Найти свободные соединения в межсетевом экране Check Point

9

У меня есть брандмауэр, где я должен уменьшить время ожидания сеанса TCP с 24 до 1 часа.
Прежде чем я сделаю это, я пытаюсь определить, не нарушит ли это какие-либо приложения, то есть приложения, которые имеют сеансы, которые могут простаивать в течение длительного времени, но не могут восстановить соединение, если брандмауэр его разорвал.
Поэтому я хочу отфильтровать соединения из таблицы соединений, которые простаивают более 60 минут.

Брандмауэр - CheckPoint R75.40, и я просматриваю таблицу соединений с помощью команды "fw tab -t connections -u". Я предполагаю, что информация, которую я хочу, находится в выводе, но что я ищу?

firewall checkpoint sk0yern
источник
Какова команда, чтобы сделать это изменение, в конце концов?
LAF
Не уверен, что вы можете сделать это из командной строки, но в графическом интерфейсе перейдите в раздел Политика - Глобальные свойства - Проверка с учетом состояния.
sk0yern

Ответы:

4

Команда для этого будет: 

fw tab -t connections -u -f | grep 86400 \
 |awk '{ split($41,a,"/"); if( a[1] < 82800) print $2,$9,$13,$15,$41; }'

86400 - текущее время ожидания сеанса TCP в секундах.
Спасибо toottoot за -fфлаг.

sk0yern
источник
3

Если вы хотите использовать командную строку, вы можете просто добавить флаг -f к команде, она отформатирует вывод в читаемый текстовый формат. «Fw ​​tab -t connections –u -f»

Другой вариант - использовать Smartview Tracker и проверять активные соединения на вкладке «Активные». Будьте осторожны, если у вас есть проблемы с производительностью, просмотр активных соединений значительно увеличит нагрузку на процессор на шлюзе.

Еще один способ - включить учет (столбец «Отслеживать» -> «Другие» -> «Учетная запись») для правил, которые могут соответствовать длинным незанятым соединениям, в этом случае продолжительность соединения будет отображаться в файле журнала после закрытия соединения. Используя журналы, вы можете запустить собственный отчет с помощью инструментов Check Point или просто вручную отфильтровать и просмотреть их. Это, пожалуй, лучший вариант, если у вас есть время и вы хотите получить наиболее точные результаты.

toottoot
источник
Флаг -f определенно помог, спасибо!
sk0yern