Error:
An unexpected error occurred. Please click Reload to try again.
Error:
An unexpected error occurred. Please click Reload to try again.
Firewall 启用区域保护时,正在丢弃支离破碎的包 - Knowledge Base - Palo Alto Networks

Firewall 启用区域保护时,正在丢弃支离破碎的包

59663
Created On 11/20/19 04:15 AM - Last Modified 03/26/21 17:55 PM


Symptom


  • Firewall 删除数据包和全球计数器"flow_dos_pf_ipfrag"增量。
>计数器全局过滤器数据包过滤器是三角洲是

全局计数器:

自上次采样以来的经过时间:3.917 秒

名称值速率严重性类别方面描述

--------------------------------------------------------------------------------

flow_dos_pf_ipfrag 2 0 滴流 dos 数据包丢弃: 区域保护选项 "丢弃 ip - frag"
 

  • 请参阅以下文档,其中说明如何检查全局计数器的特定流量:
       如何检查全球计数器的特定来源和目的地 IP 地址

 



Environment


  • 启用了"丢弃 ip-frag"配置的区域保护



Cause


  • Firewall 如果接收区域具有配置为启用"碎片流量"选项的区域保护,则将丢弃所有接收的零碎数据包。
  • 您可以运行以下命令 CLI ,以检查设置是否已配置

       >显示区域保护区 <ingress zone="" name=""></ingress>

------------------------------------------------------------------------------------------

具有保护配置文件的区域数: 1

------------------------------------------------------------------------------------------

区域 L3 信任,vsys vsys1,配置文件示例

------------------------------------------------------------------------------------------

IPv(4/6) 过滤器:

丢弃 ip - frag: 已启用: 是的, 数据包丢弃: 10 ---> 此处启用了该选项

tcp 拒绝 - 非 syn: 启用: 是, (全局), 数据包丢弃: 0

丢弃 - tcp - syn - 与数据: 启用: 是的, 数据包丢弃: 0

丢弃 - tcp - 同步与数据: 启用: 是的, 数据包丢弃: 0

IPv4 数据包过滤器:

IPv6 数据包过滤器:

------------------------------------------------------------------------------------------
 



Resolution


  • 如果这是您希望允许的合法流量,那么您可以禁用允许碎片流量的选项。

      注意:禁用"碎片流量丢弃"可能有安全风险。 如果您不想更改此选项,则需要检查上游设备,看看为什么 firewall 接收零碎的数据包。

从 GUI :
  • 选择网络 -- >网络配置文件 -- -- >区域保护
  • 单击区域保护的名称
  • 选择选项卡"基于数据包的攻击保护"和子数据包 IP 掉落
  • 取消选中"支离破碎的流量"选项并单击 OK
       用户添加的图像


Actions
  • Print
  • Copy Link

    https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000PNZMCA4&lang=zh_CN&refURL=http%3A%2F%2Fknowledgebase.paloaltonetworks.com%2FKCSArticleDetail

Choose Language