配置是存在管理设备的数据库中的，所以调换之前的牵引等配置保存在https://192.168.88.93/的数据库中，调换完之后https://192.168.88.95/做了管理设备，所以页面上看不到牵引配置，而调换之前下发的32位主机路由已经下发到两台设备的路由模块中，所以调换后业务流量被牵引到AFC设备上。

恢复措施：查看管理设备及节点设备的路由表：[系统配置]-[配置]-[本地路由列表]

图24 本地路由表

按照原牵引配置将牵引设备操作列表配置好：

图25 添加牵引设备操作列表

将查到的路由表中的信息手动牵引后再反牵引即可：

图26 反牵引

串联部署环境down其中一对链路，网络会断是什么原因？

串联部署环境，down其中一对链路，该链路的流量需要时间到另外up的链路，因此断网几秒

主备切换后，会话连接超时是什么原因

正常进行主备切换，由于切换的时间比会话建立的时间长，因此之前的会话连接超时

主备同步清单

模块名	菜单名	同步	不同步
全局状态	设备状态	√
	服务器列表		√
	连接监控		√
	排名统计		√
	数据分析		√
	静态黑白名单	√
	动态黑白名单	√
规则配置	全部菜单	√
牵引配置	牵引状态	√
牵引配置	其余菜单	√
域名过滤	全部菜单	√
DNS防护	DNS动态缓存		√
DNS防护	其余菜单	√
系统配置	全部菜单		√
客户群组	发消息设置		√
客户群组	其余菜单	√
日志中心	全部菜单	√
设备	授权信息		√
	设备检查		√
	其余菜单	√
设备配置	全部菜单		√
路由配置	全部菜单		√
平台设置	IP设置		√
	登录安装配置- 密码过期设置		√
	SSH配置		√
	主备配置		√
	其余菜单	√
用户配置	全部菜单	√
系统监控	全部菜单	√
备份管理	全部菜单	√

基线学习任务结束后，防御值和学习到的数据不一致

由于任务开始到结束未达到一个学习周期，导致系统学习结果未更新到当前防御。当任务结束后，点击【应用至防护】才会将学习值规划到规则中

【系统配置-平台设置-系统升级】页面，上传bin包后，进度条不到5%，提示“解压升级包失败，请检查安装包”

现象描述：系统升级页面，上传bin包后，升级页面提示“解压升级包失败，请检查安装包”

规避措施：是检查升级包是否和官网一致。

集群部署通过web升级后进程启动失败是什么原因？

集群部署模式下通过web进行系统升级，设备管理页面显示设备状态为自动关闭，需要先拆集群后单台升级，系统升级正常后在恢复为集群模式。

影响版本：AFCE6401、E6401P01、E6401P02

P03版本升级后页面显示100%，90秒内页面显示空白是什么原因？

P03版本修改了一些系统配置，页面显示90秒倒计时结束的时候会进行设备侧重启，此时升级页面完全显示空白，再次访问升级页面会自动恢复。

影响版本：低版本升级到AFC E6401P03

命令行配置错误管理口IP后无法修改

重新配置管理口ip地址即可

vlan接口配置绑定接口为聚合口，但是配置不生效是什么原因？

vlan接口配置绑定接口为聚合口，但是配置不生效，目前不支持将聚合端口加入VLAN接口配置中

集群中节点设备切换为一体机后配置丢失是什么原因？

集群设备中的配置储存在管理设备的数据库中，节点设备切换为一体机后无法读取管理设备的数据库，需要重新进行配置网口以及路由。

流量日志与CPU内存日志查询后取消其中一个选项（如CPU余量、内存使用率或输入、输出）后移动鼠标浮动信息不显示或不再改变怎么解决？

输入和输出一起勾选，移动鼠标会显示输入输出详细信息。

登录开启高可用的两台设备，web页面报错显示“登录失败”

现象描述：两台设备A、B开启高可用，运行一段时间后，再次登录web页面，提示“登录失败”

