CLI によるカウンタの使用に関するトラブルシューティング方法

カウンタは、PA ファイアウォール上のプロセス、パケットフロー、およびセッションのインジケーターの非常に便利なセットです。彼らは様々なシナリオをトラブルシューティングするための extermely 強力なツールです。

ドロップされたパケットのトラブルシューティング

以下は、疑わしいパケットドロップシナリオのトラブルシューティングにおける非常に効果的なコマンドです。削除されたパケットの理由は、問題が何であるかを絞り込むのに役立ちます。

> カウンター グローバル フィルター重大度ドロップを表示

グローバルのカウンター:

最後のサンプリングからの経過時間: 34.999 秒

名前値率重大度カテゴリの側面の説明

--------------------------------------------------------------------------------

flow_rcv_err 98 0 ドロップフロー解析パケットが削除されました: フローステージの受信エラー

flow_rcv_dot1q_tag_err 1 0 ドロップフロー解析パケットの削除: 802.1 q タグが構成されていません

flow_no_interface 263 0 ドロップフロー解析パケットが削除されました: 無効なインターフェイス

flow_ipv6_disabled 30622 0 ドロップフロー解析パケットが削除されました: インターフェイスで ipv6 が無効になっています

flow_policy_nat_land 6732 0 ドロップフローセッションセッションのセットアップ: ソース nat IP 割り当て結果の土地攻撃

flow_fwd_l3_mcast_drop 2756 0 ドロップフロー転送パケットが削除されました: IP マルチキャストのためのルートなし

flow_fwd_l3_ttl_zero 4 0 ドロップフローフォワードパケットが削除されました: IP ttl はゼロに達する

flow_fwd_l3_noroute 5 0 ドロップフロー転送パケットが削除されました: ルートなし

flow_fwd_l3_noarp 1 0 ドロップフロー転送パケットが削除されました: いいえ ARP

flow_action_reset 1 0 ドロップフロー pktproc TCP クライアントが応答 RST を介してリセット

flow_arp_rcv_err 162 0 ドロップフロー arp arp 受信エラー

flow_host_decap_err 412 0 ドロップフロー管理パケットが削除されました: コントロールプレーンへのカプセル化エラー

flow_host_service_deny 153865 0 ドロップフロー管理デバイスマネージメントセッションが拒否されました

flow_host_service_unknown 2762 0 ドロップフロー管理セッションが破棄されました: コントロールプレーンへの不明なアプリケーション

flow_tunnel_encap_err 33 0 ドロップフロートンネルパケットが削除されました: トンネルのカプセル化エラー

appid_lookup_invalid_flow 1 0 ドロップ appid pktproc パケットが削除されました: 無効なセッション状態

proxy_offload_check_err 1030 0 ドロッププロキシ pktproc SYN または証明書がないため、数オフロードプロキシのセットアップチェックに失敗しました

url_request_pkt_drop 204 0 ドロップ url pktproc url カテゴリ要求を待機しているため、パケットの数が減少します。

--------------------------------------------------------------------------------

表示されるカウンタの総数:18

--------------------------------------------------------------------------------

上記のコマンドは、最後にコマンドが発行されてから削除されたパケットを表示できる Delta オプションと共に使用できます。

> 表示カウンター グローバル フィルター デルタはい重大度ドロップ

グローバルのカウンター:

