← Cloudflare Network Firewall / cloudflare-network-firewall / troubleshooting

Диагностика решений о трафике

Если трафик неожиданно блокируется, причиной могут быть несколько систем Cloudflare. Это руководство поможет вам определить, что блокирует ваш трафик, и как это исправить.

Трафик, проходящий через сеть Cloudflare, проверяется несколькими независимыми системами безопасности в следующем порядке:

1. Защита от DDoS-атак на сетевом уровне: этот уровень управляет наборами правил DDoS.
2. Advanced TCP protection: Cloudflare выполняет инспекцию TCP с отслеживанием состояния, известную как (flowtrackd ↗).
3. Network Firewall: ваши пользовательские и управляемые правила брандмауэра.

Каждая система работает независимо. Трафик, заблокированный одной из предыдущих систем, уже не попадает на проверку в следующие системы.

Чтобы диагностировать заблокированный трафик, используйте Network Analytics чтобы определить, какая система блокирует трафик и почему. Если данных Network Analytics недостаточно, для более глубокого анализа можно использовать захват пакетов.

Прежде чем вносить изменения, соберите следующую информацию:

• Какой трафик затронут? Проверьте IP-адрес источника, IP-адрес назначения, порты и протоколы.
• Когда началась проблема?
• Вносились ли недавно изменения в конфигурацию?
• Это затрагивает весь трафик или только отдельные потоки?
• Проверьте Cloudflare Status ↗ на наличие текущих инцидентов

1. Войдите в Панель управления Cloudflare ↗.
2. В разделе Protect & Connect, перейдите в Insights > Network analytics.
3. В Весь трафик вкладке выберите Добавить фильтр.
4. Настройте фильтр:
   • Выберите Действие > равно > Drop
   • Выберите Применить.
5. Задайте временной диапазон, соответствующий времени возникновения проблемы.
6. Добавьте дополнительные фильтры, если вам известны характеристики затронутого трафика (например, Source IP, Destination IP и другие).
7. Чтобы определить систему блокировки: В Сводка по пакетам графике нажмите на три точки > Система защиты. Это показывает, какая система Cloudflare заблокировала трафик.

Если система защиты отображает DDoS Managed Ruleset, это означает, что трафик был заблокирован DDoS Managed Ruleset. Обратите внимание на ID правила и Rule Name поля, чтобы определить, какое именно правило сработало.

1. В верхней части Network analytics, выберите Управляемые правила защиты от DDoS.
2. Обязательно добавьте нужные фильтры, чтобы точно определить трафик, и сузьте временной диапазон до периода, когда возникла проблема.
3. В Сводка по пакетам графике нажмите на три точки, затем выберите Правило. В панели управления отобразятся правила, которые применялись к вашему трафику.
4. To resolve: Adjust the DDoS managed rule sensitivity or создайте переопределение для затронутого шаблона трафика.

Если система защиты отображает TCP Protection, это означает, что трафик был заблокирован TCP Protection. См. Причина устранения поле, чтобы понять, почему отображается TCP Protection.

Чтобы устранить, создайте Список разрешённых для Advanced TCP Protection или фильтр чтобы обойти защиту для затронутого трафика.

Если ваш трафик был заблокирован конфигурацией Network Firewall:

1. В верхней части Network analytics, выберите Firewall на вкладке.
2. Обязательно добавьте нужные фильтры, чтобы точно определить трафик, и сузьте временной диапазон до периода, когда возникла проблема.
3. В Сводка по пакетам графике нажмите на три точки, затем выберите Правило. В панели управления отобразятся правила, которые применялись к вашему трафику.
4. Проверьте свои Политики Network Firewall и при необходимости измените порядок правил или выражения.

Если не удаётся определить проблему с помощью Network Analytics, используйте захваты пакетов чтобы проверить фактический трафик:

1. Войдите в Панель управления Cloudflare ↗.
2. В разделе Protect & Connect, перейдите в Insights > Работоспособность сети.
3. Перейдите в Диагностика, и настройте фильтр захвата пакетов, соответствующий затронутому трафику. Учтите, что захват пакетов (pcap) может оказаться пустым, так как пакеты были отброшены.
4. Проанализируйте захваченные пакеты, чтобы понять характеристики трафика.
5. Сравните их с настройками своих правил.

• Network Analytics
• Advanced TCP Protection
• Настройка правил Network Firewall
• Захваты пакетов