Dépannage du pare-feu

Chaque entrée indique un symptôme, sa cause et ce qu'il faut faire, avec la console en premier. Les identifiants de message renvoient à l'entrée des codes d'erreur.

Port fermé après le mode enforce

Cause. La carte réseau applique désormais ses règles, et aucune règle n'autorise le port. Une carte publique ne garde que ce que son profil et ses propres règles autorisent, soit SSH et ping pour le profil public-default. Un service qui fonctionnait en mode Désactivé ou Surveillance est bloqué quand il ne figurait pas dans la proposition du rapport de surveillance, ou quand la période de surveillance n'incluait pas son trafic. Les réponses aux connexions que la machine virtuelle a ouvertes avant un passage direct depuis Désactivé sont aussi abandonnées jusqu'à ce qu'elle émette de nouveau.

Solution.

1. Ouvrez la machine virtuelle, sélectionnez l'onglet Pare-feu et lisez le tableau Règles effectives. Sélectionnez Simuler, décrivez un paquet vers le port et sélectionnez Simuler ; le résultat nomme la règle ou l'action par défaut qui l'abandonne. Voir Règles effectives.
2. Sélectionnez Ouvrir un port pour le port, ou Appliquer un modèle pour un type de serveur. Voir Ouvrir un port.
3. Quand vous ne joignez plus la machine virtuelle et qu'un délai de confirmation court, attendez : le mode précédent revient à la fin du délai. Sinon, un administrateur du fournisseur sélectionne Changer de mode et règle le mode Surveillance.
4. En dernier recours, un administrateur du fournisseur qui détient le privilège de contournement ouvre l'hôte pour une courte durée ; voir Contournement d'urgence.

Carte affichée comme non protégée

Cause. La carte réseau ne peut pas être protégée par le pare-feu, son mode reste donc Désactivé et le bouton Changer de mode n'est pas disponible pour elle. La carte est sur un pont Linux ou un pont de quarantaine, ou la sécurité de port est désactivée sur son réseau (error.firewall.unprotected). Quand la carte a une adresse publique, l'onglet Pare-feu avertit que tous les ports sont joignables.

Solution.

1. Lisez la raison entre parenthèses à côté de Protection dans l'encadré de la carte.
2. Connectez la carte à un réseau sur pont d'hôte qui est un pont Open vSwitch, comme décrit dans Réseaux sur pont d'hôte, ou demandez à un administrateur d'activer la sécurité de port sur son réseau.
3. Sélectionnez Changer de mode et réglez de nouveau le mode.

Machine virtuelle sans pare-feu

Cause. L'onglet Pare-feu affiche Aucun pare-feu sur cette VM, et une demande de modèle ou de mode échoue avec error.firewall.no_vnic. La machine virtuelle n'a aucune carte réseau sur un réseau sur pont d'hôte.

Solution. Connectez une carte de la machine virtuelle à un réseau sur pont d'hôte dans ses paramètres matériels, puis recommencez l'action.

Changement de mode annulé de lui-même

Cause. Un changement avec un délai de confirmation n'a pas été confirmé à temps, la carte est donc revenue à son mode précédent. La liste des événements (Événements) contient un événement de gravité avertissement. Une confirmation après ce moment échoue avec error.firewall.not_pending.

Solution.

1. Sur l'onglet Pare-feu, vérifiez le Mode de chaque carte.
2. Sélectionnez Changer de mode, changez de nouveau et choisissez une durée plus longue sous Confirmer dans un délai de si la vérification l'exige.
3. Confirmez avec Confirmer le nouveau mode avant la fin du compte à rebours. La confirmation exige le privilège fournisseur de gérer le pare-feu.

Application qui reste en attente

Cause. Un hôte exécute une version plus ancienne de son plan de pare-feu que celle que veut le plan de contrôle. L'hôte peut être occupé, déconnecté ou exécuter un ancien agent d'hôte. Après une publication, la console liste les hôtes qui n'ont pas appliqué la modification à temps.

Solution.

1. Ouvrez la page d'accueil, sélectionnez Pare-feu puis l'onglet Application sur les hôtes. Sélectionnez Recharger et comparez la version Version demandée et la version Version appliquée de l'hôte.
2. Si l'écart persiste, vérifiez dans l'inventaire de l'hôte que celui-ci est connecté et que son agent d'hôte exécute une version actuelle.
3. Attendez que l'heure de Dernier rapport avance : l'hôte rapporte régulièrement.

Voir Application sur les hôtes.

Application avec une erreur ou un prérequis

Cause. L'état est Erreur ou Prérequis non remplis. Un plan peut se compiler en plus de flux de pare-feu qu'un pont n'en peut contenir ; l'hôte garde alors la version précédente en vigueur. Le prérequis ct-zone-range n'est pas rempli sur un hôte : la plage de zones de suivi de connexion d'Open vSwitch ne se termine pas sous les zones du pare-feu, l'hôte ne protège donc aucune carte.

