Implementieren ECMP (Load Balancing) auf der Firewall
Symptom
Equal Cost Multipath ( ECMP ) ist eine neue Funktion, die in PAN-OS 7.0 eingeführt wurde. Es unterstützt Multipath "gleich Kosten" Wege zum selben Ziel gehen. Es gibt maximal 4 gleiche Kostenpfade unterstützt
Ohne diese Funktion, Wenn es mehrere gleiche Routen zum gleichen Ziel gibt, wählt der virtuelle Router eine dieser Routen aus der Routingtabelle aus und fügt sie seiner Weiterleitungstabelle hinzu; er verwendet keine der anderen Routen, es sei denn, es gibt einen Ausfall in der gewählten Route.
ECMP Der Lastenausgleich erfolgt auf Sitzungsebene, nicht auf Paketebene – der Beginn einer neuen Sitzung ist, wenn der firewall ( ) einen Pfad mit gleichen Kosten ECMP
wählt. ECMP firewall
Environment
- PAN-OS 7,0
- ECMP (Equal Cost Multi Path)
Resolution
Topologie
Konfiguration der Netzwerkschnittstelle:
Hinweis: ethernet1/1 und ethernet1/11 sind Schnittstellen, die ISP in verschiedenen Zonen L3-Untrust bzw. konfiguriert VPN sind. Diese Schnittstellen können jedoch in derselben Zone konfiguriert werden, auch route
Konfiguration mit beiden Standardrouten mit "gleichen Kosten":
NAT policyum den Datenverkehr über das Internet leiten zu können:
Hinweis: Wenn sich beide ISP Schnittstellen in derselben Zone befinden, müssen Zielschnittstellen wie im folgenden Screenshot hinzugefügt NAT policy werden:
policy Sicherheitskonfiguration, um den Datenverkehr zuzulassen: (deckt beide Szenarien
ab, wenn sich Schnittstellen in derselben oder einer anderen Zone befinden) Aktivieren auf ECMP firewall :
Hinweis:
- Max Pfad 2 bedeutet, dass nur 2 gleiche Kostenpfade in der Tabelle installiert FIB werden. Wenn mehr als 2 kostengleiche Pfade in der Tabelle installiert werden FIB müssen, ändern Sie den Wert Max Pfad. Max. unterstützter Wert ist 4.
- Die Lastenausgleichsmethode kann je nach Bedarf ausgewählt werden. Für weitere Informationen zum Lastenausgleichsalgorithmus klicken Sie bitte hier
- Aktivieren Sie Die symmetrische Rückgabe, wenn das Antwortpaket dieselbe Schnittstelle gesendet werden soll, in die das Anforderungspaket einging.
Additional Information
Überprüfen ECMP sie funktioniert:
Überwachen > Verkehrsprotokollen (mit unterschiedlicher Zone)
Monitor > Verkehrsprotokolle (mit derselben Zone)
Route installiert für hat ein " " Flag in ECMP E ihm:
Hinweis: Für detaillierte Informationen zu ECMP , klicken Sie bitte hier