Error:
An unexpected error occurred. Please click Reload to try again.
Error:
An unexpected error occurred. Please click Reload to try again.
どのようにパロアルトネットワークファイアウォールは、MTU を超えるパケットを処理する - Knowledge Base - Palo Alto Networks

どのようにパロアルトネットワークファイアウォールは、MTU を超えるパケットを処理する

53179
Created On 09/25/18 18:50 PM - Last Modified 11/20/24 21:41 PM


Resolution


詳細

構成された mtu (最大転送単位) より大きいパケットが受信され、DF (not フラグメント) IP オプションが設定されている場合、ファイアウォールは ICMP の "断片に必要な" メッセージを返し、小さい mtu が必要であることを送信者に通知します。詳細については、「 パロアルトネットワークファイアウォールが断片化されたトラフィックを管理する方法」のシナリオ A を参照してください。

送信者の tcp/ip スタックは、小さいパケットで応答できる必要があります。ただし、特定のデバイスは、これらの ICMP メッセージをブロックし、送信者が特大のパケットを再送する原因となります。

IPSEC VPN トンネルでこのような状況を回避するには、トンネルを終了するネットワークデバイスの MTU/MSS (最大セグメントサイズ) を変更します。パケットが、パロアルトネットワークファイアウォールで終了する IPSec トンネルを通過すると、ファイアウォールは TCP ハンドシェイクの MSS 値を自動的に変更して、このような状況を緩和します。

ファイアウォールで RIP や OSPF などの動的ルーティングプロトコルが使用されている場合は、その mtu が、インターフェイスで構成されている mtu よりも小さくないことを次のコマンドで確認します。

> ルーティングを表示する fib


合計仮想ルータが表示されます: 1

-------------------------------------------------------------------------------
仮想ルーター名: VR1
インターフェイス: ethernet1/3 ethernet1/4 トンネル 1

ルートテーブル:
フラグ: u アップ、h-ホスト、g-ゲートウェイ

-------------------------------------------------------------------------------
デバイスの fib エントリの最大値: 1250
デバイスの fib エントリ数: 6
この fib のエントリの最大値: 1250
fib entr の数この fib のための ies:
表示される fib のエントリの6つの数: 6
-------------------------------------------------------------------------------
id 送信先 nexthop フラグインターフェイス mtu
-------------------------------------------------------------------------------
4 0.0.0.0/0 10.30.14.254 ug ethernet1/3 1500
3 10.30.14.0/24 0.0.0.0 u ethernet1/3 1500
2 10.30.14.145/32 0.0.0.0           uh ethernet1/3 1500

所有者: panagent



Actions
  • Print
  • Copy Link

    https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000ClQzCAK&lang=ja&refURL=http%3A%2F%2Fknowledgebase.paloaltonetworks.com%2FKCSArticleDetail

Choose Language