TCP paquetes caídos Firewall debido a la opción de marca de tiempo no válida

• TCP SYN y TCP SYN / los paquetes no son ACK caídos por el y se firewall remiten como se esperaba
• Firewallcae aleatoriamente paquetes y incrementos de "tcp_invalid_ts_option" del contador global.

      > mostrar contador global filtro de filtro filtro sí delta sí

Contadores globales:

Tiempo transcurrido desde el último muestreo: 3.298 segundos

nombre de la categoría de gravedad de la tasa de valor descripción del aspecto

--------------------------------------------------------------------------------

tcp_drop_packet 1 0 advertir paquetes tcp pktproc caídos debido a un error en el reensamblaje tcp

tcp_invalid_ts_option 1 0 info tcp pktproc tcp paquetes con opción de marca de tiempo no válida >>>>>> incremento en contador

• Refiera por favor el documento abajo que explica cómo marcar el contador global para un tráfico específico:

• TCP la opción de marca de tiempo se intercambia entre el cliente y el servidor
• La opción "Comprobar marca de tiempo" está activada firewall

• Firewall caerá todos los paquetes, excepto los paquetes syn y syn-ack TCP donde el TSVal (Valor de marca de tiempo) es cero.
• Para marcar el TSVal en un TCP paquete, refiera la captura de pantalla a continuación:

• De forma predeterminada, la opción "Comprobar marca de tiempo" está habilitada. Por lo tanto, el firewall caerá este paquete. Podemos comprobar la configuración ejecutando el siguiente comando en CLI

      > mostrar el estado tcp en ejecución

sesión con trayectoria asimétrica : inspección de derivación

Omitir si OO se alcanza el límite de cola: no

Favorezca nuevos datos de seg : no

Datos urgentes : claros

Soltar si cero después de la bandera urgente clara : sí

Marque la opción de marca de tiempo : sí -----> Esta opción está establecida en Sí de forma predeterminada

Permitir desafío Ack : sí

Eliminar MPTCP opción : sí

• Según el diseño actual, el firewall caerá los paquetes con TSVal fijado a 0.
• Si se trata de tráfico legítimo y desea permitir, puede desactivar el "Comprobación de marca de tiempo".

• Desde CLI :

      > configurar
# establecer la configuración de deviceconfig tcp check-timestamp-option no #
commit
 

• Desde GUI :