与 PBF 规则对称返回匹配的特定流量的转发失败

与 PBF 规则对称返回匹配的特定流量的转发失败

26008
Created On 09/26/18 20:46 PM - Last Modified 04/19/21 16:42 PM


Symptom


症状

当 Policy 基于 -基于转发 PBF （） 配置为启用的"强制对称返回"选项时，如果没有下一个跳地址，转发可能会失败。

 

诊断

当问题发生时，您可以看到返回 mac 条目已达到其最大级别，当您运行显示 pbf 返回-mac 所有 命令。

user@firewall> show pbf return-mac all

current pbf configuation version:   1
total return nexthop addresses :    0

index   pbf id  ver  hw address          ip address
                     return mac          egress port
--------------------------------------------------------------------------------

maximum of ipv4 return mac entries supported :     1000
total ipv4 return mac entries in table :           1000
total ipv4 return mac entries shown :              1000
status: s - static, c - complete, e - expiring, i - incomplete

pbf rule        id   ip address      hw address        port         status   ttl
--------------------------------------------------------------------------------
 

注意：此表支持的最大条目数量 ARP 受 firewall 模型限制，且值不可用户配置。 要确定您的型号的限制，请使用 CLI 命令：显示 pbf 返回 mac 所有。

Environment


  • 帕洛阿尔托 Firewall .
  • 任何 PAN-OS 。
  • Policy 基于转发。

Resolution


只有当"下一个跳地址"未设置在启 PBF 用对称返回的规则中时，才会出现此问题。在下一个 IP "跳转地址"列表中配置有效的同侪地址以避免遇到问题。 这可以使用： GUI Policy 基于转发>策略>选择 pbf 规则>转发>添加

NextHopAddress


设置下一个跃点地址可确保只为对称返回学习适当的返回 mac 地址

>show pbf return-mac all

maximum of ipv4 return mac entries supported : 16000
total ipv4 return mac entries in table : 12800
total ipv4 return mac entries shown : 12800
status: s - static, c - complete, e - expiring, i - incomplete
pbf rule id ip address hw address port status ttl
--------------------------------------------------------------------------------
symmectric 1 8.0.0.2 00:1b:17:05:f1:17 ethernet1/1 c 737
symmectric 1 8.0.0.3 00:1b:17:05:f1:17 ethernet1/1 c 742
symmectric 1 8.0.0.4 00:1b:17:05:f1:17 ethernet1/1 c 741
symmectric 1 8.0.0.5 00:1b:17:05:f1:17 ethernet1/1 c 743
symmectric 1 8.0.0.6 00:1b:17:05:f1:17 ethernet1/1 c 746
symmectric 1 8.0.0.7 00:1b:17:05:f1:17 ethernet1/1 c 743
symmectric 1 8.0.0.8 00:1b:17:05:f1:17 ethernet1/1 c 742
symmectric 1 8.0.0.9 00:1b:17:05:f1:17 ethernet1/1 c 741
symmectric 1 8.0.0.10 00:1b:17:05:f1:17 ethernet1/1 c 745
symmectric 1 8.0.0.11 00:1b:17:05:f1:17 ethernet1/1 c 746

 

Additional Information


如何配置对称回报
Other users also viewed:
Actions
  • Print
  • Copy Link

    https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000Cm5gCAC&lang=zh_CN&refURL=http%3A%2F%2Fknowledgebase.paloaltonetworks.com%2FKCSArticleDetail

Choose Language