Wie man mit Zählern über das CLI beheben kann

Zähler sind ein sehr nützlicher Satz von Indikatoren für die Prozesse, Paketströme und Sessions auf der PA-Firewall. Sie sind ein äußerlich leistungsfähiges Werkzeug zur Fehlerbehebung verschiedener Szenarien.

Troubleshooting ließ Pakete fallen

Das folgende ist ein sehr effektives Kommando bei der Fehlerbehebung eines verdächtigen Paket Tropfen Szenarios. Der Grund für die gefallenen Pakete kann helfen, sich auf das, was das Problem ist, einzugrenzen.

> zeigen Zähler globale Filter schwere Tropfen

Globale Zähler:

Verstrichene Zeit seit der letzten Probenahme: 34,999 Sekunden

Name Wert schwere Kategorie Aspekt Beschreibung

--------------------------------------------------------------------------------

flow_rcv_err 98 0 Drop-Flow-parieren-Pakete fallen gelassen: Strömungs Stufe erhalten Fehler

flow_rcv_dot1q_tag_err 1 0 Drop Flow parieren Pakete fallen gelassen: 802.1 q Tag nicht konfiguriert

flow_no_interface 263 0 Drop Flow parieren Pakete fallen gelassen: Ungültige Schnittstelle

flow_ipv6_disabled 30622 0 Drop-Flow-parieren-Pakete fallen gelassen: IPv6 deaktiviert auf Interface

flow_policy_nat_land 6732 0 Drop Flow Session-Session-Setup: Quelle NAT IP-Zuweisung Ergebnis im LAND Angriff

flow_fwd_l3_mcast_drop 2756 0 Drop-Flow-vorwärts-Pakete fallen gelassen: keine Route für IP Multicast

flow_fwd_l3_ttl_zero 4 0 Drop-Flow-vorwärts-Pakete fallen gelassen: IP TTL erreicht NULL

flow_fwd_l3_noroute 5 0 Drop-Flow-vorwärts-Pakete fallen gelassen: keine Route

flow_fwd_l3_noarp 1 0 Drop-Flow-vorwärts-Pakete fallen gelassen: kein ARP

flow_action_reset 1 0 Drop Flow pktproc TCP Clients Reset über reagierende RST

flow_arp_rcv_err 162 0 Drop Flow ARP ARP erhalten Fehler

flow_host_decap_err 412 0 Tropfen Fluss Mgmt-Pakete fallen gelassen: verkapselungs Fehler zur Steuerung der Ebene

flow_host_service_deny 153865 0 Tropfen Fluss Mgmt Device Management Session verweigert

flow_host_service_unknown 2762 0 Drop Flow Mgmt Session verworfen: unbekannte Anwendung zur Steuerung der Ebene

flow_tunnel_encap_err 33 0 Tropfen flusstunnel Paket abgeworfen: Tunnel verkapselungs Fehler

appid_lookup_invalid_flow 1 0 Drop AppID pktproc-Pakete fallen gelassen: Ungültiger Sitzungszustand

proxy_offload_check_err 1030 0 Drop Proxy pktproc die Nummer abzuladen Proxy-Setup-Prüfung scheiterte an nicht SYN oder kein Zertifikat

url_request_pkt_drop 204 0 Drop URL pktproc die Anzahl der Pakete wird fallen gelassen, weil Sie auf die Anfrage der URL-Kategorie warten

--------------------------------------------------------------------------------

Gesamt Zähler: 18

--------------------------------------------------------------------------------

Der obige Befehl kann mit der Delta-Option verwendet werden, die es erlaubt, Pakete zu sehen, die seit der letzten Erteilung des Befehls gelöscht wurden.

> zeigen Zähler globale Filter Delta ja schwere Tropfen

Globale Zähler:

Verstrichene Zeit seit der letzten Probenahme: 55,446 Sekunden

Name Wert schwere Kategorie Aspekt Beschreibung

--------------------------------------------------------------------------------

flow_ipv6_disabled 3 0 Drop Flow parieren Pakete fallen gelassen: IPv6 deaktiviert auf Interface

flow_fwd_l3_mcast_drop 2 0 Drop-Flow-vorwärts-Pakete fallen gelassen: keine Route für IP Multicast

flow_host_service_deny 26 0 Drop Flow Mgmt Device Management Session verweigert

flow_host_service_unknown 2 0 Drop Flow Mgmt Session verworfen: unbekannte Anwendung zur Steuerung der Ebene

--------------------------------------------------------------------------------

Gesamt Zähler: 4

--------------------------------------------------------------------------------

Abgesehen vom schwere Abfall gibt es verschiedene andere Schweregrade, die dieser Befehl verwenden kann, um auf dem Szenario basiert. Einige Beispiele sind: Fehler, Information und Warnung.

