Блокировка трафика при ошибках самотестирования и проверки целостности

Эта функция предназначена для блокирования транзитного трафика (трафика между сетевыми интерфейсами на устройстве CPE) в случае, если не пройдены проверки самотестирования и целостности критически важных системных файлов и скриптов на устройстве CPE. Она дополняет функции самотестирования межсетевого экрана и проверки целостности и настраивается совместно с ними. Включение блокировки транзитного трафика доступно в проверках CPE по расписанию. Вы можете включить блокировку в шаблоне CPE или на устройстве CPE. При включении блокировки в шаблоне CPE транзитный трафик будет блокироваться при ошибках самотестирования и проверки целостности на всех устройствах CPE, которые используют этот шаблон.

Чтобы включить блокировку транзитного трафика при ошибках самотестирования и проверки целостности:

1. Перейдите к включению блокировки транзитного трафика одним из следующих способов:
   • Если вы хотите включить блокировку транзитного трафика в шаблоне CPE, в меню перейдите в раздел SD-WAN → Шаблоны CPE, нажмите на шаблон CPE, выберите в боковом меню радел SD-WAN и откройте вкладку Проверки CPE.
   • Если вы хотите включить блокировку транзитного трафика на устройстве CPE, в меню перейдите в раздел SD-WAN → CPE, нажмите на устройство CPE, выберите в боковом меню радел SD-WAN, откройте вкладку Проверки CPE и включите переключатель Переопределить.
2. Убедитесь, что включены проверка целостности и самотестирование межсетевого экрана и установлен нужный временной интервал между проверками.

   Для включения функции блокировки транзитного трафика необходимо включить обе проверки.

3. Включите блокировку трафика с помощью переключателя Блокировать передачу трафика при неудачных проверках.

   Если вы включили блокировку в шаблоне CPE, будет показано предупреждение:

   Если любая из проверок завершится неудачей, прохождение транзитного трафика будет заблокировано на всех устройствах CPE, использующих этот шаблон. Вы уверены, что хотите продолжить

   Подтвердите включение блокировки, нажав Да, продолжить.

4. Сохраните изменения шаблона CPE или устройства CPE.

Функция блокировки транзитного трафика будет включена. Если какая-либо из проверок завершится неудачей, устройство CPE заблокирует прохождение транзитного трафика, и на оркестраторе для этого устройства CPE будет выведено соответствующее всплывающее окно с предупреждением. При этом связь между CPE и оркестратором не нарушается, что позволяет управлять устройством и изменять его параметры.

Чтобы разблокировать прохождение транзитного трафика:

1. Определите точную причину блокировки, выполнив по отдельности обе проверки вручную:
   • Запуск проверки целостности по требованию
   • Запуск самотестирования межсетевого экрана по требованию
2. Устраните причину:
   • Если проблема возникла при самотестировании межсетевого экрана, перезагрузите устройство CPE.
   • Если проблема возникла при проверке целостности, восстановите прошивку CPE с помощью обновления.
   • Если вы уверены, что работа межсетевого экрана не нарушена, а проверка дала ложный результат, выключите переключатель Блокировать передачу трафика при неудачных проверках и сохраните параметры устройства CPE. Прохождение трафика будет разблокировано, после чего вы можете снова включить функцию блокировки.

Когда прохождение транзитного трафика на устройстве CPE будет вновь разрешено, всплывающее окно на оркестраторе исчезнет.

Вы можете проверить статус выполнения проверок и блокировки трафика в системном журнале устройства CPE. Для этого:

1. Откройте параметры устройства CPE и перейдите в раздел Диагностическая информация.
2. Нажмите на кнопку Запросить диагностическую информацию и дождитесь выполнения запроса.
3. В выпадающем списке Тип выберите cpe log.

   В системном журнале устройства CPE будут присутствовать какие-либо из следующих записей:

   • тип user.crit.fwblock, сообщение Firewall self test failed. Traffic forwarding blocked.

     Самотестирование межсетевого экрана выполнено неудачно. Переадресация трафика заблокирована.

   • тип user.crit.integrityblock, сообщение Firewall integrity check failed. Traffic forwarding blocked.

     Проверка целостности не пройдена. Переадресация трафика заблокирована.

   • тип user.info.checksuccess, сообщение Verification was successful.

     Проверки прошли успешно. Прохождение транзитного трафика разрешено.