最後のサンプリングからの経過時間: 55.446 秒

名前値率重大度カテゴリの側面の説明

--------------------------------------------------------------------------------

flow_ipv6_disabled 3 0 ドロップフロー解析パケットが削除されました: インターフェイスで ipv6 が無効になっています

flow_fwd_l3_mcast_drop 2 0 ドロップフロー転送パケットが削除されました: IP マルチキャストのためのルートなし

flow_host_service_deny 26 0 ドロップフロー管理デバイスマネージメントセッションが拒否されました

flow_host_service_unknown 2 0 ドロップフロー管理セッションが破棄されました: コントロールプレーンへの不明なアプリケーション

--------------------------------------------------------------------------------

表示されるカウンタの合計: 4

--------------------------------------------------------------------------------

重大度の低下とは別に、このコマンドをシナリオに基づいて使用できるさまざまな重大度があります。いくつかの例があります: エラー、情報と警告。

管理サーバーの統計情報のトラブルシューティング

カウンタを使用すると、管理サーバーの統計情報 (各管理サーバープロセスに割り当てられたトリガカウンタに書き込まれたログの数) を表示できます。

このコマンドは、RMA の交換を必要とするハードウェアの問題を疑う場合に便利です。

> カウンタ管理の表示-サーバ

ログアクションは実行されません: 0

ログに記録されないため削除されました: 0

広告からのユーザー情報を読む: 2

証明書の情報を読む: 0

更新サーバーから取得したライセンス情報: 0

Sighash refcount: 1

Tunnelhash refcount: 1

URLcat refcount: 1

ip2loc refcount: 1

管理インターフェイスの統計情報

管理インターフェイスには、接続のトラブルシューティングに役立つ統計情報もあります。

> カウンタインタフェース管理の表示

インタフェース: 管理インタフェース

-------------------------------------------------------------------------------

論理インタ フェースのカウンター:

-------------------------------------------------------------------------------

バイト受信505700037

送信バイト数295080711

受信したパケット772181

パケット送信874087

エラー 0

送信エラー 0

受信パケット 0

送信パケット 0

マルチキャスト パケット受信 0

-------------------------------------------------------------------------------

データプレーンインターフェイスの統計情報

[カウンタの表示] コマンドを使用して、ポートの統計情報を表示することもできます。

> カウンタインターフェイストンネルを表示する51

インタフェース: トンネル. 51

--------------------------------------------------------------------------------

論理インターフェイスのカウンターは、CPU から読み取る。

--------------------------------------------------------------------------------

受信バイト数0

バイト送信 0

受信パケット0

パケット送信 0

エラー 0

パケット 0

フロー状態によってドロップされたパケット数確認 0

転送エラー 0

0 のルートなし

arp 0 が見つかりません

隣人 0 が見つかりません

保留中の 0 近隣情報

mac 0 が見つかりません

別のゾーン 0 にルーティング パケット

土地攻撃 0

死の ping 攻撃 0

ティア ドロップ攻撃 0

ip スプーフィング攻撃 0

mac 偽装攻撃 0

ICMP フラグメント 0

カプセル化されたレイヤー 2 パケット 0

レイヤー 2 カプセル化解除されるパケット 0

--------------------------------------------------------------------------------

レイヤ2接続のトラブルシューティング

レイヤ2のトラブルシューティングは、次のコマンドでグローバルカウンタの arp の側面を使用して受信した arp エントリの不規則性の用語で対処することができます。

> カウンタグローバルフィルタのアスペクト arp を表示する

グローバルのカウンター:

