问题现象

M9000由E9110P07之前版本升级到E9110P07及后续更新版本后,设备通过infocenter发送大量NAT会话日志,并引起CPU增高。

原因分析

由于新老版本在NAT日志功能模块存在变更,导致相同配置下,升级到新版本后设备开始输出syslog格式NAT日志,而设备输出syslog格式的日志性能有限,在NAT流量较大的情况下,导致设备CPU增高,引起业务异常。

解决办法

1.           由其它版本升级至E9110P07版本前需要注意:

a)         如果需要使能NAT日志以syslog格式发送,并且升级前设备上有如下这条配置:

nat log enable

并且配置了以下三条命令中至少一条:

nat log flow-begin

nat log flow-end

nat log flow-active time-value

请确保配置了以下这条命令使能NAT日志输出到快速通道:

customlog host ipv4-address port port-number

 

b)         如果需要使能NAT日志以userlog格式发送,并且升级前设备上有如下这条配置:

nat log enable

并且配置了以下三条命令中至少一条:

nat log flow-begin

nat log flow-end

nat log flow-active time-value

请确保配置了以下命令使能了日志输出到userlog通道:

userlog flow export version version-number

userlog flow export host ip-address port port-number

 

         如果未严格按以上两种方式输出NAT日志,请确保更改为a或者b方式输出NAT日志后再进行升级;如果在b方式时使用了命令:userlog flow syslog userlog格式转换为syslog格式发送NAT日志,请取消此命令,建议使用a方式发送syslog格式NAT日志。

如果未按照以上规范执行,升级后防火墙业务板业务量大时可能会出现CPU利用率异常增高的现象。

 

2.           M9000使用E9110P07版本,并在设备上有较大量业务时配置NAT会话日志,请注意:

a)         如果需要NAT日志以syslog格式发送,请确保按照以下步骤进行配置

首先,配置日志输出到日志快速通道:

customlog host ipv4-address port port-number

然后再开启NAT会话日志:

nat log enable

再根据需求配置以下三条命令:

nat log flow-begin

nat log flow-end

nat log flow-active time-value

 

b)         如果需要NAT日志以userlog格式发送,请确保按照以下步骤进行配置

首先,配置日志输出到日志快速通道:

userlog flow export version version-number

userlog flow export host ip-address port port-number

然后再开启NAT会话日志:

nat log enable

再根据需求配置以下三条命令:

nat log flow-begin

nat log flow-end

nat log flow-active time-value

 

如果未按照以上步骤配置NAT日志,可能会导致在配置过程中M9000防火墙业务板CPU异常增高。

案例信息

案例类型:经验案例
案例号:201505050017
创建时间:2015年5月5日
更新时间:2017年1月4日
发布时间:2015/5/5 15:55:54
文章密级:游客可见
有效期:长期有效
发布者:沈博文【技术大咖】 [s09471]
点击次数:1158
评论平均得分:0
关键词:M9000 升级 NAT日志
产品线:安全产品
产品系列:SecPath M9000
产品版本:
故障类型:软件bug

常用操作
收藏