|
在現實環境中有很多機會，會在Cyberoam中設定靜態路由以通導到另一個網段。
例如在內網192.168.1.0/24的環境中，default gateway是Cyberoam的192.168.1.254，
而通導到192.168.2.0/24網段則是透過另一顆router 192.168.1.253來進行。
為了達成需求，我們會在Cyberoam上設定一筆靜態路由，將通往192.168.2.0/24的封包導向192.168.1.253；
但如此一來也造成了一個不合理的現象，只有單向封包會經過Cyberoam，而構成了所謂的不對稱路由！
這種不對稱的封包流向會被比較嚴謹的Cyberoam視為問題封包而阻擋！
解決的方法是在Cyberoam中，對“不對稱路由”進行放行，指令如下。
set advanced-firewall bypass-stateful-firewall-config add source_network <來源網段> source_netmask <來源網段的子網路遮罩> dest_network <目的網段> dest_netmask <目的網段的子網路遮罩>
以本例來說，指令如下。
set advanced-firewall bypass-stateful-firewall-config add source_network 192.168.1.0 source_netmask 255.255.255.0 dest_network 192.168.2.0 dest_netmask 255.255.255.0
查看cyberoam裏，有哪些bypass不對稱路由指令如下。
show advanced-firewall
刪除不對稱路由bypass的指令與新增差不多，只是把add改為del而已。
set advanced-firewall bypass-stateful-firewall-config del source_network <來源網段> source_netmask <來源網段的子網路遮罩> dest_network <目的網段> dest_netmask <目的網段的子網路遮罩>
那麼從另一個角度來看，來自192.168.2.0/24過來192.168.1.0/24的封包要不要在192.168.1.253上設定bypass rule？
(假設192.168.2.253也是一顆Cyberaom)
以本例來說，是不需要的。
192.168.2.0的封包到達router 192.168.2.254後，直接轉為192.168.1.253去找同網段192.168.1.0/24的IP；
而192.168.1.0/24的IP回到來源網段192.168.2.0/24雖然還是經由default gateway 192.168.1.254再導向192.168.1.253的router，
但來回雙向都有在192.168.1.253通導，所以沒有不對稱路由的情況發生，
因此不需要在192.168.1.253上設定bypass放行規則。
♥順子老婆的網拍，請多關照∼
If you don't like something, change it.
If you can't change it, change your attitude.
Don't complain!
|
2014-11-23, 23:16
《分享》不對稱路由bypass放行