最後のサンプリングからの経過時間: 8.330 秒

名前値率重大度カテゴリの側面の説明

--------------------------------------------------------------------------------

flow_arp_pkt_rcv 42685 0 情報フロー arp arp パケットを受信

flow_arp_pkt_xmt 1875 0 情報フロー arp arp パケット送信

flow_arp_pkt_replied 6995 0 情報フロー arp arp 要求は答えた

flow_arp_pkt_learned 17 0 情報フロー arp arp エントリを学んだ

flow_arp_rcv_gratuitous 494 0 情報フロー arp 無償 arp パケットを受信

flow_arp_rcv_err 162 0 ドロップフロー arp arp 受信エラー

flow_arp_resolve_xmt 1843 0 情報フロー arp arp 解決パケット送信

--------------------------------------------------------------------------------

表示されるカウンタの合計: 7

その他の有用な統計

他の様々なカウンタは、トラブルシューティングの際に役立つ、ここではいくつかの例です

anatrajan @ PAN_WICH_52 > カウンタグローバル名の表示

  aho_alloc_lookup_failed の割り当てに失敗しました。

  aho_fpga 情報 aho のための fpga への要求の合計

  fpga から結果を取得するときに aho_fpga_invalid_wqe エラーが発生しましたが、wqe インデックスが有効ではありません

  aho_fpga_ret_error エラーは unexecpted タイプによる fpga からの結果を落とした

  aho_fpga_ret_invalid_fid エラーは、無効なフロー id によって引き起こされる fpga からの結果を落とした

  aho_fpga_ret_length_error エラーは、短い長さによって引き起こされる fpga からの結果を落とした

  aho_fpga_ret_multi_bufs 情報 aho 複数のバッファを持つ fpga の結果

  aho_fpga_ret_offset_error エラーは、無効なオフセットによって引き起こされる fpga からの結果を落とした

  aho_fpga_ret_wrong_size エラーは、間違ったパケットサイズに起因する fpga からの結果を落とした

  aho_fpga_state_verify_failed 情報 fpga から結果を取得すると、セッションの状態が変更されました。

  fpga から結果を取得するときに aho_fpga_unmatched_type エラーが発生しました。

  fpga から結果を取得するときに警告を aho_fpga_unmatched_wqe、セッションで wqe が一致しませんでした

  aho_match_overflow 情報 aho の数がオーバーフローに一致します。

  aho_sw 情報 aho のためのソフトウェアの総使用量

  aho_sw_fpga_fail は、fpga 要求の送信に失敗したことによるソフトウェア aho の使用を警告します。

  aho_sw_fpga_full 情報 fpga 要求のしきい値によるソフトウェア aho の使用

  aho_sw_fpga_unavailable は、fpga が利用できないことによるソフトウェア aho の使用を警告

  aho_too_many_matches 情報1つのパケット内で一致するシグネチャが多すぎます

  aho_too_many_mid_res 情報1つのパケット内の署名の中間結果が多すぎます

  appid の無効な dfa 結果 appid_dfa_invalid_result エラーが発生しました

  appid_exceed_pkt_limit 警告アプリ。キュー packe の総数の制限によって発生した識別

  appid_exceed_queue_limit 警告アプリ。セッションキュー pac の制限による id の失敗

  appid_exceed_queue_limit_post 警告アプリ。セッションキュー pac の制限による id の失敗

  appid_fini_with_wqe_2_fpga 情報セッションが fpga で wqe で終了する

  appid_flow_state_fail 情報セッションの状態が変更されました

  キャッシュによって識別される appid_ident_by_cache 情報アプリケーション

  L4 dport によって識別される appid_ident_by_dport 情報アプリケーション

  L4 dport が最初に識別した appid_ident_by_dport_first 情報アプリケーション

  ヒューリスティックによって識別される appid_ident_by_heuristics 情報アプリケーション

  appid_ident_by_icmp 情報アプリケーションは、icmp の種類によって識別

  ip プロトコルによって識別される appid_ident_by_ip 情報アプリケーション

  L4 スポーツによって識別される appid_ident_by_sport 情報アプリケーション

  L4 スポーツファーストによって識別される appid_ident_by_sport_first 情報アプリケーション

  appid_ident_by_supernode 情報アプリケーションは、アイアムによって識別

  appid_lookup_invalid_flow ドロップパケットが削除されました: セッション状態が無効です

  appid_match_overflow 情報 dfa がオーバーフローに一致する

  appid_no_policy エラーアプリ。ポリシーがないため、識別に失敗しました

  上書きルールによって識別される appid_override 情報アプリケーション

  appid_proc 情報アプリケーションの識別によって処理されたパケットの数

  appid_reset_sess_tcp_reass エラーリセット sess が tcp 再構築時に失敗しました

  appid_result_id_changed 情報セッションの appid ステータスが変更されました

  appid_result_no_policy 情報セッションのポリシーは appid proc の間に変更されました

  appid_skip_terminal 情報 dfa の結果はターミナルです。

  不明なサーバー証明書と appid_ssl_no_cert_no_reset 情報 ssl セッションが、以前のリセットなし

  セッションエイガーによって終了 appid_stop_by_ager 情報アプリケーションの識別

  appid_stop_by_ager_nopkts 情報エイガーはパケットがキューに入っていないため appid を停止できません

  appid_unknown_by_stop 情報が停止されているため、不明なアプリケーションの数

所有者: anatrajan