与 PBF 规则对称返回匹配的特定流量的转发失败 - Knowledge Base - Palo Alto Networks

与 PBF 规则对称返回匹配的特定流量的转发失败

32898

Created On 09/26/18 20:46 PM - Last Modified 04/19/21 16:42 PM

Symptom

症状

当 Policy 基于 -基于转发 PBF （）配置为启用的"强制对称返回"选项时，如果没有下一个跳地址，转发可能会失败。

诊断

当问题发生时，您可以看到返回 mac 条目已达到其最大级别，当您运行显示 pbf 返回-mac 所有命令。

user@firewall> show pbf return-mac all

current pbf configuation version:   1
total return nexthop addresses :    0

index   pbf id  ver  hw address          ip address
                     return mac          egress port
--------------------------------------------------------------------------------

maximum of ipv4 return mac entries supported :     1000
total ipv4 return mac entries in table :           1000
total ipv4 return mac entries shown :              1000
status: s - static, c - complete, e - expiring, i - incomplete

pbf rule        id   ip address      hw address        port         status   ttl
--------------------------------------------------------------------------------

注意：此表支持的最大条目数量 ARP 受 firewall 模型限制，且值不可用户配置。要确定您的型号的限制，请使用 CLI 命令：显示 pbf 返回 mac 所有。

Environment

帕洛阿尔托 Firewall .
任何 PAN-OS 。
Policy 基于转发。

Resolution

只有当"下一个跳地址"未设置在启 PBF 用对称返回的规则中时，才会出现此问题。在下一个 IP "跳转地址"列表中配置有效的同侪地址以避免遇到问题。这可以使用： GUI Policy 基于转发>策略>选择 pbf 规则>转发>添加

NextHopAddress

设置下一个跃点地址可确保只为对称返回学习适当的返回 mac 地址

>show pbf return-mac all

maximum of ipv4 return mac entries supported : 16000
total ipv4 return mac entries in table : 12800
total ipv4 return mac entries shown : 12800
status: s - static, c - complete, e - expiring, i - incomplete
pbf rule id ip address hw address port status ttl
--------------------------------------------------------------------------------
symmectric 1 8.0.0.2 00:1b:17:05:f1:17 ethernet1/1 c 737
symmectric 1 8.0.0.3 00:1b:17:05:f1:17 ethernet1/1 c 742
symmectric 1 8.0.0.4 00:1b:17:05:f1:17 ethernet1/1 c 741
symmectric 1 8.0.0.5 00:1b:17:05:f1:17 ethernet1/1 c 743
symmectric 1 8.0.0.6 00:1b:17:05:f1:17 ethernet1/1 c 746
symmectric 1 8.0.0.7 00:1b:17:05:f1:17 ethernet1/1 c 743
symmectric 1 8.0.0.8 00:1b:17:05:f1:17 ethernet1/1 c 742
symmectric 1 8.0.0.9 00:1b:17:05:f1:17 ethernet1/1 c 741
symmectric 1 8.0.0.10 00:1b:17:05:f1:17 ethernet1/1 c 745
symmectric 1 8.0.0.11 00:1b:17:05:f1:17 ethernet1/1 c 746

Additional Information

如何配置对称回报

Other users also viewed:

How to download GlobalProtect from the Customer Support Portal

Download and Install the GlobalProtect App for Windows

Resource List: GlobalProtect Configuring and Troubleshooting

PAN-OS Software Updates

Where to find the current preferred software versions? (PAN-OS, GlobalProtect, User-ID Agent, Plugins)