IKEv2 con liveness comprobar para detectar problemas de conectividad de red
Resolution
IKEv2 se ha introducido en PAN-OS 7.0. Con esta versión de , es capaz de hacer una comprobación de IKE la vida a través de la fase 1 si hay algún problema con la conectividad de red subyacente SA (por ejemplo, la interfaz física está conectada). Esta opción no está activada de forma predeterminada.
El intervalo predeterminado de comprobación de vivacidad es cada 5 segundos cuando SA está inactivo.Al perder la conexión, el firewall hará 10 reintentos de habitadencia con un tiempo de espera creciente (segundos) para cada reintento de la siguiente manera:
1 + 2 + 4 + 8 + 16 + 32 + 64 + 64 + 64 = 319 segundos (unos 5 minutos)
Después de que se alcancen los reintentos de maxium, se derribarán las firewall SAs de fase 1 y fase 2 (infantil).Actualmente, el número de reintentos y el tiempo de espera entre cada reintento no se pueden configurar en PAN-OS 7.0.
Tenga en cuenta que el estatus asociado del túnel de interfaz, sin embargo, permanecerá arriba y como cualquier salida estática de ruteo a este túnel de interfaz también permanecerá activo. Por lo tanto, para conmutar por error el tráfico a una trayectoria de copia de seguridad requiere una función adicional tal como la supervisión del túnel de la fase 2, policy el reenvío -basado, o un Dynamic Routing Protocol tal BGP como o OSPF .
Salida del comando show:
> mostrar la puerta de enlace de detalles vpn ike-sa [ IKE GW nombre]
IKEPuerta de enlace GW , ID 35 2.2.2.2 = > 1.1.1.1 IKE SA: |
Salida de ikemgr. log cuando IKEv2 liveness detecta un problema de conectividad:
2016-03-01 14:27:06.890 +0800 debug: pan_ikev2_debug(protocols/ikev2/ikev2.c:6946): IKEv2 transmit { GW :6- I }: child id 150, retry cnt 1 limit 10 2016-03-01 14:32:24 [PROTO_ERR]: ikev2.c:1005:ikev2_timeout(): 6:1.1.1.1[500] - 2.2.2.2[500]:(nil):la retransmisión superó el límite del
2016-03-01 14:32:24 [ INFO ]: ike_sa.c:275:ikev2_abort(): 6:1.1.1.1[500] - SA GW 2.2.2.2[500]:(2016-03-01 2016-03-01 14:32:24 [ DEBUG ]: ikev2.c:1174:ikev2_set_state(): 6:1.1.1.1[500] - 2.2.2.2[500]:(nil):ike_sa 0x827b210 estado ESTABLISHED -> DYING: func ikev2_set_state, llamador ikev2_set_sa_dying
|
Additional Information
Para obtener información sobre IKEv1 DPD y cómo habilitar el Monitor de túnel de fase 2, consulte Detección de pares muertos y Monitoreo de túneles