デッドピア検出とトンネルモニタリング - Knowledge Base - Palo Alto Networks

デッドピア検出とトンネルモニタリング

439105

Created On 09/25/18 17:27 PM - Last Modified 03/28/25 14:36 PM

Symptom

概要

デッドピア検出 (DPD ) に記載されている機能を指します。RFC 3706 、これは無効な Internet Key Exchange を検出する方法です (IKE /Phase1) ピア。トンネル監視は、トラフィックが問題の IPSec トンネルを正常に通過していることを確認するパロアルトネットワーク独自の機能です。PING構成された宛先までトンネルを下ります。トンネル監視を「プロファイルの監視」と組み合わせて使用すると、トンネルインターフェイスをダウンさせてルーティングを更新し、トラフィックがセカンダリルートを介してルーティングできるようにすることができます。トンネル監視は必要ありませんDPD. Dead Peer Detection は、トンネルの両側でアクティブまたは無効にする必要があります。DPD有効にして一方を無効にした場合、VPN信頼性の問題。

Resolution

詳細

デッドピア検出

DPD セキュリティの活性を判断するために使用される監視機能です。SA (保安協会とIKE、フェーズ 1)

DPD ピアデバイスがまだ有効なIKE-SA. 定期的に「ISAKMP R-U-THERE 」パケットをピアに送信すると、ピアは「ISAKMP R-U-THERE-ACK 」の承認。

Palo Alto Networks には現在、関連するログがありませんDPDパケットですが、デバッグパケットキャプチャで検出できます。以下はPCAPピアデバイスから:

3 月 4 日 14:32:36 ike_st_i_n: 開始、doi = 1、プロトコル = 1、コード = 不明 (36137)、spi[0..16] = cd11b885 588eeb56 ...、data[0..4] = 003d65fc 00000000 ...
3 月 4 日 14:32:36DPD ; EoL の更新 (P2 通知
3 月 4 日 14:32:36 受信IKE DPDR_U_THERE_ACK からIKEピア: 169.132.58.9
3 月 4 日 14:32:36DPD : ピア 169.132.58.9 はUPステータス値: 0。

のDPDクエリと遅延間隔は、次の場合に構成できます。DPD Palo Alto Networks デバイスで有効になっています。 DPD を壊しますSAピアが応答しなくなったことを認識すると。

IKE ゲートウェイの詳細オプション

ノート：のDPD「永続的ではなく」、フェーズ 2 のキー再生成によってのみトリガーされます。これは、フェーズ 2 が稼働している場合、Palo Alto Networks は次のことを確認しないことを意味します。IKE-SAアクティブです。フェーズ 2 でキーの再生成をトリガーし、DPDフェーズ 1 を検証するIKE-SA、トンネル監視を有効にします。

トンネル監視

トンネル監視は、IPSec トンネルを介した接続を確認するために使用されます。トンネルモニタープロファイルが作成されると、トンネルが利用できない場合の 2 つのアクションオプションのいずれかが指定されます。