可能原因：备设备上修改主设备IP为设备C管理地址或主设备上修改备设备IP为设备C管理地址

规避措施：目前高可用针对的是两台设备，高可用开启或修改时需要确认两台设备组ID以及设备ip地址是否正确

导入或新增相同客户端IP的静态黑名单后，数据检查提示：同步失败

现象描述：导入或新增相同客户端IP的静态黑名单，后续新增或修改的规则无法同步，数据检查提示：同步失败

产生原因：静态黑名单同一个客户端IP添加超过10条

规避措施：静态黑名单同一个客户端IP添加不超过10条

旧版本设备升级至P04版本后bond模式显示为升级前模式，但下拉框只有动态和静态是什么原因？

现象描述：旧版本设备升级至P04版本后bond模式显示为升级前模式，但下拉框只有动态和静态。

可能原因：旧版本中bond有7种模式分别为模式一至模式七，P02以及之后版本只有静态和动态两种模式，动态对应旧版本的模式五，静态对应其余6种模式。

CPU占用率很高是什么原因？

现象描述：AFC设备CPU占用率显示很高；

可能原因：AFC设备中内存与CPU占用机制为预分配机制，页面显示CPU占用率为控制层面的CPU，不会影响业务。

导入license后显示剩余天数与license实际天数不符是什么原因？

现象描述：打license后显示剩余天数与license实际天数不符；

可能原因：1、设备日期不准确；

2、确认license生成时间不是当天生成；

3、license授权服务器时间不准确。

规避措施：确认设备时间，生成license后当天导入。

添加攻击检测规则不生效是什么原因？

现象描述：AFC设备串联或旁路部署，其中上下联交换机添加vlan头，添加攻击检测规则不生效；

可能原因：添加的攻击检测子规则中逻辑关系使用字符。

规避措施：攻击检测规则的逻辑关系选择十六进制。

影响版本：AFCE6401P02及之前版本。

添加bgp路由后点击应用配置后进程消失是什么原因？

可能原因是新增或修改bgp配置后没有点击保存，新增或修改bgp配置后先点击保存再点击应用配置。

命令行手动down网口后，重启设备或网口配置应用配置，网口状态变为up

现象描述：命令行执行shutdown interface 网口名称，网口配置应用配置或重启设备，手动down的网口状态变为up

规避措施：重新到命令行执行shutdown interface 网口名称

BAGG端口开启ISIS路由，提示操作成功，实际不生效

将BAGG端口拆开，各网口分别开启ISIS路由

BAGG端口开启LDP路由，提示操作成功，实际不生效

将BAGG端口拆开，各网口分别开启LDP路由

BGP路由配置直接点击应用配置，提示操作成功，实际未生效

现象描述：进入BGP路由配置页面，输入本地BGP信息，点击【应用配置】，提示：操作成功，实际未生效；命令行执行display system status，显示bgp进程异常

