Le mode d'assistance gracieux OSPF est sorti en raison du changement de topologie

16203

Created On 09/25/18 17:15 PM - Last Modified 06/12/23 22:26 PM

Symptom

Symptômes

Même si le pare-feu de Palo Alto Networks est configuré en mode d'assistance OSPF gracieux, lorsque le voisin OSPF est en panne pour une courte période de temps ou n'est pas disponible pour de courtes intervalles, le pare-feu va quitter le mode d'assistance et de reprendre les opérations normales avec un erreur dans le journal système: "le mode d'assistance gracieux est sorti en raison du changement de topologie".

Diagnostic

Lorsqu'un voisin OSPF est en panne pendant une courte période de temps ou n'est pas disponible pour de courtes intervalles, il envoie Grace CVL (LSA type 9). Sur la réception de Grace CVL, le pare-feu continue à manintain le ADJENCY OSPF en état complet. Toutefois, dans certains cas, même si le pare-feu est configuré en mode d'assistance gracieux OSPF, il supprime la LSA gracieuse, quitte le mode d'assistance et reprend les opérations normales.

Il existe de nombreuses raisons courantes pour lesquelles le pare-feu quitte le mode d'assistance OSPF, mais la raison la plus fréquente est la modification de la topologie.

Resolution

Dans certaines conceptions réseau, vous pouvez ignorer en toute sécurité la modification de la topologie du réseau pendant l'événement de basculement en fonction du flux de trafic réseau. Par exemple, les volets des interfaces out-of-the-Way n'affectent pas le trafic réseau circulant dans le périphérique défaillant. Ainsi, dans ce scénario, nous pouvons empêcher le pare-feu de quitter le mode d'assistance gracieux OSPF.

Pour empêcher le pare-feu de quitter le mode d'assistance gracieux OSPF en raison d' une modification de topologie, nous devons désactiver la fonctionnalité «vérification stricte LSA» à partir des paramètres avancés OSPF.

Suivez les étapes ci-dessous pour désactiver la «vérification stricte LSA».

Meilleures pratiques

Examinez de près l'impact du changement de topologie dans votre conception de réseau avant d'effectuer cette modification, car des modifications inappropriées conduiront à un routage OSPF incohérent.

De l'INTERFACE graphique

Accédez au réseau > routeurs virtuels.
Sélectionnez le routeur virtuel approprié > OSPF > Advanced > décochez la case «vérification stricte LSA».
Validez les modifications.

Strict_LSA. png

De la CLI :

Pare-feu > configurer

Passer en mode de configuration

[modifier]

Firewall # set réseau Virtual-Router protocole par défaut OSPF gracieux-restart strict-LSA-checking no

Pare-feu # Commit