← Cloudflare Network Firewall / cloudflare-network-firewall / troubleshooting

Diagnostika rozhodnutí o provozu

Pokud je provoz neočekávaně blokován, může za to být zodpovědných více systémů Cloudflare. Tento návod vás provede zjištěním, co váš provoz blokuje, a jak to vyřešit.

Provoz procházející sítí Cloudflare je vyhodnocován několika nezávislými bezpečnostními systémy v tomto pořadí:

1. Ochrana proti DDoS útokům na síťové vrstvě: tato vrstva spravuje sady pravidel DDoS ochrany.
2. Advanced TCP protection: Cloudflare provádí stavovou kontrolu TCP provozu známou jako (flowtrackd ↗).
3. Network Firewall: Vaše vlastní a spravovaná pravidla firewallu.

Každý systém funguje nezávisle. Provoz zablokovaný některým z předchozích systémů se k následujícím systémům k vyhodnocení už nedostane.

Pro diagnostiku blokovaného provozu použijte Network Analytics a zjistit tak, který systém provoz blokuje a proč. Pokud vám Network Analytics neposkytne dostatek informací, můžete pro hlubší analýzu použít zachytávání paketů.

Před provedením změn si připravte následující informace:

• Jaký provoz je ovlivněn? Zkontrolujte zdrojovou IP adresu, cílovou IP adresu, porty a protokoly.
• Kdy problém začal?
• Byly nedávno provedeny nějaké změny konfigurace?
• Týká se to veškerého provozu, nebo jen konkrétních toků?
• Zkontrolujte Cloudflare Status ↗ ohledně případných probíhajících incidentů

1. Přihlaste se do Cloudflare dashboard ↗.
2. V části Protect & Connect, přejděte na Insights > Network analytics.
3. V Veškerý provoz kartě vyberte Přidat filtr.
4. Nakonfigurujte filtr:
   • Vyberte Akce > equals > Drop
   • Vyberte Použít.
5. Filtrujte časové rozmezí na dobu, kdy k problému došlo.
6. Pokud znáte charakteristiky dotčeného provozu (například Source IP, Destination IP a další), přidejte další filtry.
7. Identifikace blokujícího systému: V Souhrn paketu v grafu klikněte na tři tečky > Mitigační systém. Toto vám řekne, který systém Cloudflare provoz zablokoval.

Pokud systém mitigace zobrazuje DDoS Managed Ruleset, znamená to, že provoz byl blokován pravidlem DDoS Managed Ruleset. Všimněte si ID pravidla a Název pravidla pole, abyste zjistili, které konkrétní pravidlo se aktivovalo.

1. V horní části Network analytics, vyberte Spravovaná pravidla DDoS.
2. Nezapomeňte zahrnout všechny relevantní filtry pro identifikaci provozu a zúžit časové rozmezí na dobu, kdy k problému došlo.
3. V Souhrn paketů v grafu klikněte na tři tečky a poté vyberte Pravidlo. Dashboard vám zobrazí pravidla, která na váš provoz působila.
4. Řešení: Upravte citlivost spravovaného pravidla DDoS nebo vytvořit přepis pro dotčený vzorec provozu.

Pokud systém mitigace zobrazuje TCP Protection, znamená to, že provoz byl blokován TCP Protection. Viz Mitigation Reason pole, abyste pochopili, proč se zobrazuje TCP Protection.

Řešení, vytvořte Seznam povolených adres pro Advanced TCP Protection nebo filtr a obejít tak ochranu postiženého provozu.

Pokud byl váš provoz blokován konfigurací Network Firewall:

1. V horní části Network analytics, vyberte Firewall kartě.
2. Nezapomeňte zahrnout všechny relevantní filtry pro identifikaci provozu a zúžit časové rozmezí na dobu, kdy k problému došlo.
3. V Souhrn paketů v grafu klikněte na tři tečky a poté vyberte Pravidlo. Dashboard vám zobrazí pravidla, která na váš provoz působila.
4. Zkontrolujte své Zásady Network Firewall a podle potřeby upravte pořadí pravidel nebo výrazy.

Pokud problém nedokážete identifikovat z Network Analytics, použijte zachycení paketů a prozkoumat tak skutečný provoz:

1. Přihlaste se do Cloudflare dashboard ↗.
2. V části Protect & Connect, přejděte na Insights > Stav sítě.
3. Přejděte na Diagnostika, a nakonfigurujte filtr zachytávání paketů odpovídající postiženému provozu. Mějte na paměti, že zachytávání paketů (pcap) může být prázdné, protože pakety byly zahozeny.
4. Analyzujte zachycené pakety, abyste porozuměli charakteristikám provozu.
5. Porovnejte je s konfigurací svých pravidel.

• Network Analytics
• Advanced TCP Protection
• Konfigurace pravidel Network Firewall
• Zachytávání paketů