Solution.

1. Lisez le texte dans les colonnes Erreur et Prérequis non remplis.
2. Pour la limite de flux, réduisez les groupes et les règles qui ont grossi, ou augmentez Limite de flux par pont sur l'onglet Paramètres.
3. Pour ct-zone-range, le propriétaire de l'hôte règle la plage de zones et redémarre l'agent d'hôte. La console ne la modifie pas.

Stratégie refusée à la publication

Cause. La modification laisserait le pare-feu avec une ou plusieurs erreurs de validation, rien n'est donc enregistré (error.firewall.validation). Raisons fréquentes :

• L'action Transmettre dans une stratégie de la catégorie Application, ou une stratégie de locataire dans Urgence ou Infrastructure (error.firewall.category_scope).
• Un port ou une plage hors de 1 à 65535, ou un code ICMP sans type.
• Un groupe ou un service qui n'existe pas, ou des groupes qui se contiennent mutuellement ou sont imbriqués sur plus de 5 niveaux.
• Une stratégie de plus de 1 000 règles.

Solution.

1. Dans la revue des modifications en attente, lisez la liste Problèmes de validation. Une erreur bloque la publication ; une remarque ne la bloque pas. Sélectionnez Retour à l’édition et corrigez ce qu'elle nomme.
2. Quand la console indique que quelqu'un d'autre a modifié l'objet, sélectionnez Recharger et conserver mes modifications et appliquez de nouveau votre modification.
3. Vérifiez ce qu'une règle reconnaît avec l'aperçu Quelle correspondance de l'éditeur de règle, et testez les règles publiées avec Simuler.

Quota atteint

Cause. La modification ferait dépasser au locataire un quota du pare-feu : groupes, stratégies, règles ou membres de groupes (error.firewall.quota).

Solution. Supprimez les groupes, stratégies, règles ou membres que personne n'utilise, ou demandez à un administrateur du fournisseur de relever le quota. Les quotas et leurs valeurs par défaut figurent dans la référence du pare-feu.

Objet intégré ou nom réservé

Cause. Un nom qui commence par sys: est réservé (error.firewall.reserved_name), et les groupes, services, stratégies et profils intégrés ne peuvent être ni modifiés ni supprimés (error.firewall.builtin).

Solution. Choisissez un autre nom. Pour obtenir un autre comportement, créez un objet à vous et utilisez-le à côté de l'objet intégré ; un profil intégré se remplace depuis l'onglet Paramètres et revient avec Restaurer.

Profil impossible à choisir ou à supprimer

Cause. Un locataire a choisi un profil que le fournisseur n'a pas marqué comme sélectionnable (error.firewall.profile_not_selectable), ou l'on supprime un profil que des cartes réseau utilisent encore (error.firewall.in_use).

Solution. Ouvrez les ports dont vous avez besoin avec Ouvrir un port au lieu de changer le profil. Un administrateur du fournisseur peut activer Les locataires peuvent le choisir pour le profil sur l'onglet Paramètres. Pour supprimer un profil, donnez d'abord un autre profil à chaque carte qui l'utilise, sur l'onglet Pare-feu de sa machine virtuelle : choisissez le profil sous la carte réseau et sélectionnez Définir le profil.

Aucun enregistrement ou compteurs à zéro

Cause. L'onglet Journaux n'est pas affiché sans le privilège de lire les journaux. Une règle n'écrit des enregistrements que si Journaliser les correspondances est activé, et le débit de journalisation de l'hôte limite leur nombre. Les enregistrements de plus de 30 jours ont disparu. Un compteur reste à zéro quand aucun paquet n'a atteint la règle, quand la carte est en mode Désactivé, ou quand la règle ne s'applique qu'aux ports de segments de recouvrement (Non comptée).

Solution.

1. Activez Journaliser les correspondances pour la règle et publiez, comme dans Statistiques et journaux.
2. Vérifiez le Mode de la carte et les filtres Hôte et Numéro de règle de la liste.
3. Demandez à un administrateur le privilège de lire les journaux quand l'onglet manque.

Aucun accès au pare-feu

Cause. La page affiche Aucun accès au pare-feu : le rôle du compte n'a aucun privilège de pare-feu à cet endroit. Les onglets apparaissent selon les privilèges : sans le privilège fournisseur, il n'y a ni onglet Déploiement ni onglet Paramètres, et sans le privilège de contournement il n'y a pas d'onglet Contournement.

Solution. Demandez à un administrateur un rôle avec les privilèges dont vous avez besoin. Voir Référence du pare-feu.

Courrier sortant toujours bloqué

Cause. Le port TCP 25 sortant a son propre commutateur et une règle du fournisseur qu'aucune règle de locataire ne peut contourner. Le modèle mail-server n'ouvre que les ports de messagerie entrants.

Solution. Suivez Courrier sortant.

Voir aussi

• Concepts du pare-feu
• Règles effectives
• Application sur les hôtes
• Dépannage du réseau