Topik ini menyediakan solusi untuk masalah umum terkait analisis lalu lintas jaringan Cloud Firewall.
Masalah terkait lalu lintas yang melebihi batas bandwidth:
Mengapa lalu lintas aplikasi unknown tinggi?
Lalu lintas dapat diklasifikasikan sebagai Unknown karena alasan berikut:
Volume tinggi lalu lintas inbound dari internet mungkin tidak menggunakan protokol standar. Akibatnya, Cloud Firewall tidak dapat mengidentifikasi jenis aplikasinya.
Server tujuan mungkin memblokir lalu lintas jaringan dan mengirim sejumlah besar paket RST. Paket-paket ini dicatat sebagai lalu lintas inbound atau outbound. Jika volumenya tinggi, proporsi lalu lintas Unknown akan meningkat.
Anda dapat membuka halaman Log Audit dan memeriksa tab Event Logs atau Traffic Logs untuk mengamati sumber dan tujuan lalu lintas Unknown. Informasi ini membantu Anda mengidentifikasi lalu lintas abnormal.
Mengapa ISP yang tidak dikenal muncul di lalu lintas teratas?
Untuk lalu lintas inbound dari wilayah di luar daratan Tiongkok, seperti Hong Kong (Tiongkok), Makau (Tiongkok), dan Taiwan (Tiongkok), firewall hanya menampilkan nama negara atau wilayahnya. Akibatnya, penyedia layanan internet (ISP) ditandai sebagai unknown.
Anda dapat membuka tab Traffic Logs pada halaman Log Audit untuk melihat wilayah spesifik dan penyedia layanan internet yang terkait dengan alamat IP tertentu.
Tag intelijen
Tag intelijen adalah atribut yang secara otomatis diberikan oleh Cloud Firewall kepada domain arah keluar atau alamat IP tujuan berdasarkan informasi publik yang tersedia. Contohnya termasuk Malicious Download, Miner Pool, Threat Intelligence, First Time, Epoch, Popular Website, dan DDoS Trojan. Untuk informasi lebih lanjut tentang tag intelijen, buka halaman Outbound Connection.
Malicious Download, Miner Pool, dan Threat Intelligence: Menunjukkan bahwa Cloud Firewall telah mendeteksi ancaman yang terkait dengan koneksi arah keluar.
CatatanAnda harus segera menyelidiki aktivitas arah keluar dengan tag-tag ini untuk memeriksa kemungkinan false positive. Jika Anda memastikan aktivitas tersebut berbahaya, konfigurasikan kebijakan kontrol akses untuk mengelolanya. Untuk informasi lebih lanjut, lihat Konfigurasi kebijakan kontrol akses untuk Firewall internet.
First Time: Menunjukkan bahwa Cloud Firewall mendeteksi koneksi arah keluar ini untuk pertama kalinya.
Epoch: Menunjukkan bahwa aset Anda secara berkala terhubung ke domain atau alamat IP tujuan tertentu.
Popular Website: Menunjukkan domain yang sering diakses oleh server atau layanan Anda.
DDoS Trojan: Menunjukkan bahwa Cloud Firewall telah mendeteksi koneksi arah keluar yang terkait dengan ancaman serangan DDoS.
Bagaimana cara memecahkan masalah konektivitas lalu lintas?
Saat lalu lintas melewati Cloud Firewall, Anda mungkin mengalami masalah berikut:
Anda tidak dapat login ke server.
Anda tidak dapat mengakses layanan yang berjalan di server.
Server tidak dapat mengakses internet.
Untuk mengatasi masalah ini, selidiki baik Firewall internet maupun firewall internal.
Firewall internet
Verifikasi bahwa Firewall internet diaktifkan untuk aset Anda.
Lalu lintas hanya melewati Cloud Firewall setelah Firewall internet diaktifkan. Untuk informasi lebih lanjut tentang cara mengaktifkan firewall, lihat Firewall internet.
