户访问盛大的流量。

68781476

aran514 发表于 2013-7-8 15:51

                               
登录/注册后可看大图

7000端口应该是盛大传奇使用的端口。楼主是做什么的？
这个看表面现象应该是客户访问盛大的流量。

管理防火墙，公司的高手走了，我是新招过来的菜鸟，哎！！
那他是怎么穿透我的防火墙的，是墙没有做策略吗？？

麦克斯

aran514 发表于 2013-7-8 15:51

                               
登录/注册后可看大图

7000端口应该是盛大传奇使用的端口。楼主是做什么的？
这个看表面现象应该是客户访问盛大的流量。

68781476

30多万条，天哪！！！

aran514

1、防火墙的策略的话你要自己来查了，建议根据目的地址（或地址段）搜索策略。
   看是否允许了这类访问；
2、不知道你那里是不是盛大的，如果不是，这个流量可能是攻击。
3、不排除你那里用7000端口做了其他应用，这个具体要看你的业务了，只有这个截图也不好分析。

68781476

aran514 发表于 2013-7-8 16:03

                               
登录/注册后可看大图

1、防火墙的策略的话你要自己来查了，建议根据目的地址（或地址段）搜索策略。
   看是否允许了这类访问； ...

具体要如何分析，可以教个大概，或者推荐有什么资料看看！！

68781476

68781476 发表于 2013-7-8 16:07

                               
登录/注册后可看大图

具体要如何分析，可以教个大概，或者推荐有什么资料看看！！

搜了配置，但是根据源和目的ip都没有这条策略！！！

aran514

1、首先看这个是不是你的正常业务，如果不是就想办法deny掉；
2、没有看到你的具体的策略，建议检查是否有包含这些网段的策略，或者有没有包含any的策略，允许了这个目的地址的访问；
3、另外有一个问题请教，30多万条是多长时间内出现的，如果是有真没大的并发，一道门1000撑得住么？
    很久没看设备了。

68781476

aran514 发表于 2013-7-8 17:12

                               
登录/注册后可看大图

1、首先看这个是不是你的正常业务，如果不是就想办法deny掉；
2、没有看到你的具体的策略，建议检查是否有 ...

这就是奇怪的地方，30多万条是间歇性的，有时会正常个几分钟后又来了，
这么多并发但是cup 和内存负载也是正常的
非常郁闷！

aran514

是不是正常的业务要跟你们的应用部门去确认。如果是正常的业务就可以不理它。
如果不是正常的业务，就用策略把这些流量干掉。
你分析这些流量的时候首先要从是否正常业务的角度去看，然后再看技术方面的问题。

68781476

aran514 发表于 2013-7-9 11:05

                               
登录/注册后可看大图

是不是正常的业务要跟你们的应用部门去确认。如果是正常的业务就可以不理它。
如果不是正常的业务，就用策 ...

不是正常的业务，那些地址我都是没有见过的
业么有做相应的vpn
vpn语句只有一条：ip vpn-instance a vpn-id 23
name”a“，和id”23“
业没有找到相应的关联，不是很懂呀?? tcp  VPN: public -> public 61.147.112.143:3554-->113.107.190.159:7010
连接是什么应用，或是什么意思吗？？

快乐每一天

把7000的端口关了！

白色的低调

幸福的海