规避措施：先点击【保存】，再点击【应用配置】按钮

新增应用规则，输入IPV6地址后，直接点击保存，提示：请输入正确的起始IP

现象描述：应用规则页面，点击【添加】，名称任意添加，服务器ip输入ipv6地址，其他不变，点击【保存】，提示：请输入正确的起始ip

规避措施：暂无，只是提示问题，不影响实际使用

影响版本：AFC E6401P04及之前版本。

2020平台进行扫段攻击测试，系统显示流量和实际流量不符

现象描述： 2020平台测试仪发送64字节syn数据包2000Mbps，3W服务器列表，系统无拦截数据，只显示420M流量

可能原因：没有自定义触发规则

规避措施：建议在ISP上层封堵部分流量，使攻击流量降低到客户正常带宽的 80%，同时针对被攻击的地址段修改其默认全局触发规则，修改为50，使防御模块生效

将攻击源和服务器添加到动态白名单，还是存在攻击拦截是因为什么？

现象描述：对防护服务器打攻击流，触发攻击；将攻击源和服务器添加到动态白名单，攻击识别一直持续

可能原因：攻击流为syn、ack、udp、icmp flood 或过滤规则拦截的

产生原因：动态白名单只对应用规则里加了漏洞规则或快速规则生效；如果是 syn ack udp icmp 这些flood 或过滤规则拦截的攻击流，是不生效的

添加用户信息，提示：登录名必须在6至20个大写小写字母或者数字组成，不能包含特殊字符，不能包含空格

现象描述：进入【系统配置-用户配置-用户】页面，添加用户，其中用户登录名输入一串数字

可能原因：用户登录名以数字开头

规避措施：用户登录名不以数字开头

影响版本：AFC所有版本。

黑洞路由下发失败，依然会显示黑洞牵引状态

现象描述：系统下发黑洞牵引，交换机上牵引失败，但是黑洞牵引状态显示有牵引成功的记录

可能原因：交换机路由配置错误

规避措施：排查交换机路由配置

用户分配权限后登录显示用户无权限？

现象描述：当用户权限只有路由模块或设备配置管理模块，使用该用户登录系统，提示：此用户无权限，请管理员添加您的权限

产生原因：用户只分配路由模块或设备配置模块权限，使用该用户登录系统会显示用户无权限

动态白名单添加源ip信息，服务器配置出向拦截策略，出向流量还是被拦截

动态与静态白名单只是针对入向流量数据

集群部署模式下，全局状态-连接监控，选择批量加黑，规则没有下发到所有设备的动态黑名单列表

现象描述：两台设备A、B集群部署，在A设备上操作连接监控页面的批量加黑功能，提示：操作成功，但是查看B设备无动态黑名单

可能原因：两台设备A、B未配置同步口；两台设备A、B同步口实际没有接线

系统导出word时无反应，点击其他页面，响应速度>30S

现象描述：牵引历史页面点击导出word，无任何提示；再次点击其他导出功能项，也没有提示；但是导出excel显示操作失败

涉及页面：牵引历史、攻击日志

规避措施：点击导入word之后，等到文件下载结束再操作其他页面

影响版本： AFC所有版本。

添加多条备份规则，导致web页面响应时间>30s

现象描述：添加多条自动备份规则，且时间间隔为1小时，期间访问页面，页面响应时间>30S

规避措施：由于备份会消耗数据库资源，因此建议只添加一条自动备份规则

影响版本：AFC所有版本

系统日志显示核心进程异常

现象描述：系统日志提示核心进程异常且系统业务异常

规避措施：1、登录命令行，输入system autorepair；2、在没有业务的情况下重启设备

影响版本：AFC所有版本。

节点设备串口命令行执行返回结果错误

节点设备不可执行reset admin password命令

集群部署两台设备，设备A删除DNS动态缓存信息，设备B上还存在

现象描述：集群部署两台设备，设备A删除DNS动态缓存信息，设备B上还存在

规避措施：目前集群模式下删除DNS动态缓存不会进行同步，因此设备B还存在该信息

影响版本：AFC所有版本

设备状态页面曲线一段时间后出现缺口，3S内恢复正常

现象描述：AFC设备正常接入组网，设备状态页面曲线一段时间后出现缺口，3S内恢复正常

规避措施：该阶段在进行释放缓存，不影响正常转发

影响版本：AFC所有版本

down设备串联外网口的上游交换机网口，重新应用配置或重启系统后，串联内网口状态为Up

现象描述：AFC设备串联到组网中，手动down串联外网口对应的上游交换机网口，网口配置页面重新应用配置或重启设备，串联内网口状态为up

规避措施：由于端口联动的机制是判断当前时刻和系统启动时的网口进行对比，如果启动时网口为down，则端口联动机制被破坏

影响版本：AFC所有版本。

AFC旁路部署模式下，系统服务器列表为空？

现象描述：AFC旁路部署，【防护配置-系统配置-参数设置】页面，模式配置中激活转发模式，开启直通后，系统接收不到流量，服务器列表为空，且流量无法ping不通

规避措施：旁路模式不开启转发模式，转发模式用于串联部署下，为了避免影响业务

网口配置页面修改管理口ip并应用配置后，插拔管理口网线，配置后IP 不通是什么原因？

现象描述：网口配置页面修改管理口ip后，点击应用配置，新改的管理口IP可以正常登录，插拔管理口网线，ping管理口ip，显示请求超时；

可能原因：新改的管理口IP可以正常登录会后，进行插拔网线操作。

影响版本：AFC E6401P04及以下版本

规避措施：

1、先修改管理口ip并应用后，可使用修改后ip登录系统，再进行系统升级

2、或使用192.168.0.1登录系统并升级版本成功，网口设置页面修改管理口ip和网关，点击应用配置后，重启设备，使修改后ip永久生效

3、或使用192.168.0.1登录系统并升级版本成功，在串口命令行修改管理口ip和网关，使修改后ip永久生效

AFC设备上架后，00:00、06:00出现网口down/up情况，大约1秒钟网口状态恢复正常？

产生条件：AFC E6401P02到P05版本，使用电口bypass插卡当业务口

产生原因：由于AFC E6401P02版本之后适配了bypass插卡，该版本bypass核心投喂进程等待时间较短，系统定时任务集中在整点时触发，导致系统管理层负载较高，从而影响bypass核心投喂进程及时性，造成对端网络设备接口可能产生up/down日志；由于交换机光口与电口的协商机制不同，使用光口bypass插卡出现该问题的几率较低

影响版本：AFC E6401P02到P05版本

影响范围：所有适配的电口bypass插卡

规避措施：建议采用光口bypass插卡或电口非bypass插卡

【日志中心-日志中心-链路变化日志】页面中存在大量的电口业务口up/down日志

产生条件：使用电口插卡或板载电口当业务口

产生原因：系统记录电口链路不准确

影响版本：AFCE6401、AFCE6401P01、AFCE6401P02、AFCE6401P03、AFCE6401P04

规避措施：暂无；由于只是页面记录问题，暂不影响功能

网口配置页面修改管理口ip，点击应用配置，等待较长时间后提示：操作失败

产生条件：网口配置页面修改管理口ip，点击应用配置

产生原因：修改管理口ip并应用成功之后，当前访问的ip无法连通，等待浏览器重试失败后，会返回“操作失败”

影响版本：AFC所有版本

规避措施：页面显示问题，不影响使用；可使用新ip访问系统

集群以及主备模式下不支持开启应用安全；2020-G2、2040-G2型号设备不支持开启应用安全；应用安全不支持ipv6地址

两台设备串联部署使用电口做业务口，开启主备后，设备角色发生切换时，业务大约中断20个包

产生条件：两台设备串联部署使用电口做业务口，开启主备后down工作模式业务口

产生原因：两台设备进行角色切换时，会down本机业务口，up另外一台设备业务口，使用电口做业务口，协商速率较慢，导致业务存在20个包中断现象

影响版本：E6401P02、E6401P03、E6401P04

规避措施：升级到E6401P05及以上版本

AFC只支持一个管理口，2040型号设备管理口为GE0/7，其他型号设备管理口为GE0/0

AFC2020平台断电后网络不通应该怎么解决？

问题现象： AFC2020平台设备断电后bypass接口网桥不通，断电bypass功能未生效。

产生原因： AFC2020平台硬件bypass控制特性与其他平台设计逻辑不同。

影响范围： AFC2020平台在低于6401P06的软件版本时，断电bypass功能不可用。

解决方案：1、升级软件版本到6401P06即可正常使用bypass功能。

2、若升级6401P06版本后问题仍未得到解决，先检查上下游网线是否同为交叉线或同为直通线。仍未解决的需联系技术人员远程协助排查。

AFC设备进行系统升级，升级页面10%之后页面显示为空，且web页面无法打开

现象描述：当前AFC设备版本号为E6401P06以下版本，进入AFC设备系统升级页面，选择AFD 的升级包，点击系统升级，升级页面10%之后页面显示为空白，访问AFC web页面，显示404

