一起pfSense防火墙状态表占用过高问题的解决过程

网络情况

pfSense防火墙(型号:Super Micro XG-1541),两条联通、两条电信共四条线路做负载平衡和故障转移,出口总带宽1.5G;局域网分为两个网段,LAN1为管理接口,LAN2接核心交换机,接入终端数量约500台左右。

故障表现

最近防火墙状态表一直不太正常,状态条目数量维持在60-70万条左右。与初期安装时的10万条相比,增长过大,对网络访问速度造成一定的影响。

原因分析

经了解,公司最近进行了监控设备改造,为方便查看,将监控视频接入了办公网络使用的交换机。通过查看状态表可以发现,以36.103开头的IP地址产生了很多的对外连接,该IP段为监控设备所使用的IP段。

解决方法

考虑到监控设备无需对外产生任何连接,计划在防火墙中对该部分IP地址进行拦截,阻止其连接外部网络。同时对内部其他非对外连接的网段也一并进行阻止。

1、添加要阻止的IP地址别名

导航到防火墙>别名管理,添加一条新别名,将要阻止的网络添加到别名中。

2、添加阻止该别名的防火墙规则

导航到防火墙>规则策略,在LAN2接口上添加一条阻止规则。注意源地址选前面建立的别名,规则设置如下:

添加完成后的防火墙列表:

检查效果

应用防火墙规则后,再查看防火墙状态表,已经回归正常水平。

另外,也可以在核心交换机上设置ACL,对非上网IP进行管理,阻止其与防火墙的连接,也可以减少对状态表的占用。

发表评论

电子邮件地址不会被公开。 必填项已用*标注