如何获取有关 IPSec 隧道状态的通知

问题

帕洛阿尔托网络防火墙目前没有用于监视 IPSec 隧道状态的 snmp oid, 因此, 当帕洛阿尔托网络防火墙上的 IPSec 隧道更改其状态时, 网络管理系统不能依赖 snmp 协议来接收通知。  

解决方法

在帕洛阿尔托网络防火墙上执行以下变通办法:

1. 为所需的 ipsec 隧道配置和启用 ipsec 隧道监视器功能。(https://live.paloaltonetworks.com/docs/DOC-1323)
2. 配置日志服务器配置文件, 将日志消息发送到所需的日志服务器。(https://live.paloaltonetworks.com/docs/DOC-3837)
3. 转至设备 >> 日志设置 > 系统将日志发送到以前创建的系统日志服务器。

当隧道监视器出现故障时, 防火墙会在系统日志中生成以下消息:

时间严重性子类型对象 EventID ID 说明 === == == == == == == == == == == == == == == == == == == == == == === == == === == == == == == ===

2015/03/15 13:24:34 低 vpn<object name="">隧道-0 条隧道<tunnel name="">已关闭</tunnel> ...</object> = == == == ===

日志服务器接收到 "隧道关闭" 消息。在 IPSec 隧道被提出后, 隧道接口也会上升, 并且系统日志中会生成一个新消息 "隧道已上"。然后, 将新生成的日志发送到日志服务器。