解决方案：当前需要联系华三技术支持人员处理。目前已在AFC E6401P06版本添加相关校验。

如何登录设备ssh和串口？

SSH登录：端口16222，账号/密码默认admin/admin，与web登录密码保持一致

串口登录：波特率115200，账号/密码默认admin/admin，与web登录密码保持一致

（检测设备也适用）

设备版本升级成功后频繁出现端口震荡、主备频繁切换等现象该如何处理？

版本升级成功后再手动重启一次

AFC2000-D-G2

AFD设备管理口IP丢失

可能原因：1、插拔管理口网线；2、插拔设备电源；3、插拔网卡

恢复措施：

1、进入串口命令行重新配置管理口ip和网关，执行命令参考如下：

配置管理口GE0/0 ip为192.168.0.2：ip address interface GE0/0 192.168.0.2/24

配置管理口GE0/0的网关192.168.0.1：ip gateway 192.168.0.1

2、登录web页面，进入【系统配置-设备-设备管理】页面，点击【配置】，进入【flow检测设备-网卡设置】页面，配置GE0/0 网口ip地址以及网关信息，点击【应用配置】

影响版本：AFDE6401和E6401P01。

AFD设备导入license后显示license无效

现象描述：AFD设备导入license显示license无效

可能原因：1、无扩展卡下生成的license导入到已插扩展卡的系统；2、设备插入扩展卡后申请的license导入到无扩展卡的系统中

规避措施：license导入时的设备状态和申请时保持一致

影响版本：AFDE6401和E6401P01。

输入框中输入完信息后点击确定，保存等按钮后显示请求无效是什么原因？

解决方案：输入框中包含特殊字符或不合法的IP等，检查输入的内容并改正。

影响版本：AFDE6401和E6401P01。

命令行配置错误的网关导致设备无法联通怎么解决？

解决方案：命令行配置正确的网关信息

影响版本：AFD E6401和E6401P01。

Web页面及串口命令行网口显示不全是什么原因？

Web页面及串口命令行最多显示32个网口（管理口除外），因此可能会出现某些插卡网口显示不全。

影响版本：AFDE6401和E6401P01。

Snmp配置中只读权限组名称和读写权限组名称提示：不能包含特殊字符

现象描述：

现象一：Snmp配置后，点击应用，提示：不能包含特殊字符

现象二：Snmp配置后，点击应用，提示信息为英文

可能原因：配置中的只读权限组和读写权限组名称中包含中文或特殊字符

规避措施：Snmp配置中的只读权限组和读写权限组名称中不能包含中文及特殊字符。

不允许的中文字符包括：“？”、“空格”、“￥”、“……”、“（”、“）”、“——”、“【”、“】”、“《”、“》”、“、”、“。”、“，”、“；”、“！”、““”、“””、“‘’”、“：”。

不允许的英文字符包括：“?”。

影响版本：AFDE6401和E6401P01。

web页面修改账户密码之后，串口命令行登录失败

E6401版本中串口命令行不支持以下字符密码：>、.、*、,、<、"、\、/、(、!、=、~、`、$、+、-、

，web登录密码修改为不包含以下字符的密码：>、.、*、,、<、"、\、/、(、!、=、~、`、$、+、-、

影响版本：AFDE6401和E6401P01。

插入四口万兆插卡且无光纤时系统防护功能不生效

产生原因：2021年8月15日前出厂的四口万兆插卡（物料型号为NSQM1IPCTG4A）未进行升级；当只插模块却无光纤时会导致系统启动失败

恢复措施：移除未接光纤的模块并重启设备

影响版本：AFDE6401和E6401P01。

用户输入特定页面输入正确web登录密码后提示“提交失败”

影响页面：网口配置、系统升级等二次校验的页面

提示信息：弹窗提示“提交失败”

产生原因：用户密码校验不支持以下特殊字符导致提交失败，包含特殊字符有：>、.、*、,、<、"、\、/、(、!、=、~、`、$、+、-、

规避措施：避免使用以上特殊字符

影响版本：AFDE6401和E6401P01。

建议升级至最新版本。

服务器列表不显示信息

建议升级至最新版本。

添加牵引设备操作列表，选择设备列表为空

建议升级至最新版本。

攻击日志处置结果为空

对于告警ip未设置牵引规则，导致只有攻击没有其他处置

web页面修改账户密码之后，串口命令行登录失败

串口命令行不支持以下字符密码：>、.、*、,、<、"、\、/、(、!、=、~、`、$、+、-、

，web登录密码修改为不包含以下字符的密码：>、.、*、,、<、"、\、/、(、!、=、~、`、$、+、-、

影响版本：E6401、E6401P01。

用户在特定页面输入正确web登录密码后提示“提交失败”

