某企业内网部分可访问部分不能访问XX网站故障

iejtqy

网络拓扑简化后大致如下图：
       图1

拓扑说明：
1、出口防火墙NAT内部网络访问互联网。
2、上网行为网桥部署在网部中。
3、内网访问互联网的用户大致在5900左右

故障现象：

内网部分PC可访问www.miit.gov.cn,部分内网PC主机无法访问。无法打开网站的主机IE显示为无法打开该网站。

常规排查已排除行为管理策略对内网用户的阻拦。

故障分析：

1、从行为管理的内网口捕获的数据分析交互来看，客户端在建立完成三次握手后，发送的GET请求，没有得来网站的响应，重传5次未果后，服务器主动结束了连接。如下图，

      图2

同样在行为管理的WAN口方向捕获的数据如上图2数据交互数据是一致的，说明行为客

理未对客户端的GET请求阻断拦截。如下图3

      图3

2，从以往的分析经验让我习惯性的查看了客户端与网站之间协商的MSS值，如下图4

从交互协商的MSS来看，网站与PC端正常情况下会以两端协商最小的MSS值来做为两端之间传输数据的大小。

那么，在该案例中，为什么PC客户端为什么会发送的数据会超过两端协商的MSS值216字节的GET请求呢？

3、为了对比分析，我们同时还捕捕获了能正常访问该网站的数据交互如下图。


  能正常访问该网站的PC客户端与网站协商的MSS值是一样的，我就不截图了，从上图我们可以看出PC客户端的GET请求数据并未超过两端协商的MSS值。

4、该问题还未得到解决，特发上来让大家帮忙分析下原因，同时附上故障的数据包。

yang8766

这个服务器的回包，TTL变化太大了，一下54，一下246几，就算是路由线路不稳定，也不会差这么多，一看就是会话劫持了。你看一下能上网的主机，服务器回包TTL大小，和故障的对比，算一下跳数。总之有一个TTL值的包是伪造的，你对比正常的就知道了。有可能是对方安全设备或者是中间设备BUG。我之前遇到过。

yang8766

[img][/img]

yang8766

另外，也许是你们NAT之后的公网源IP对这个网站页面请求量过大，那边的安全设备认为是异常，或者是负载均衡器之类的代理上网方式，回复关闭连接做出的反应，所以TTL才会变化这么大。

iejtqy

4# yang8766
分析时我有对比过正常与异常的数据包的TTL是一致的。所以我觉得这个TTL跟内网无法访问该网站没有关联应该是正常的，包括我在自己公司捕获的数据的TTL，三次握手服务器返回的TTL与后续服务器返回数据时的TTL也是不一致的。我觉得服务器返三次握手到后续返回数据时的TTL不一致问题，应该是客户端与网站在建立三次握手时，服务器前端应该有负载均衡或是其它的类似负载均衡的设备可代理后端服务器与客户端先建立三次握手引起的。以下是我自己在公司捕获的正常数据包

孤独的意尹者

为何没在防火墙进出口抓包作对比分析？

yang8766

4# yang8766
分析时我有对比过正常与异常的数据包的TTL是一致的。所以我觉得这个TTL跟内网无法访问该网站没有关联应该是正常的，包括我在自己公司捕获的数据的TTL，三次握手服务器返回的TTL与后续服务器返回数据时 ...
iejtqy 发表于 2014-9-11 08:44

刚刚的也在自己电脑上试过那个网站了，三次握手和数据包响应的时候，TTL确实不一样，应该是负载均衡之类代理。这个可能就是因为你们同一个公网IP对网站请求量过多，所以对方给的MSS很小，以减少负荷。但是HTTP GET 请求h T P 最小字段 ，已经超出协商的MSS，所以被代理设备过滤掉了

yang8766

[img][/img]

iejtqy

6# 孤独的意尹者
我们没有权限在防火墙上抓包，让用户自己测试，用户说那台防火墙没有法抓包。

katrinacamille

不错,很有启发

yang8766

楼主解决了没有呢？

iejtqy

因为前置防火墙也不能抓包，所以也不能抓包分析，问题也没有办法在分析解决。用户有另外一条代理线路，不能访问的用户就走这条线路。