Juniper防火墙session会话数过高的解决方法

---

前言

最近公司里新上了一台深信服的上网行为管理，设备上架后公司的网络状况急转直下，数据丢包率在3%左右，放在在云上的业务系统也因为网络状况老是掉线

---

提示：防火墙是一台9年前的Juniper 140,设备比较老，但是性能各方面还不错。

一、会话数量急剧增加

几天前我登录防火墙进行常规的检查，发现防火墙的sesion哪一栏爆红了。当时怀疑是中病毒了，于是用CRT登录Juniper,检查会话数。本来以为***get clern session*** 清除一下会话数就好了。结果草率了！不到两分钟会话数又满了。

发现里面重复的出现了172.16.7.3（现在是看不到了，已经处理掉了），
这个IP是上网行为管理的地址，后来在上网行为管理里进行数据抓包 ，用的软件连接https://www.liliuping.com/lee/36.html
NSSA不知道是哪个大神写出来的可以自动对会话数进行排名使用方法和软件下载都在这个连接里：https://www.liliuping.com/lee/36.html
会话数排名最高的是 172.16.7.3这个地址

二、会话数过量的解决办法

1、防火墙NAT的子网掩码过大

先找到发送扫描的地址 ，我检查了防火墙的NAT发现7个VLAN 段就一条NAT 而且子网掩码是255.255.0.0,直接改成一个VLAN 一个NAT。

2、最重要的原因——上网行为管理的全网段的实时扫描

深信服的上网行为管理在实时的进行全网段的扫描，他不是按照7个网段扫描而是172.16.0.0~172.16.255.254 一共多少个IP地址就不算了 ，导致会话数一下就满了。不用说 果断在上网行为管理上吧全网段扫描关闭，改成一个网段一个网段的扫描。
改完之后ping百度500个包丢包率为0%
问题解决 会话数恢复到正常

**

总结

**
1、运维工作复杂，如果经验不足的话遇到这些事情是没有什么头绪的，最好的办法就冷静下来分析现象，同时也要增加自己的技能比如说抓包分析，交换路由要懂一点；
2、找排错方向，比如这个例子中首先怀疑的是中病毒了，但是经过一段时间的论证并不是中毒，这个时候就需要迅速的改变思路，它是不是环路了，是不是路由写错了；总结就是不能一棵树上吊死，及时的转变方向，只有找对问题在哪才能更快的解决。

**

希望这篇文章能够对您有参考作用*！*

点个赞吧！！！

**