Problemen met de firewall oplossen

Elk onderdeel noemt een symptoom, de oorzaak en wat u moet doen, met de console eerst. Bericht-id's verwijzen naar het onderdeel in de foutcodes.

Poort gesloten na de modus enforce

Oorzaak. De netwerkadapter dwingt nu zijn regels af en geen enkele regel staat de poort toe. Een publieke adapter houdt alleen wat zijn profiel en zijn eigen regels toestaan, en dat is voor het profiel public-default SSH en ping. Een service die werkte in de modus Uit of Monitor, wordt geblokkeerd als hij niet in het voorstel van het monitorrapport stond, of als de monitorperiode zijn verkeer niet omvatte. Antwoorden op verbindingen die de virtuele machine opende vóór een overgang rechtstreeks vanuit Uit, worden ook geweigerd tot hij weer verstuurt.

Oplossing.

1. Open de virtuele machine, selecteer het tabblad Firewall en lees de tabel Effectieve regels. Selecteer Simuleren, beschrijf een pakket naar de poort en selecteer Simuleren; het resultaat noemt de regel of de standaardactie die het pakket weigert. Zie Effectieve regels.
2. Selecteer Poort openen voor de poort, of Sjabloon toepassen voor een soort server. Zie Een poort openen.
3. Als u de virtuele machine niet meer kunt bereiken en een bevestigingstimer loopt, wacht dan: de vorige modus komt terug aan het einde van de tijd. Anders selecteert een providerbeheerder Modus wijzigen en stelt de modus Monitor in.
4. Als laatste redmiddel opent een providerbeheerder met de omzeilingsbevoegdheid de host voor korte tijd; zie Noodomzeiling.

Adapter die als onbeschermd wordt getoond

Oorzaak. De netwerkadapter kan niet door de firewall beschermd worden, dus zijn modus blijft Uit en de knop Modus wijzigen is er niet voor beschikbaar. De adapter zit op een Linux-bridge of een quarantainebridge, of portbeveiliging staat uit op zijn netwerk (error.firewall.unprotected). Als de adapter een publiek adres heeft, waarschuwt het tabblad Firewall dat elke poort bereikbaar is.

Oplossing.

1. Lees de reden tussen haakjes naast Bescherming op de kaart van de adapter.
2. Verbind de adapter met een hostbridge-netwerk dat een Open vSwitch-bridge is, zoals beschreven in Hostbridge-netwerken, of vraag een beheerder om portbeveiliging in te schakelen voor zijn netwerk.
3. Selecteer Modus wijzigen en stel de modus opnieuw in.

Virtuele machine zonder firewall

Oorzaak. Het tabblad Firewall toont Geen firewall op deze VM, en een verzoek om een sjabloon of een modus mislukt met error.firewall.no_vnic. De virtuele machine heeft geen netwerkadapter op een hostbridge-netwerk.

Oplossing. Verbind een adapter van de virtuele machine met een hostbridge-netwerk in haar hardware-instellingen en herhaal de actie.

Modusovergang die vanzelf is teruggedraaid

Oorzaak. Een overgang met een bevestigingstimer is niet op tijd bevestigd, dus de adapter is teruggekeerd naar zijn vorige modus. De gebeurtenissenlijst (Gebeurtenissen) bevat een gebeurtenis met de ernst waarschuwing. Een bevestiging na dat moment mislukt met error.firewall.not_pending.

Oplossing.

1. Controleer op het tabblad Firewall de Modus van elke adapter.
2. Selecteer Modus wijzigen, schakel opnieuw over en kies onder Bevestigen binnen een langere tijd als de controle dat vraagt.
3. Bevestig met De nieuwe modus bevestigen voordat de aftelling afloopt. Bevestigen vereist de providerbevoegdheid om de firewall te beheren.

Realisatie die blijft wachten

Oorzaak. Een host draait een oudere versie van zijn firewallplan dan het control plane wil. De host kan bezig zijn, losgekoppeld zijn of een oude hostagent draaien. Na een publicatie toont de console de hosts die de wijziging niet op tijd hebben toegepast.

Oplossing.

1. Open de startpagina, selecteer Firewall en het tabblad Realisatie. Selecteer Herladen en vergelijk de Gewenste versie en Toegepaste versie versie van de host.
2. Als het verschil blijft, controleert u in de inventaris van de host of de host verbonden is en of zijn hostagent een actuele versie draait.
3. Wacht tot het tijdstip bij Laatste melding opschuift: de host meldt regelmatig.

Zie Realisatie op hosts.

Realisatie met een fout of een voorwaarde

Oorzaak. De status is Fout of Voorwaarde niet vervuld. Een plan kan resulteren in meer firewallflows dan een bridge kan bevatten; de host houdt dan de vorige versie van kracht. De voorwaarde ct-zone-range is op een host niet vervuld: het zonebereik voor connection tracking van Open vSwitch eindigt niet onder de firewallzones, dus de host beschermt geen enkele adapter.

Oplossing.