CatatanJika Firewall internet tidak diaktifkan untuk aset Anda, lalu lintas tidak melewati Cloud Firewall. Dalam kasus ini, Anda harus memeriksa masalah lain, seperti gangguan konektivitas jaringan.
Periksa tab Traffic Logs untuk catatan lalu lintas yang sesuai.
Jika tidak ditemukan log lalu lintas, lalu lintas tersebut di-drop sebelum mencapai firewall.
Jika log lalu lintas ada dan aksinya adalah Drop, lalu lintas tersebut di-drop oleh Firewall internet. Dalam hal ini, temukan lalu lintas yang sesuai dalam daftar Event Logs dan periksa kolom Judgement Source untuk mengidentifikasi modul yang memblokir lalu lintas tersebut.
Jika sumbernya adalah Access Control, lalu lintas tersebut diblokir oleh salah satu kebijakan kontrol akses Anda. Tinjau dan modifikasi konfigurasi kebijakan tersebut.
Jika sumbernya adalah Basic Protection, Virtual Patching, atau Threat Intelligence, lalu lintas tersebut diblokir oleh kebijakan pencegahan intrusi. Anda dapat membuka halaman untuk menonaktifkan kebijakan yang bertanggung jawab.
Jika log lalu lintas ada dan aksinya adalah Allow atau Monitor, lalu lintas tersebut tidak di-drop oleh Firewall internet. Dalam hal ini, Anda harus melanjutkan pemecahan masalah kebijakan firewall internal (security group).
Firewall internal (security group)
Login ke Konsol ECS.
Di panel navigasi kiri, pilih .
Temukan Instance ECS yang mengalami masalah konektivitas. Di tab Security Group, buka tab Security Group List dan verifikasi bahwa aturan grup keamanan mengizinkan lalu lintas tersebut. Authorization policy harus diatur ke Allow.
Urutan evaluasi aturan
Di Cloud Firewall, lalu lintas jaringan dievaluasi terhadap aturan dalam urutan berikut:
Access control policy (ACL)
Jika Anda mengaktifkan kebijakan kontrol akses, sistem terlebih dahulu mencocokkan lalu lintas terhadap aturan kebijakan tersebut:Jika lalu lintas cocok dengan aturan yang memiliki aksi Deny, lalu lintas tersebut langsung diblokir dan tidak ada evaluasi lebih lanjut.
Jika lalu lintas cocok dengan aturan yang memiliki aksi Allow atau Monitor, atau jika tidak ada aturan ACL yang cocok, evaluasi dilanjutkan ke tahap berikutnya.
Threat Intelligence (TI)
Sistem kemudian mencocokkan lalu lintas terhadap basis data Threat Intelligence:Jika lalu lintas cocok dengan ancaman dan aksinya adalah Block, evaluasi dihentikan.
Jika tidak, evaluasi dilanjutkan ke tahap berikutnya.
Intrusion Prevention System (IPS) module
Modul Intrusion Prevention System (IPS) mengevaluasi lalu lintas terhadap set aturan Basic Protection, Intelligent Defense, dan Virtual Patching. Ketiga set aturan ini tidak memiliki prioritas tertentu, dan sistem mencocokkan lalu lintas terhadap semuanya. Jika ada aturan yang memicu aksi Block, lalu lintas tersebut di-drop. Jika tidak, lalu lintas diizinkan setelah semua pemeriksaan selesai.
Modul ACL, TI, dan IPS bersifat independen dan dievaluasi secara berurutan. Proses evaluasi hanya berhenti ketika suatu modul memblokir lalu lintas. Jika tidak, evaluasi dilanjutkan melalui semua modul berikutnya.
Deteksi eksposur internet
Cloud Firewall menganalisis data lalu lintas inbound untuk mendeteksi anomali, seperti alamat IP publik yang terekspos, port terbuka, aplikasi yang menghadap publik, dan IP publik layanan cloud. Untuk informasi lebih lanjut tentang cara melihat detail eksposur internet, lihat Eksposur Internet.