web登录密码修改为不包含以下字符的密码：>、.、*、,、<、"、\、/、(、!、=、~、`、$、+、-、

影响版本：E6401、E6401P01。

牵引日志中打印不全是什么原因导致

检查牵引设备操作列表中的命令，没有打印出来的可能是命令错误导致的

黑洞牵引配置有多条时，对每条规则的牵引判断顺序是怎样处理的

黑洞牵引如果配置有多条时，当某个服务器列表下的 IP 触发黑洞牵引规则时，黑洞牵引规则列表中的每条规则会依次从上到下的顺序判断并进行对牵引操作的处理

攻击日志不记录是什么原因

可能性:被攻击的ip不经过设备

检查客户提供的被攻击ip是否经过设备。【检测配置】-【状态】-【服务器列表】输入被攻击ip进行搜索。

服务器列表为空

可能原因：插拔网卡；license无效

规避措施：进入【系统配置-设备-设备管理】页面，操作栏点击编辑按钮，直接点击保存；进入license配置页面查看license是否有效

影响版本：AFD所有版本。

网卡配置不显示怎么解决

可能原因：插拔网卡；重启设备

恢复措施：网卡配置页面点击【更新配置】即可显示网口信息。

影响版本：AFDE6401和E6401P01版本。

升级过程中提示解压升级包失败，请检查安装包是什么原因

现象描述：升级过程中提示解压升级包失败，请检查安装包

可能原因：升级包名称发生变化

规避措施：升级包不能修改包名称（所有版本）。

影响版本：AFD所有版本。

集群部署通过web升级后进程启动失败是什么原因

集群部署模式下通过web进行系统升级，设备管理页面显示设备状态为自动关闭，需要先拆集群后单台升级，系统升级正常后在恢复为集群模式。

影响版本：AFDE6401和E6401P01版本。

导入license后显示剩余天数与license实际天数不符是什么原因

现象描述：导入license后显示剩余天数与license实际天数不符；

可能原因：1、设备日期不准确；

2、确认license生成时间不是当天生成；

规避措施：确认设备时间，生成license后当天导入

影响版本：AFD所有版本。

手动牵引10万条IP，显示操作失败是什么原因

"现象描述：手动牵引10万条IP显示操作失败；

可能原因：设备目前不支持一次性牵引条目过多。

规避措施：分批次进行牵引

影响版本：AFD所有版本。

添加用户信息，提示：登录名必须在6至20个大写小写字母或者数字组成，不能包含特殊字符，不能包含空格

现象描述：进入【系统配置-用户配置-用户】页面，添加用户，其中用户登录名输入一串数字

可能原因：用户登录名以数字开头

规避措施：用户登录名不能以数字开头

影响版本：AFDE6401和E6401P01版本。

系统升级20min停留在9%

可能原因：网卡设置页面没有配置网关

规避措施：升级前网卡设置页面配置网关并应用配置

影响版本：AFDE6401和E6401P01版本

AFD不支持四电千兆bypass插卡

升级到AFDE6401P02版本

影响版本：AFDE6401和E6401P01版本

告警取证记录和攻击日志时间不同步

告警取证记录晚于攻击日志1min

影响版本：AFD E6401P02版本

导入镜像/flow检测规则存在检测模块为空的情况

规避措施：导入检测规则之前先导入特征库

影响版本：AFD E6401P02版本

服务器列表显示说明

经过系统的流量存在标志位：syn\ack\rst

只要有syn，服务器列表只有TCP(SYN)列显示数据，其他为0

有rst\ack，服务器列表只有TCP(ACK)列显示数据，其他为0

license无效导入授权之后，服务器列表还是为空

可能原因：license无效时配置了规则以及其他信息

规避措施：导入license后，1、网卡设置页面重新应用配置；2、设备管理页面重新编辑保存设备信息

AFD服务器列表为空

可能原因如下，可逐一排查：

¡ license无效

¡ 监控口状态为down

¡ 设备状态-设备管理中设备状态为关闭

¡ 镜像模式下，监控ip范围未生效

AFD设备进行系统升级，升级页面10%之后页面显示为空，且web页面无法打开

现象描述：当前AFD设备版本号为AFDE6401P01或AFDE6401版本，进入AFD设备系统升级页面，选择非AFC E6401P06的升级包，点击系统升级，升级页面10%之后页面显示为空白，访问AFD web页面，显示404

解决方案：当前需要联系华三技术支持人员处理。目前已在AFD E6401P02版本添加相关校验。

2 攻击防护类FAQ

迅雷下载速度及网页打开慢怎么处理？

这种情况可能是触发了全局触发规则，从而被全局过滤规则模块拦截了部分流量。可以根据实际带宽要求，加大放宽全局触发规则【每秒tcp包数】、【每秒syn包数】和【每秒ACK&RST包数】的值。

具体操作如下：

（1）首先制定添加针对客户TCP高带宽业务的触发规则。选择【规则配置】-【触发规则】-【全局触发触发规则】 - 【添加】；

“每秒TCP包数”设为100000，

”每秒SYN包数”设为50000，

每秒ACK&RST包数“设为50000，

如果设定完包阈值之后还出现拦截现象，可以再适当调整。

（2）将该全局触发规则添加到指定的服务器IP上，在服务器列表中找到相应的IP，然后点击应用规则添加，在【编辑应用规则】-【全局触发规则】中选择“TCP高带宽触发”这条全局触发规则，保存即可。