Troubleshooting Management Server Statistik

Zähler können verwendet werden, um Management-Server-Statistiken anzuzeigen (Anzahl der Protokolle, die an die Trigger-Zähler geschrieben werden, die jedem Management-Server-Prozess zugeordnet

Dieser Befehl ist nützlich, wenn ein Hardware-Problem vermutet wird, das einen RMA-Ersatz erfordert.

> Counter Management-Server anzeigen

Log-Aktion nicht genommen: 0

Protokolle fallen gelassen, weil nicht Protokollierung: 0

Nutzer Informationen aus der Anzeige lesen: 2

Zertifikate Informationen: 0

Lizenzinformationen von Update Server: 0

Sighash refcount: 1

Tunnel Hash-refcount: 1

URLcat refcount: 1

ip2loc refcount: 1

Management Interface Statistik

Die Management-Schnittstelle hat auch Statistiken, die helfen können, die Konnektivität zu beheben.

> Counter Interface Management anzeigen

SchnittStelle: Management Interface

-------------------------------------------------------------------------------

Logische Schnittstelle Zähler:

-------------------------------------------------------------------------------

Bytes erhielt 505700037

Bytes übertragen 295080711

Pakete erhielten 772181

Pakete übertragen 874087

Fehler 0

Fehler 0 übertragen

empfangen Pakete verworfen 0

übertragen Pakete verworfen 0

Multicast-Pakete empfangen 0

-------------------------------------------------------------------------------

Datenebene Schnittstellen Statistik

Mit dem Befehl "Show-Counter-Interface" können auch Statistiken für jeden der Ports angezeigt werden.

> Theke Interface Tunnel. 51

SchnittStelle: Tunnel. 51

--------------------------------------------------------------------------------

Logische Schnittstelle Zähler aus CPU auslesen:

--------------------------------------------------------------------------------

Bytes erhielt 0

Byte übertragen 0

Pakete erhielten 0

-Pakete übertragen 0

Fehler 0

-Pakete gelöscht 0

Pakete, Gedroppt von Flow-Zustand überprüfen 0

Spedition-Fehler 0

keine Route 0

ARP nicht gefunden 0

Nachbar nicht gefunden 0

Nachbar-Info bis 0

Mac nicht gefunden 0

Pakete an andere Zone 0 weitergeleitet

Land-Angriffe 0

Ping-of-Death-Angriffe 0

Teardrop Angriffe 0

IP-Spoofing-Angriffe 0

MAC-Spoofing-Angriffe 0

ICMP-Fragment 0

Layer2 gekapselt Pakete 0

Layer2 Decapsulated Pakete 0

--------------------------------------------------------------------------------

FehlerBehebung Layer 2 Konnektivität

Schicht zwei Troubleshooting kann im Hinblick auf die Unregelmäßigkeiten in den ARP-Einträgen behandelt werden, die mit dem ARP-Aspekt des globalen Zählers mit folgendem Befehl empfangen werden:

> Counter Global Filter Aspekt ARP anzeigen

Globale Zähler:

Verstrichene Zeit seit der letzten Probenahme: 8,330 Sekunden

Name Wert schwere Kategorie Aspekt Beschreibung

--------------------------------------------------------------------------------

flow_arp_pkt_rcv 42685 0 info Flow ARP ARP Pakete erhalten

flow_arp_pkt_xmt 1875 0 info Flow ARP ARP Pakete übertragen

flow_arp_pkt_replied 6995 0 info Flow ARP ARP Anfragen beantwortet

flow_arp_pkt_learned 17 0 info Flow ARP ARP Eintrag gelernt

flow_arp_rcv_gratuitous 494 0 info Flow ARP Gratuitous ARP Pakete erhalten

flow_arp_rcv_err 162 0 Drop Flow ARP ARP erhalten Fehler

flow_arp_resolve_xmt 1843 0 info Flow ARP ARP Auflösungs Pakete übertragen

--------------------------------------------------------------------------------

Gesamt Zähler angezeigt: 7

Andere nützliche Statistiken

Verschiedene andere Zähler sind hilfreich bei der Fehlersuche, hier sind ein paar Beispiele

anatrajan @ PAN_WICH_52 > Counter Global Name anzeigen

  aho_alloc_lookup_failed Warnung scheiterte an Alloc Regex Lookup

  aho_fpga Info die Gesamtanfragen an FPGA für AHO

  aho_fpga_invalid_wqe Fehler bei der Ergebnis von FPGA, wqe-Index war nicht gültig

