障害発生時の確認方法

動作確認バージョン:vSRX Version20.4R2, vSRX Version22.4R1

ここでは、ファイアウォール(vSRX) について障害発生時のログやコマンド確認方法について紹介します。 本手順ではSNMPTrap確認が含まれております。SNMP機能を用いた監視設定 は、事前に実施頂く必要がございます。

VRRP障害

ノードが再起動したり、VRRP動作のファイアウォール間のキープアライブパケットなどが途絶えてしまった場合VRRPの切り替わりが発生します。

  • VRRPが動作している Interface ge-0/0/1 unit0 をDisableで停止させた状態のログ
# MASTER側

user01@vSRX-03> show vrrp
VRRP is not running

# BACKUP側

user01@vSRX-04> show vrrp
Interface     State       Group   VR state VR Mode   Timer    Type   Address
ge-0/0/1.0    up             13   master   Active      A  0.356 lcl    192.168.33.104
                                                                vip    192.168.33.134
  • VRRPが動作している Interface ge-0/0/1 をDisableで停止させた状態のログ
# MASTER側

user01@vSRX-03> show vrrp
Interface     State       Group   VR state VR Mode   Timer    Type   Address
ge-0/0/1.0    down           13   init     Active      N  0.000 lcl    192.168.33.103
                                                                vip    192.168.33.134


# BACKUP側

 user01@vSRX-04> show vrrp
 Interface     State       Group   VR state VR Mode   Timer    Type   Address
 ge-0/0/1.0    up             13   master   Active      A  0.477 lcl    192.168.33.104
                                                                 vip    192.168.33.134
  • BACKUPからMASTERに状態遷移したときの表示(state がmasterになっていることがわかります。)
user01@vSRX-04> show vrrp detail
Physical interface: ge-0/0/1, Unit: 0, Address: 192.168.33.104/24
  Index: 72, SNMP ifIndex: 520, VRRP-Traps: disabled, VRRP-Version: 2
  Interface state: up, Group: 13, State: master, VRRP Mode: Active
  Priority: 150, Advertisement interval: 1, Authentication type: none
  Advertisement threshold: 3, Computed send rate: 0
  Preempt: yes, Accept-data mode: yes, VIP count: 1, VIP: 192.168.33.134
  Advertisement Timer: 0.313s, Master router: 192.168.33.104
  Virtual router uptime: 2w0d 01:43, Master router uptime: 00:00:31
  Virtual Mac: 00:00:5e:00:01:0d
  Tracking: disabled

user01@vSRX-04>
  • Syslog確認: show log messages | match vrrp

VRRP関連のSyslogを確認するために利用します。 以下は、VRRPのBACKUPがMASTERに状態遷移する際に出力されたSyslogです。

user01@vSRX-04> show log messages | match vrrp
Nov  8 06:00:57 vrrpd_update_state_machine, ge-0/0/1.000.000.000.0000:0000:0000:0000:0000:0000:c0a8:2168.013 state: backup
Nov  8 06:00:57 vrrpd_ppmd_delete_adj : ge-0/0/1.000.000.000.0000:0000:0000:0000:0000:0000:c0a8:2168.013
Nov  8 06:00:57 vrrp_fsm_update IFD: ge-0/0/1.000.000.000.0000:0000:0000:0000:0000:0000:c0a8:2168.013 event: master
Nov  8 06:00:57 vrrp_fsm_active: ge-0/0/1.000.000.000.0000:0000:0000:0000:0000:0000:c0a8:2168.013 state from: backup
Nov  8 06:00:57 vrrpd_set_state_in_kernel : vrrp_if ge-0/0/1.000.000.000.0000:0000:0000:0000:0000:0000:c0a8:2168.013, state : 1, group : 13
Nov  8 06:00:57 vrrp_newmaster_trap: vrrp_if : ge-0/0/1.000.000.000.0000:0000:0000:0000:0000:0000:c0a8:2168.013 trap enabled : 0
Nov  8 06:00:57 VRRPD_NEW_MASTER: Interface ge-0/0/1.0 (local address 192.168.33.104) became VRRP master for group 13 with master reason masterNoResponse
Nov  8 06:00:57 vrrp_fsm_update_for_inherit IFD: ge-0/0/1.000.000.000.0000:0000:0000:0000:0000:0000:c0a8:2168.013 event: master
Nov  8 06:00:57 Signalled dcd (PID 1544) to reconfig
Nov  8 06:00:57 vrrpd_set_state_in_kernel : vrrp_if ge-0/0/1.000.000.000.0000:0000:0000:0000:0000:0000:c0a8:2168.013, state : 1, group : 13
Nov  8 06:00:59 vrrpd_config_holddown_expiry:

IPsec障害

  • IPSEC ISAKMP Phase1の確認(phase1がDownになったときの表示)
user01@vSRX-03> show security ike security-associations
Index   State  Initiator cookie  Responder cookie  Mode           Remote Address
402079  DOWN   e73f30f207bf64ae  0000000000000000  Main           192.168.1.101
  • IPSec SAの確認(Phase2 Tunnel数0のため確立できていないときの表示)
user01@vSRX-03> show security ipsec security-associations
  Total active tunnels: 0

user01@vSRX-03>
  • IPSec トンネルに設定しているトンネルインターフェイス(st0)状態(Down状態)
user01@vSRX-03> show interfaces terse
Interface               Admin Link Proto    Local                 Remote
ge-0/0/0                up    up
ge-0/0/0.0              up    up   inet     192.168.3.103/24
(中略)
st0                     up    up
st0.0                   up    down inet     172.16.13.3/24
tap                     up    up
vlan                    up    down
vtep                    up    up
  • SNMP Trap確認

IPsec接続している対向ファイアウォールがダウンした際に、SNMP Trapが送出されます。

vsrx_failure-log_fig1

キャプチャで表示されているifIndex.520のインターフェイスは、トンネルインターフェイス(st0.0)がLinkdownしたことを示しています。

user01@vSRX-03> show snmp mib walk 1.3.6.1.2.1.2.2.1 | no-more
ifIndex.1     = 1
  (中略)
ifIndex.524   = 524
ifDescr.1     = fxp0
  (中略)
ifDescr.510   = ge-0/0/0
ifDescr.511   = ge-0/0/0.0
ifDescr.512   = gr-0/0/0
ifDescr.513   = ip-0/0/0
ifDescr.514   = lsq-0/0/0
ifDescr.515   = mt-0/0/0
ifDescr.516   = lt-0/0/0
ifDescr.517   = sp-0/0/0
ifDescr.518   = sp-0/0/0.0
ifDescr.519   = sp-0/0/0.16383
ifDescr.520   = st0.0
ifDescr.521   = ge-0/0/1
ifDescr.522   = ge-0/0/1.0
ifDescr.523   = ge-0/0/2
ifDescr.524   = ge-0/0/2.0

注釈

ifIndex の値は、装置が起動時に設定する値になります。決まった固定値にならず、インターフェイスの利用状況などにより変更されますので上記コマンドなどご利用いただきましてご確認お願い致します。