UDP业务（视频、IM）客户反馈它的IP地址放到数据中心内时，业务跑不上去，只有加直通时才可以，需要如何处理？

业务IP加直通后恢复正常，是异常流量清洗系统拦截了，原因是客户的正常业务流量有点大，触发了全局过滤模块的UDP过滤规则，需针对该客户的UDP业务IP添加一条放宽UDP触发的全局触发规则。具体操作如下：

1、首先创建一条全局触发规则【配置规则】-【触发规则】-【全局触发规则】-【添加】，将每秒udp包数和每秒其它协议包数触发阈值调大些（根据客户业务情况来定），如每秒udp包数和每秒其它协议包数触发值调10万，名称为 UDP大带宽：【防护配置】-【规则配置】-【触发规则】下图所示：

图27 全局触发规则

2、然后在服务器列表中找到该UDP业务的IP ，添加一条应用规则，将应用规则里的全局触发规则改为UDP大带宽触发：【防护配置】-【全局状态】-【服务器列表】保存即可。

图28 触发规则应用

网站服务器被CC攻击，加HTTP小尾巴插件后无效果，动态白名单量很大，怎么解决？

更换HTTP插件验证方式，可以使用问题验证模式。具体做法如下：

第一步：

将所应用的WEB CC插件参数设置为：

2,0,0,0,30,0,0,0

将第一位设置成2，表示问题验证。

将第五位设置成30，表示有30个syn包才触发。可以适当调整。

第二步：

清空该服务器动态白名单。

如何封停所有服务器的常用VPN服务（如PPTP、L2TP、IPSEC等协议）？

PPTP正常运行时有2个连接，一个用于隧道控制，使用TCP协议，客户端端口随机，服务器端口为 1723。一个用于隧道数据传输，采用IP协议传输，IP协议号为 47。

l2tp 与pptp类似，它用UDP 进行隧道维护客户端与服务器端使用的UDP端口号为 1701。L2TP 隧道数据传输，采用IP协议传输 IP协议号为 50(ESP) 。

ipsec vpn 由2种协议实现认证（AH协议）和数据通信（ESP协议）。AH 为三层协议（即IP协议），协议号为 51。ESP 为三层协议，协议号为 50。

GRE 协议为三层协议（IP协议）协议号为47。

另外从上面亦可以看出 PPTP建立控制会话后，数据用GRE传输。l2tp建立控制会话后，数据用ESP传输。理论上封掉一个机房的显性vpn（有明显特征的vpn）只需做规则封掉相应的协议端口号就可以了：【防护配置】-【规则配置】-【过滤规则】

封PPTP：

图29 过滤规则

封IPSEC-AH：

添加一个防护规则，把协议号字段填写为33【防护配置】-【规则配置】-【防护规则】：

图30 防护规则

条件匹配则拦截。将此防护规则与协议包全为1的触发规则关联在一起，添加到服务器IP上。

过滤规则封AH：【防护配置】-【规则配置】-【过滤规则】

图31 过滤规则

域名白名单，某域名不在白名单内却可以打开是什么原因？

第一种原因：

先排查解析的IP是不是在异常流量清洗系统的服务器列表内。如果在，则查一下该IP是不是添加了直通规则，或者取消了域名模块。

第二种原因：

使用ipip.net或者17ce.com上测试一下，网站是不是全部都能打开。如果都打不开，则有可能是该客户的IP地址被加入了静态白名单中。

第三种原因：

检查域名白名单中的域名与实际域名是否一致，包括大小写和相近字母（如大写I和小写l）。

如何防御针对PC访问WEB服务器的CC攻击？

如果是针对web 80端口的攻击，可以使用系统规则集 S_HTTP NEW CC V2.1 来调用CC插件进行防护。该插件默认使用js认证，针对手机端不适用。HTTP-CC插件的各个参数说明如下：

默认值 0,0,0,0,1,1,0,0,0,0,0,0,0,0,0,0,0,0,0,0

1 验证方式 0:小尾巴1:按钮2:问题其它：按钮

5 syn每秒触发数

6 ack每秒触发数

如果是针对443端口的攻击，可以使用CTmanage插件，该插件可以防护空连接以及限制客户端与服务端建立的连接数。CTmanage 插件HTTPS防御参数值配置为 1,30,30,0,0,0,1，CTmanage有七个参数，各个参数说明如下：

第一位表示是否开启超出连接限制时加黑，置1表示加黑并释放置0表示只释放连接不加黑源IP

第二位表示空连接探测时间，即tcp双方建立连接后，在此段时间内没有数据传输，便判定为一个空连接

第三位源IP与服务器可以建立的连接上限，当一个源IP地址与服务建立的连接数超过此值时，如果参数一置为1时，源IP被加黑10000秒

第四位置0，保留

第五位置0，保留

第六位置0，保留

第七位置1开启延时提交，0表示不开启延时提交。（*串接场景下使用，旁路场景开启后会导致业务不通）

如何查看或导出服务器的攻击源地址、攻击源区域、攻击源线路等信息？

一：源ip地址查询及导出

(1)通过攻击统计来查看攻击源ip地址

打开异常流量清洗系统点击【报表】-【攻击统计】输入要查询的服务器ip及查询的时间段点击查询(可以选择攻击源显示条数),导出是点击"查询"按钮旁的导出按钮：【报表】-【日志中心】-【攻击统计】如下图所示:

