备份服务器位于一个VLAN上,目标服务器位于另一个VLAN上,Cisco ASA防火墙提供它们之间的唯一链接.这是设计使然,因为备份服务器将支持多个客户端,并且每个客户端必须位于其自己的VLAN上以防止它们相互访问.我已将建议的端口添加到防火墙,以至少允许代理与媒体服务器通信.
备份启动得足够好(实际上同一服务器上的小型Oracle数据库完成没有问题),但是一个200GB的数据库,显然需要几个小时才能完成,无法完成.
我认为问题与http://www.symantec.com/business/support/index?page=content&id=TECH59632有关,它表示在备份开始时在端口5633上建立了CORBA会话,并在每个RMAN操作之前使用,但是在传输数据时,CORBA会话的套接字不接收任何数据包.由于防火墙上的连接超时为60分钟,因此CORBA会话被丢弃,当RMAN代理尝试执行其下一个操作时,整个过程会发生爆炸.赛门铁克表示此问题已在早期版本的Backup Exec中修复,但未详细说明任何其他设置以强制执行此问题.
将防火墙上的连接超时设置为足以覆盖备份窗口的内容(例如12小时)似乎是错误的做法,因为它是一个属性范围的更改,这也会影响连接的生命周期(例如)Web请求到另一个客户端的Web服务器.
将Linux服务器移动到与备份服务器相同的LAN是不可能的.
我不是Linux大师,但我大致了解我的方式.到目前为止,我已经尝试开始使用libkeepalive(http://libkeepalive.sourceforge.net/)强制beremote进程’套接字创建使用KEEPALIVE TCP标志,但快速netstat -top表明它没有采取.要么我错误地使用了libkeepalive,要么它对beremote二进制文件不起作用
我想我正在寻找一个适合我所处环境的选项.我想我正在寻找以下一个或多个：
>一种配置BE代理以保持连接活动的方法？
>将keepalive标志注入现有TCP连接的方法(例如通过cronjob)？
>告诉思科设备增加特定源/目标(可能是策略映射)的连接超时的方法？
欢迎任何/所有(其他)想法……
J.
RE：@Weaver的评论
根据要求,类映射,策略映射和服务映射条目……
class-map CLS_INSPECTION_TRAFFIC match default-inspection-traffic class-map CLS_ALL_TRAFFIC match any class-map CLS_BACKUPEXEC_CORBA description Oracle/DB2 CORBA port for BackupExec traffic match port tcp eq 5633 ! ! policy-map type inspect dns PMAP_DNS_INSPECT_SETTINGS parameters message-length maximum client auto message-length maximum 1280 policy-map PMAP_GLOBAL_SERVICE class CLS_INSPECTION_TRAFFIC inspect dns PMAP_DNS_INSPECT_SETTINGS inspect ftp inspect h323 h225 inspect h323 ras inspect rsh inspect rtsp inspect esmtp inspect sqlnet inspect skinny inspect sunrpc inspect xdmcp inspect sip inspect netbios inspect tftp inspect ipsec-pass-thru inspect icmp inspect snmp class CLS_BACKUPEXEC_CORBA set connection timeout idle 1:00:00 dcd class CLS_ALL_TRAFFIC set connection decrement-ttl !
解决方法
全局超时conn是TCP虚电路(会话)空闲计时器,默认为60分钟.全局超时udp用于UDP漏洞,默认为2分钟.全局超时xlate用于清除在conn超时后徘徊的翻译. The conn (TCP) timeout takes precedence over the xlate timeout.下一段进一步解释了conn和xlate定时器之间的关系.
如果conn通过TCP拆卸成功拆除,conn和xlate将继续使用它(如果动态xlate,静态NAT和静态PAT xlate从未被删除).如果conn超时,则考虑xlate计时器.如果xlate首先超时(你将它设置为真正的低),它将不会取消连接,直到conn超时.
ASA有几种方法可以处理不同的超时. Conn是一个可以根据类映射覆盖全局设置的地方 – 如果可能的话,这应该优先于增加全局设置.
The other interesting feature the ASA possesses is dead connection detection — DCD. DCD允许您将[全局] conn超时保持在60分钟(默认值),当达到60分钟时 – ASA中间人欺骗将每个端点的数据ACK作为另一个端点.空数据用于防止序列号递增.如果双方都响应连接,则空闲计时器重置为0并再次开始.如果在给定时间段内在任意一次尝试(可配置)之后没有响应,则conn被移除并且xlate定时器如上所述获得相关性.
我建议配置一个类映射并将其添加到启用DCD的策略中.您可以使用ACL或端口(其他也可用).使用该端口快速,简单,如果您确定TCP / 5633是问题所在,它将运行良好.
我已经使用了下面的global_policy,但可以随意调整.
class-map BE-CORBA_class description Backup Exec CORBA Traffic Class match port tcp eq 5633 policy-map global_policy class BE-CORBA_class -->::Choose one below::<-- set connection timeout idle 1:00:00 dcd --> for 8.2(2) and up set connection timeout tcp 1:00:00 dcd --> for prior to 8.2(2) service-policy global_policy global
@评论
According to the reference guide – “每个要素类型的数据包只能匹配策略映射中的一个类映射.”
关键词是粗体.跨越接口的数据包可以匹配策略映射中的多个类,但前提是这些类使用不同的“功能”.如果您只是在上述链接中向上滚动,您将看到列出的各种功能.整页都是MPF花絮的金矿.
正如您所提到的,您匹配任何类映射,然后在策略映射中引用为类 – 如果您在该策略映射类中执行任何其他TCP和UDP连接限制和超时更改,则后续类匹配流量的映射 – 如果在策略映射中设置 – 将不会对该数据包执行TCP和UDP连接限制以及超时更改.
如果您发布所有ACL,策略映射和服务策略,我们可以确定.
