Problemas de conectividad intermitentes con el tráfico de túnel dividido de dominio
12317
Created On 07/29/21 14:03 PM - Last Modified 11/01/24 02:27 AM
Symptom
- Problemas de conectividad intermitentes causados por el tráfico que no sigue las reglas de la configuración de túnel dividido de dominio.
- Los siguientes registros de volcado de PanGPS muestran que "www.youtube.com" coincidía con una regla de dominio de inclusión y, por lo tanto, su IP dirección '216.58.212.238' fue agregada a la lista de IP direcciones que están enlazadas a la interfaz GlobalProtect virtual. (Nota: El tiempo de vida para esta IP entrada es de 60 segundos que se obtiene de la DNS respuesta.)
P1824-T26147 Jul 23 08:12:48:324208 Dump ( 91): Received DNS request for www.youtube.com with type 1 P1824-T26147 Jul 23 08:12:48:324214 Dump (1259): Domain name www.youtube.com matches include wildcard domain P1824-T26147 Jul 23 08:12:48:324218 Dump (1355): Insert CNAME youtube-ui.l.google.com(Ex). P1824-T26147 Jul 23 08:12:48:324224 Dump ( 504): SP added an include ip 216.58.212.238, port 0, ttl 60 for domain www.youtube.com, original ttl=60, infinite ttl=no
- Los registros abajo de PanNExt.log demuestran que un nuevo flujo de tráfico para 216.58.212.238 había sido iniciado pero para TTL la regla del Túnel dividido había IP expirado y esto hizo que el nuevo flujo de tráfico fuera limitado a la interfaz física en vez de la GlobalProtect interfaz virtual.
P2575-T287 Jul 23 08:13:56:962874 Dump (2544): (0x7fcf9c40d510)handle new flow 216.58.212.238:443. P2575-T287 Jul 23 08:13:56:962985 Dump ( 223): (flow-0x7fcf9c40d510)(0x7fcf9c40fa40) Flow initialize NetCli (TCP)-SP Domain, via Phy interface, remote 216.58.212.238:443 P2575-T287 Jul 23 08:13:56:963049 Dump ( 230): (0x7fcf9c40fa40) remote network address 216.58.212.238:443 P2575-T287 Jul 23 08:13:56:963074 Dump (1225): check sp policy, remote addr 216.58.212.238:443 P2575-T287 Jul 23 08:13:56:963100 Dump (1758): find sp ipp rule 4 match 216.58.212.238 bind_if Virtual P2575-T287 Jul 23 08:13:56:963105 Dump (1770): The sp ipp rule is expired. P2575-T287 Jul 23 08:13:56:963350 Dump ( 369): (0x7fcf9c40fa40) openWithLocalEndpoint success. P2575-T287 Jul 23 08:13:57:45084 Dump ( 479): (0x7fcf9c40fa40) connected to remote. P2575-T287 Jul 23 08:13:57:45109 Dump ( 623): (0x7fcf9c40fa40) create sock wr source. P2575-T287 Jul 23 08:13:57:45116 Dump ( 883): (0x7fcf9c40fa40) call receive_from_flow P2575-T13103 Jul 23 08:13:57:45151 Dump ( 887): (0x7fcf9c40fa40) tcp flow read 517 bytes P2575-T287 Jul 23 08:13:57:45158 Dump ( 571): (0x7fcf9c40fa40) local address 192.168.20.222:51935 <<<<==== Physical interface
Nota:La configuración en este escenario tenía algunas subredes configuradas bajo túnel dividido incluyen las rutas que es porqué '216.58.212.238' fue limitado a la interfaz física basada en la entrada de ruta predeterminada que señalaba al adaptador físico.
Environment
- GlobalProtect Agente
- Sistema MacOS y OS Windows
Resolution
GlobalProtect 5.1.5+ ahora soporta la configuración infinita DNS TTL para el túnel dividido. Esto se puede hacer agregando el puerto '1' a cualquiera FQDN en la lista del Túnel dividido del dominio bajo Red> > GlobalProtect Gateways> Agent> Client Settings> Split Tunnel> Domain and Application. Los resultados de dicha configuración se pueden ver en el siguiente registro:
SP added an exclude ip 216.58.212.238, port 0, ttl 0 for domain www.youtube.com, original ttl=60, infinite ttl=yes