图32 攻击统计

(2) 通过攻击日志查询

打开异常流量清洗系统点击【报表】-【攻击日志】输入要查询的服务器ip地址及查询的时间段，点击查询，导出是点击"查询"按钮旁的导出按钮；【报表】-【攻击日志】-【攻击日志】如下图所示：

图33 攻击日志

二：攻击源路线信息、区域查询及导出

打开异常流量清洗系统点击【报表】-【攻击统计】输入要查询的服务器ip及查询的时间段点击查询,导出是点击"查询"按钮旁的导出按钮：【报表】-【攻击日志】-【攻击统计】如下图所示:

图34 攻击源统计

如何通过应用规则为服务器限速？

（1）首先，登录异常流量清洗系统页面，在【全局状态】-【服务器列表】中，找到目标ip 并点击一下该 ip。

（2）找到应用规则模块，点击添加，接着在每秒输入限制流量或每秒输出限制流量功能中输入需要限速的流量值即可，输入前要把-使用系统流量限制打勾去掉：【防护配置】-【规则配置】-【应用规则】具体操作如下图所示：

图35 应用规则

（3）最后激活保存即可。

如何屏蔽海外IP访问（2种方式有什么异同，如何验证）？

1、通过上传国内网段设置

打开异常流量清洗系统点击【规则配置】-【应用规则】点击【添加】,填写你要屏蔽海外访问服务器的ip地址,同时在全局过滤模块勾选可信源检查点击保存,如下图所示名称自定义:

图36 应用规则封海外IP

2,通过IP段地理位置信息设置

打开异常流量清洗系统点击【规则配置】-【过滤规则】点击【添加】,名称自定义,外部地址进行排除,内部地址写需要屏蔽海外访问服务器的ip地址,规则写拦截之后点击保存,如下图所示:

图37 过滤规则封海外IP

3 相同点;

都必须在异常流量清洗系统-系统参数里导入相应的文件及设备后台开启相应的功能如下图所示: 【防护配置】-【系统配置】-【国内网段设置】

图38 国内网段设置

4 不同点

(1)过滤规则是实时生效的，不需要触发条件

(2)应用规则调用的可信源检测,需要触发应用服务器上的全局触发规则才能生效。

(3)使用的IP地址库不一样：

过滤规则使用 --【防护配置】-【系统配置】-【IP段地址位置信息】

可信源检测使用 --【防护配置】-【系统配置】-【国内网段设置】

5 验证

可以跳到国外服务器上去访问测试服务器。

如何封停服务器TCP或UDP业务端口？

用封停服务器UDP业务端口来举例说明:

1：异常流量清洗系统封停服务器UDP单一业务端口

如服务器2.2.2.2 端口80

打开异常流量清洗系统点击【规则配置】-【过滤规则】点击【添加】填写如下图后点击保存

图39 过滤规则封TCP

名称:自定义

内部地址:2.2.2.2 (要封UDP服务的ip地址)

协议:选择UDP

外部端口类型:选择任何端口

内部端口类型:选择单一端口

内部端口:80(填写要封的端口)

行为规则:勾选拦截

2：异常流量清洗系统封停服务器UDP业务端口范围

如服务器2.2.2.2端口70-170

打开异常流量清洗系统点击【规则配置】-【过滤规则】点击【添加】填写如下图后点击保存

图40 过滤规则封UDP

名称:自定义

内部地址:2.2.2.2 (要封UDP服务的ip地址)

协议:选择UDP

外部端口类型:选择任何端口

内部端口类型:选择端口范围

内部端口:70-170(填写要封的端口范围)

行为规则:勾选拦截

3,异常流量清洗系统封停服务器UDP业务不连续的端口

如服务器111.177.18.42 端口1-52,54-65535打开异常流量清洗系统点击【规则配置】-【过滤规则】点击【添加】填写如下图后点击保存

图41 过滤规则

名称:自定义

内部地址:2.2.2.2 (UDP服务的ip地址)

协议:选择UDP

外部端口类型:选择任何端口

内部端口类型:选择端口列表

内部端口:1-52,54-65535 (填写端口范围)

行为规则:勾选拦截

如何封服务器IP（不让服务器IP访问外网，同时也禁止外部地址访问服务器）?

打开异常流量清洗系统点击【规则配置】-【过滤规则】点击【添加】按钮在名称一拦中自定义名称,在外部地址类型里选择任何地址.内部地址里选择单一地址,然后在内部地址里填写需要封停的服务器地址,协议里选择IP,方向选择里勾选接收及发送行为规则里勾选拦截,并勾选激活按钮：【防护配置】-【规则配置】-【过滤规则】

图42 封堵海外IP

如何封客户端IP地址?

