fortigate02-防火墻策略(編輯修改稿)
2025-06-19 08:04 本頁面
【文章內容簡介】 debug enable DUT_Beta4_0 diagnose debug flow show console enable DUT_Beta4_0 diagnose debug flow filter addr DUT_Beta4_0 diagnose debug flow trace start 1000 DUT_Beta4_0 id=20215 trace_id=11 msg=vdroot received a packet(proto=17, :3735:5001) from port5. id=20215 trace_id=11 msg=Find an existing session, id0000eabc, original direction id=20215 trace_id=11 msg=exceeded shaper limit, drop 反向流量使用 單 獨的 shaper DUT_Beta4_0 show firewall policy 4 config firewall policy edit 4 set srcintf port2 set dstintf port6 set srcaddr VM3 set dstaddr VM6 set action accept set schedule always set service ANY set trafficshaper limit_GB_25_MB_50_LQ set trafficshaperreverse limit_GB_12_MB_25_LQ next end 與發(fā)起方向相反 流量控制的方向 ? 如果只設置流量控制，而沒有設置 Reverse Direction Traffic Shapping，則該流量控制是針對上下行同時起作用的 ? 如果設置了 Reverse Direction Traffic Shapping，則上行的速度有流量控制來起作用，而 Reverse Direction Traffic Shapping則控制下行速度 P2P流量控制的修改 ，已被移除 P2P shaper ? P2P控制已 經(jīng) 被移至 應 用控制下 ? 第 1步： 創(chuàng) 建一個 應 用列表 config application list edit kazaa_and_BT config entries edit 9 (kazaa) set action pass set shaper p2pkazaa next edit 6 (BitTorrent) set action pass set shaper limit_BitTorrent next end next end ? 第 2步：在保 護 內容表中 調 用 注意事 項 ? 1. 想要 獲 得精確的 測試 效果，待 測 流量 應該 是不能自我 糾 正的。例如 UDP的效果 較 好， TCP效果 較 差 ? 2. 只有不使用保 護 內容表的防火 墻 策略才能 獲 得精確的流量控制效果（ Proxy可能 導 致 難 以 預測 的延 遲 ） ? 3. 各 shaper設 置之和不要超 過總帶寬 限制 ( 例如： GB之和 應該 小于 outbandwith ) … 見測試 14… ? 4. FortiGate并不按照 DSCP值進 行 優(yōu) 先 級 排列 VIP負載均衡增強 服務器負載均衡 ——新建虛擬服務器 虛擬服務器支持的 多種分配方式 ? First Alive 根據(jù)健康檢查狀況，永遠把流量轉向第一個保持存活的服務器 ? Last RTT 根據(jù)健康檢查的 ping獲得的 RTT來判斷將流量傳到哪臺服務器 ? Last Session 按照權重來分配會話，比如分別設置兩個服務器的權重為 2和 10，則會話按照 2： 10的方式來分配 健康檢查 TCP ? 通過不傳數(shù)據(jù)的空連接來檢測 Ping ? Ping包 HTTP ? Get一個內容然后進行匹配 不同的保持方式（ Persistence ） ——Cookie ? None ? HTTP Cookie ? SSL 不同的保持方式（ Persistence ） ——SSL 根據(jù) SSL ID來分配流量 只能在支持 SSL offload功能中使用 Diagnose debug application vs 7 SSL Offload ? 僅 FG110C FG310B FG620B FG3016B FG3600A FG 3810A FG 5002A 支持 ? 兩種模式 客戶端到 FG加密， FG到 Server不加密 客戶端到 FG加密， FG到 Server加密 ? 客戶端到 FG加密采用的是 FG頒發(fā)的證書，而非服務器頒發(fā) ? 目前 build141可以正常工作，MR1不可以，可以支持Firefox, IE 。 HTTP multiplex(多路復用 )一 HTTP multiplex(多路復用 )二 如果選中 沒有選中 Troubleshooting FG3600A3 diag firewall vip realserver ldb real servers virtualserver virtualserver diagnostics FG3600A3 diag firewall vip virtualserver filt
環(huán)評公示相關推薦
鄂ICP備17016276號-1