故障排查类-华为云

云防火墙 CFW-系统策略授权企业项目后，为什么部分权限会失效？

系统策略授权企业项目后，为什么部分权限会失效？ CFW部分功能依赖于弹性云服务器（Elastic Cloud Server, ECS）、虚拟私有云（Virtual Private Cloud, VPC）等云服务，因这些云服务中部分功能不支持企业项目，将“CFW FullAccess” 和“CFW ReadOnlyAccess”两个系统策略授权到企业项目维度后会造成部分权限失效。所以需要使用华为云账户自行创建两条系统策略，具体创建步骤请参见：创建自定义策略。 CFW依赖的云服务中不支持企业项目的功能需要按照以下内容添加权限，其中云日志服务（Log Tank Service，简称LTS）在CFW页面操作时需授权LTS服务全部权限。 { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "vpc:quotas:list", "vpc:publicipTags:get" ] }, { "Effect": "Allow", "Action": [ "ecs:availabilityZones:list" ] }, { "Effect": "Allow", "Action": [ "lts:groups:list", "lts:groups:get", ] } ] } CFW依赖全局服务的权限： { "Version": "1.1", "Statement": [ { "Effect": "Allow", "Action": [ "eps:resources:list" ] }, { "Effect": "Allow", "Action": [ "tms:predefineTags:list" ] } ] } 父主题：故障排查类

云防火墙 CFW 故障排查类

数据库安全服务 DBSS-无法使用数据库安全审计:检查数据库的Agent程序运行状态

检查数据库的Agent程序运行状态使用跨平台远程访问工具（例如PuTTY）以root用户通过SSH方式，登录Agent的安装节点。执行以下命令，查看Agent程序的运行状态。 ps -ef|grep audit_agent 如果界面回显以下信息，说明Agent程序运行正常，请执行4。 1 /opt/dbss_audit_agent/bin/audit_agent 如果界面无回显信息，说明Agent程序运行异常，请执行3。执行以下命令，重新启动Agent。 service audit_agent restart 如果问题已解决，结束操作。如果问题仍存在，请执行4。执行以下命令，检查Agent与数据库安全审计实例之间的通信状态。 tailf /opt/dbss_audit_agent/log/audit_agent.log 如果界面回显类似以下信息，说明Agent与数据库安全审计实例之间通信正常，请执行效果验证。图1 通信正常如果界面回显类似以下信息，说明Agent与数据库安全审计实例之间通信异常，请检查数据库安全审计实例安全组规则是否开放。图2 通信异常

数据库安全服务 DBSS 数据库安全审计故障排查类

云防火墙 CFW-业务流量异常如何排查CFW侧防护？:定位方式

定位方式关闭CFW的防护。 EIP流量故障：关闭CFW对业务中断的EIP的防护，请参见关闭EIP防护。 SNAT或VPC间访问不通：关闭VPC边界防火墙的防护，请参见关闭VPC边界防火墙。观察业务情况。业务恢复正常，请参见排查思路。业务仍未恢复，说明非CFW造成的流量中断，可参考常见的故障原因：网络故障：路由配置错误，网元故障。策略拦截：其他安全服务、网络ACL或安全组配置错误导致的误拦截。若您需要华为云协助排查，可提交工单。

云防火墙 CFW 故障排查类

云防火墙 CFW-业务流量异常如何排查CFW侧防护？:排查思路

排查思路在访问控制日志中，搜索被阻断IP/域名的日志记录。如有记录，可单击“规则”列跳转至匹配到的阻断策略，后续操作见场景一：防护策略配置错误。如无记录，执行步骤 2。在攻击事件日志中，搜索被阻断IP/域名的日志记录。如有记录，可复制“规则ID”列信息，后续操作见场景二：IPS等入侵防御功能的误拦截。如无记录，执行步骤 3。弹性公网IP管理中关闭了EIP的防护或VPC边界防火墙管理中关闭了防护后，业务恢复正常，则建议您关闭防火墙防护并提交工单咨询。（可选）为了监测防火墙状态，迅速把握异常情况，推荐您进行如下配置：在云防火墙控制台配置告警通知，请参见告警通知。在云监控控制台配置CFW告警规则，配置方式请参见设置监控告警规则，支持的监控指标请参见CFW监控指标说明。

云防火墙 CFW 故障排查类

云防火墙 CFW-NAT64防护策略配置需要注意哪些？

NAT64防护策略配置需要注意哪些？防火墙无法防护NAT64转换前的真实源IP，如果您开启了弹性公网IP的IPv6转换功能，NAT64会将源IP转换成198.19.0.0/16的网段进行ACL访问控制。使用IPv6访问时建议放行预定义地址组中“NAT64转换地址组”，设置后198.19.0.0/16网段中的IP均会被放行，若其中有您需要阻断的IP地址，请使用黑名单或阻断策略。 IPv6转换功能请参见IPv6转换。 NAT64转换地址组请参见NAT64转换地址组。设置黑名单请参见添加黑/白名单。设置阻断策略请参见添加防护规则。父主题：故障排查类

云防火墙 CFW 故障排查类

云服务器内容精选

故障排查类

7*24

备案

专业服务

退订

建议反馈

售前咨询热线