  aho_fpga_ret_error Fehler ließ die Ergebnisse von FPGA fallen, die durch den nicht ausführbaren Typ verursacht wurden

  aho_fpga_ret_invalid_fid Fehler ließ die Ergebnisse von FPGA, die durch ungültige Flow-ID verursacht

  aho_fpga_ret_length_error Fehler ließ Ergebnisse aus FPGA durch kurze Länge verursacht

  aho_fpga_ret_multi_bufs Info Aho FPGA Ergebnis mit mehreren Puffern

  aho_fpga_ret_offset_error Fehler sank die Ergebnisse von FPGA, die durch ungültigen Offset verursacht wurden

  aho_fpga_ret_wrong_size Fehler ließ die Ergebnisse von FPGA fallen, die durch falsche Paketgröße verursacht wurden

  aho_fpga_state_verify_failed Info beim Ergebnis von FPGA wurde der Zustand der Session geändert

  aho_fpga_unmatched_type Fehler beim Ergebnis von FPGA, Typ in Session wurde nicht abgestimmt

  aho_fpga_unmatched_wqe warnen, wenn das Ergebnis von FPGA, wqe wurde nicht in der Sitzung abgestimmt

  aho_match_overflow Info-Nummer von Aho Matches Überlauf

  aho_sw Info die Gesamtnutzung der Software für AHO

  aho_sw_fpga_fail warnen Sie vor der Nutzung von Software AHO, die durch Ausfälle bei der Versendung von FPGA

  aho_sw_fpga_full Info-Nutzung der Software AHO durch FPGA-Requests-Schwelle verursacht

  aho_sw_fpga_unavailable warnen Nutzung von Software AHO durch FPGA nicht verfügbar

  aho_too_many_matches Info zu viele Unterschriften Spiele in einem Paket

  aho_too_many_mid_res Info zu viele Signatur-Mittel Ergebnisse in einem Paket

  appid_dfa_invalid_result Fehler das ungültige DFA-Ergebnis für AppID

  appid_exceed_pkt_limit warnen app. Identifikation fehlgeschlagen durch Begrenzung der gesamten Warteschlange packe

  appid_exceed_queue_limit warnen app. Identifikation fehlgeschlagen durch Begrenzung der Sitzung Warteschlange PAC

  appid_exceed_queue_limit_post warnen app. Identifikation fehlgeschlagen durch Begrenzung der Sitzung Warteschlange PAC

  appid_fini_with_wqe_2_fpga Info-Session endet mit wqe in FPGA

  appid_flow_state_fail Info wurde der Zustand der Sitzung geändert

  appid_ident_by_cache Info-Anwendung durch Cache identifiziert

  appid_ident_by_dport Info-Anwendung von L4 dport identifiziert

  appid_ident_by_dport_first Info-Anwendung, die von L4 dport identifiziert wurde, zuerst

  appid_ident_by_heuristics Info-Anwendung von Heuristik identifiziert

  appid_ident_by_icmp-Info-Anwendung durch ICMP-Typ identifiziert

  appid_ident_by_ip Info-Anwendung durch IP-Protokoll identifiziert

  appid_ident_by_sport Info-Anwendung von L4 Sport identifiziert

  appid_ident_by_sport_first Info-Anwendung von L4 Sport First identifiziert

  appid_ident_by_supernode Info-Anwendung von Super Node identifiziert

  appid_lookup_invalid_flow Drop-Pakete fallen gelassen: Ungültiger Sitzungszustand

  appid_match_overflow Info der DFA passt über den Überlauf

  appid_no_policy Error app. Identifikation scheiterte an keiner Politik

  appid_override Info-Anwendung durch override-Regel identifiziert

  appid_proc Info die Anzahl der Pakete, die durch die Anwendungs Kennzeichnung verarbeitet werden

  appid_reset_sess_tcp_reass Error Reset Sess scheiterte an TCP-Wiederherstellung

  appid_result_id_changed Info wurde der AppID-Status der Sitzung geändert

  appid_result_no_policy Info die Richtlinien der Session wurden während des AppID proc geändert.

  appid_skip_terminal Info das DFA-Ergebnis ist Terminal

  appid_ssl_no_cert_no_reset Info SSL-Sessions mit unbekanntem Server-Zertifikat, aber ohne vorherige Reset

  appid_stop_by_ager Info Application Identification von Session Ager beendet

  appid_stop_by_ager_nopkts Info Ager kann AppID nicht stoppen, da keine Pakete Schlange standen

  appid_unknown_by_stop Info die Zahl der unbekannten Anträge wegen gestoppt

Besitzer: Anatrajan