Lalu lintas melebihi batas bandwidth
Menangani kelebihan lalu lintas
Jika lalu lintas layanan Anda melebihi spesifikasi bandwidth yang dibeli, service level agreement (SLA) tidak dijamin. Kelebihan ini dapat memicu penurunan layanan, yang mencakup tetapi tidak terbatas pada: fitur keamanan yang dinonaktifkan seperti access control, IPS, dan Log Audit; bypass firewall untuk aset berlalu lintas tinggi; serta kehilangan paket akibat rate limiting.
Jika Anda memperkirakan lalu lintas akan melebihi batas yang dibeli, gunakan fitur subscription elastic traffic pay-as-you-go.
Untuk informasi tentang cara memecahkan masalah lalu lintas tidak biasa, lihat Pemecahan masalah lalu lintas tidak biasa di batas Internet.
Untuk informasi tentang cara meningkatkan bandwidth Anda, lihat Renewal.
Konfigurasi notifikasi kelebihan lalu lintas
Terdapat dua jenis notifikasi untuk kelebihan lalu lintas: Traffic Exceeding Notification dan Traffic Exceeding Warning.
Traffic Exceeding Notification: Memberikan statistik real-time untuk hari ini saat lalu lintas di batas mana pun (Internet border, VPC border, atau NAT border) melebihi batas.
Logika pemicu: Notifikasi dikirim dengan penundaan 10 menit setelah batas terlampaui. Peringatan dikirim 24/7.
Logika pengiriman: Notifikasi hanya dikirim sekali per hari.
Catatan: Jika Anda menggunakan fitur subscription elastic traffic pay-as-you-go, Anda tidak akan lagi menerima notifikasi kelebihan lalu lintas.
Jika Anda meningkatkan bandwidth dalam waktu 10 menit setelah terjadi kelebihan, peringatan tidak dipicu.
Traffic Exceeding Warning: Memberikan statistik real-time (dengan penundaan 10 menit) saat lalu lintas melebihi ambang batas yang telah ditentukan. Saat ini, Traffic Exceeding Warning hanya didukung untuk Internet border. Fitur ini tidak tersedia untuk NAT border.
Logika pemicu: Lalu lintas saat ini melebihi ambang peringatan yang dikonfigurasi.
Logika konten peringatan: Notifikasi mencakup Bandwidth puncak dan jumlah kali ambang peringatan terlampaui dalam 24 jam terakhir. Suatu event dihitung jika ambang batas terlampaui pada titik mana pun dalam interval 30 menit.
Logika pengiriman: Peringatan hanya dikirim sekali per hari. Jika Traffic Exceeding Notification sudah dikirim untuk hari tersebut, peringatan tidak dikirim.
Peringatan tidak dikirim jika Anda telah mengaktifkan kemampuan pemrosesan lalu lintas elastis.
Peringatan dikirim 24 jam sehari.
Untuk informasi tentang jenis notifikasi yang didukung dan cara mengonfigurasinya, lihat Alerting.
Penanganan Kelebihan Trafik Tak Terduga
Jika Anda memperkirakan lonjakan lalu lintas jangka pendek yang tidak dapat Anda tangani tepat waktu, gunakan fitur subscription elastic traffic pay-as-you-go dari Cloud Firewall.
Fitur subscription elastic traffic pay-as-you-go adalah model pascabayar untuk lalu lintas yang melebihi kuota dalam paket langganan Anda. Model ini memungkinkan Anda membayar lalu lintas berlebih berdasarkan penggunaan aktual tanpa mengubah metode penagihan langganan yang sudah ada. Untuk informasi lebih lanjut, lihat subscription elastic traffic pay-as-you-go.
Skenario ini tidak berlaku untuk edisi pay-as-you-go, karena semua lalu lintas ditagih berdasarkan model pascabayar.