VPNパロアルトネットワークファイアウォールとシスコ間のトンネルモニタリング ASA が機能しない

• PA-3260
• PAN-OS v.8.1.7
• シスコ ASA
• トンネル監視
• 複数のプロキシ ID

IDパロアルトネットワークには firewall 同じトンネルにバインドされた複数のプロキシペアがありますが、設定では1つの宛先しか許可されず IP 、デフォルトではトンネルインターフェイスを送信元として選択するため、1つのトンネルモニタのみを有効 IP にできます IP 。

複数のプロキシ ID シナリオでは、複数のフェーズ 2 SA が作成され、各 Proxy- ID ペアが設定され、同じトンネルにバインドされます。 トンネルモニタリングが有効な場合、パロアルトネットワーク firewall スは、同じトンネルインターフェイスにバインドされたすべてのフェーズ2 SAを介して同じモニタパケットを送信します。

ASAプロキシ ID と「対象トラフィック」の厳格なチェックを実施します。 興味深いトラフィックとは、シスコが通過するトラフィック ASA を指 SA します。どちらかの端にあるモニタ IP は、対象トラフィックまたは実際のプロキシ ID の一部である必要があります。

このモニタ パケットに一致しない SA の場合、 ASA パケットは廃棄され、パロアルトネットワークス firewall は応答を受信しなかったので、 SA キーが再設定されます。

パロアルトネットワークスデバイスは、トンネルインターフェイスのから監視パケットをソースすることしかできません IP . パロアルトネットワークスデバイスは、トンネルごとに監視できますが、ベースごとに監視することはできません SA 。

1. パロアルトネットワークス firewall では、すべてのProxy- に対して新しいトンネルインターフェイス ID を構築し、明示的なフェーズ 2 SA が作成され SA 、1 つのトンネル インターフェイスに 1 つだけバインドされるようにします。
2. IPその Proxy- で指定したローカル サブネットと同じサブネットに属するトンネル インターフェイスを割り当てます ID 。
3. IPローカル サブネットから未使用のサブネットを選択し、トンネル インターフェイスで /32 アドレスとして設定 IP します。
4. すべてのトンネルを繰り返します。

NOTE:
リモート エンドと監視対象の宛先は、ピアのローカル プロキシの一部である必要があります。 ID ASA ID

複雑さやプロキシの組み合わせが原因で上記の手順が不可能な ID 場合は、トンネルの監視を有効にしないでください。

• 上記の記事は、複数の Proxy-ID を持つ IPSec トンネルのトンネルモニタリングを有効にすると、各プロキシIDを firewall 介して同じ送信元/宛先モニタ プローブを送信するというデフォルトに基づいています。

• PAN-OS7.0 以降、単一プロキシのトンネルモニタリングを有効にするCLI唯一の設定コマンドがあります ID 。

# set network tunnel ipsec <tunnel_name> tunnel-monitor proxy-id <proxy_id> ...