1. Lees de tekst in de kolommen Fout en Niet vervulde voorwaarden.
2. Verklein voor de flowlimiet de groepen en regels die zijn gegroeid, of verhoog Flowlimiet per bridge op het tabblad Instellingen.
3. Voor ct-zone-range stelt de eigenaar van de host het zonebereik in en herstart de hostagent. De console wijzigt het niet.

Beleid dat bij publicatie wordt geweigerd

Oorzaak. De wijziging zou de firewall met een of meer validatiefouten achterlaten, dus er wordt niets opgeslagen (error.firewall.validation). Vaak voorkomende redenen:

• De actie Doorgeven in een beleid van de categorie Applicatie, of een tenantbeleid in Nood of Infrastructuur (error.firewall.category_scope).
• Een poort of bereik buiten 1 tot 65535, of een ICMP-code zonder type.
• Een groep of service die niet bestaat, of groepen die elkaar bevatten of meer dan 5 niveaus diep genest zijn.
• Een beleid met meer dan 1.000 regels.

Oplossing.

1. Lees in de controle van de wachtende wijzigingen de lijst Validatieproblemen. Een fout blokkeert het publiceren; een opmerking niet. Selecteer Terug naar bewerken en herstel wat de lijst noemt.
2. Als de console zegt dat iemand anders het object heeft gewijzigd, selecteert u Herladen en mijn wijzigingen behouden en voert u uw wijziging opnieuw door.
3. Controleer wat een regel treft met het voorbeeld Waarmee komt dit overeen in de regeleditor, en test de gepubliceerde regels met Simuleren.

Quotum bereikt

Oorzaak. De wijziging zou de tenant boven een firewallquotum brengen: groepen, beleidsregels, regels of groepsleden (error.firewall.quota).

Oplossing. Verwijder groepen, beleidsregels, regels of leden die niemand gebruikt, of vraag een providerbeheerder het quotum te verhogen. De quota en hun standaardwaarden staan in de firewallreferentie.

Ingebouwd object of gereserveerde naam

Oorzaak. Een naam die begint met sys: is gereserveerd (error.firewall.reserved_name), en ingebouwde groepen, services, beleidsregels en profielen kunnen niet worden gewijzigd of verwijderd (error.firewall.builtin).

Oplossing. Kies een andere naam. Maak voor ander gedrag een eigen object en gebruik dat naast het ingebouwde object; een ingebouwd profiel vervangt u op het tabblad Instellingen en komt terug met Herstellen.

Profiel dat niet gekozen of verwijderd kan worden

Oorzaak. Een tenant koos een profiel dat de provider niet als selecteerbaar heeft gemarkeerd (error.firewall.profile_not_selectable), of een profiel dat netwerkadapters nog gebruiken wordt verwijderd (error.firewall.in_use).

Oplossing. Open de poorten die u nodig hebt met Poort openen in plaats van het profiel te wijzigen. Een providerbeheerder kan Tenants mogen het kiezen voor het profiel inschakelen op het tabblad Instellingen. Geef om een profiel te verwijderen eerst elke adapter die het gebruikt een ander profiel, op het tabblad Firewall van zijn virtuele machine: kies het profiel onder de adapter en selecteer Profiel instellen.

Geen logrecords of tellers op nul

Oorzaak. Het tabblad Logboek wordt niet getoond zonder de bevoegdheid om logs te lezen. Een regel schrijft alleen records als Treffers loggen aan staat, en de logsnelheid van de host beperkt hoeveel. Records ouder dan 30 dagen zijn verdwenen. Een teller blijft op nul als geen pakket de regel bereikte, als de adapter in de modus Uit staat, of als de regel alleen geldt voor poorten van overlaysegmenten (Niet geteld).

Oplossing.

1. Zet Treffers loggen aan voor de regel en publiceer, zoals in Statistieken en logs.
2. Controleer de Modus van de adapter en de filters Host en Regelnummer van de lijst.
3. Vraag een beheerder om de bevoegdheid om logs te lezen als het tabblad ontbreekt.

Geen toegang tot de firewall

Oorzaak. De pagina toont Geen toegang tot de firewall: de rol van het account heeft op die plek geen firewallbevoegdheid. Tabbladen verschijnen naargelang de bevoegdheden: zonder de providerbevoegdheid zijn er geen tabbladen Uitrol en Instellingen, en zonder de omzeilingsbevoegdheid geen tabblad Omzeiling.

Oplossing. Vraag een beheerder om een rol met de bevoegdheden die u nodig hebt. Zie Firewallreferentie.

Uitgaande mail nog steeds geblokkeerd

Oorzaak. Uitgaande TCP-poort 25 heeft een eigen schakelaar en een providerregel die geen enkele tenantregel kan overschrijven. Het sjabloon mail-server opent alleen inkomende mailpoorten.

Oplossing. Volg Uitgaande mail.

Zie ook

• Firewallconcepten
• Effectieve regels
• Realisatie op hosts
• Netwerkproblemen oplossen