情况一，客户端地址不允许访问数据中心内所有的服务器

如，客户端地址为 1.1.1.1，不允许改 ip 访问数据中心内所有的服务器，直接手动把该 ip 加入静态黑名单即可。

情况二，客户端地址不能访问指定服务器

如，客户端 ip 还是1.1.1.1，指定的服务器 ip 是2.2.2.2，这时，就不能直接把客户端的地址加黑了，就要给指定服务器 ip 2.2.2.2加一条过滤规则即可，客户端和服务端地址单一地址，方向选择勾选，接收和发送，行为规则选择拦截，最后确定即可：【防护配置】-【规则配置】-【过滤规则】

图43 封客户端IP

服务器列表内存在大量非内网地址，操作卡顿是什么原因?

这种情况为串联环境中会出现的现象：原因是物理线路的内外网口光纤接反导致。

AFD设备手动引流牵引某IP后再将该IP手动牵引进黑洞，为什么交换机只显示引流牵引，不显示黑洞牵引?

进入交换机查看该IP的路由，路由优先级高的一条生效，优先级低的不生效，若删除优先级高的路由则优先级低的路由生效

AFD设备ACL牵引页面显示成功但是实际不生效是什么原因?

这种情况一般为AFD设备下发ACL命令成功，在交换机中能够查看到ACL，但是未将该ACL应用到网口导致

AFD设备在镜像模式下将某IP牵引进黑洞后为什么服务器列表中还会有该IP的流量?

因为AFD设备在镜像模式下只是将交换机的流量镜像过来，镜像口输入输入的流量都会显示在服务器列表中，而一般情况下流量是经过镜像口进入交换机后才被丢掉，所以AFD设备的服务器列表中会显示被牵引进黑洞的IP流量。

热门推荐

热门推荐

H3C服务器

HPE服务器

热门推荐

H3C存储

HPE存储

热门推荐

商用台式机

商用笔记本

商用显示器

配件

热门推荐

热门推荐

智能终端

技术解决方案

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

专业安全服务

安全运营服务

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

技术支持

自助服务

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

公司刊物

加入我们

国家/地区

H3C SecPath AFC2000-G2系列异常流量清洗系统 用户FAQ(E6401)-5W111

目录

用户想通过过滤规则实现某个服务器地址外部无法ping通它，它却可以ping通外网，需要如何设置？

设备检查中MAC地址全为0是什么原因？

IP动态黑名单、动态白名单、静态黑名单、静态白名单有什么区别？

如何配置服务器仅允许指定国家或地区的IP地址访问？

旁路模式牵引口或源口回注端口上一跳地址ping不通如何解决？

license申请时提示“根据设备信息文件生成设备S/N时出错，请检查您的设备信息或设备文件是否正确”

license配置页面显示信息为空

web页面系统升级20min之后，进度依旧为0%

web页面修改账户密码之后，串口命令行登录失败

版本升级过程中页面约30秒打不开是什么原因？

AFC设备插拔管理口网线后管理口IP丢失怎么解决

用户输入特定页面输入正确web登录密码后提示“提交失败”

版本升级过程中页面约30秒打不开是什么原因？

升级后服务器列表不显示IP怎么解决？

P02版本各型号设备支持的网络通道数是多少？

系统通过“https://IP/role/”切换为“节点”后，登录页面显示404：

页面出现404报错无法返回登录怎么解决？

设备旁路部署配置PBR 引流不生效怎么解决？

Web页面及串口命令行网口显示不全是什么原因？

Bypass插卡插在不支持的插槽上，网口有时可以up，有时不能up是什么原因？

串联设备开启端口聚合后网口频繁up/down是什么原因？

全局syn flood参数已配置为0，但是当有syn flood攻击时，依然会拦截syn flood攻击是什么原因？

登录浮动管理IP后，点击应用网口配置后上下联的长ping会断几秒钟是什么原因？

集群部署时管理设备与节点设备调换后，页面显示牵引模块配置为空，业务流量仍然被牵引到AFC设备是什么原因？

串联部署环境down其中一对链路，网络会断是什么原因？

【系统配置-平台设置-系统升级】页面，上传bin包后，进度条不到5%，提示“解压升级包失败，请检查安装包”

集群部署通过web升级后进程启动失败是什么原因？

P03版本升级后页面显示100%，90秒内页面显示空白是什么原因？

命令行配置错误管理口IP后无法修改

vlan接口配置绑定接口为聚合口，但是配置不生效是什么原因？

流量日志与CPU内存日志查询后取消其中一个选项（如CPU余量、内存使用率或输入、输出）后移动鼠标浮动信息不显示或不再改变怎么解决？

登录开启高可用的两台设备，web页面报错显示“登录失败”

导入或新增相同客户端IP的静态黑名单后，数据检查提示：同步失败

旧版本设备升级至P04版本后bond模式显示为升级前模式，但下拉框只有动态和静态是什么原因？

CPU占用率很高是什么原因？

导入license后显示剩余天数与license实际天数不符是什么原因？

添加bgp路由后点击应用配置后进程消失是什么原因？

H3C SecPath AFC2000-G2系列异常流量清洗系统用户FAQ(E6401)-5W111