域分割隧道流量的间歇性连接问题
12311
Created On 07/29/21 14:03 PM - Last Modified 11/01/24 02:27 AM
Symptom
- 由于流量不遵守域分裂隧道配置中的规则而引起的间歇性连接问题。
- 下面的 PanGPS 转储日志显示，"www.youtube.com"匹配包含域规则，因此其 IP 地址"216.58.212.238"已添加到 IP 绑定到 GlobalProtect 虚拟界面的地址列表中。 （注：此条目的活时间为 IP 60 秒，从响应中获取 DNS 。
P1824-T26147 Jul 23 08:12:48:324208 Dump ( 91): Received DNS request for www.youtube.com with type 1 P1824-T26147 Jul 23 08:12:48:324214 Dump (1259): Domain name www.youtube.com matches include wildcard domain P1824-T26147 Jul 23 08:12:48:324218 Dump (1355): Insert CNAME youtube-ui.l.google.com(Ex). P1824-T26147 Jul 23 08:12:48:324224 Dump ( 504): SP added an include ip 216.58.212.238, port 0, ttl 60 for domain www.youtube.com, original ttl=60, infinite ttl=no
- PanNExt 的以下日志.log表明，已启动 216.58.212.238 的新流量，但 TTL 拆分隧道 IP 规则已过期，这导致新的流量受制于物理界面而不是 GlobalProtect 虚拟界面。
P2575-T287 Jul 23 08:13:56:962874 Dump (2544): (0x7fcf9c40d510)handle new flow 216.58.212.238:443. P2575-T287 Jul 23 08:13:56:962985 Dump ( 223): (flow-0x7fcf9c40d510)(0x7fcf9c40fa40) Flow initialize NetCli (TCP)-SP Domain, via Phy interface, remote 216.58.212.238:443 P2575-T287 Jul 23 08:13:56:963049 Dump ( 230): (0x7fcf9c40fa40) remote network address 216.58.212.238:443 P2575-T287 Jul 23 08:13:56:963074 Dump (1225): check sp policy, remote addr 216.58.212.238:443 P2575-T287 Jul 23 08:13:56:963100 Dump (1758): find sp ipp rule 4 match 216.58.212.238 bind_if Virtual P2575-T287 Jul 23 08:13:56:963105 Dump (1770): The sp ipp rule is expired. P2575-T287 Jul 23 08:13:56:963350 Dump ( 369): (0x7fcf9c40fa40) openWithLocalEndpoint success. P2575-T287 Jul 23 08:13:57:45084 Dump ( 479): (0x7fcf9c40fa40) connected to remote. P2575-T287 Jul 23 08:13:57:45109 Dump ( 623): (0x7fcf9c40fa40) create sock wr source. P2575-T287 Jul 23 08:13:57:45116 Dump ( 883): (0x7fcf9c40fa40) call receive_from_flow P2575-T13103 Jul 23 08:13:57:45151 Dump ( 887): (0x7fcf9c40fa40) tcp flow read 517 bytes P2575-T287 Jul 23 08:13:57:45158 Dump ( 571): (0x7fcf9c40fa40) local address 192.168.20.222:51935 <<<<==== Physical interface
注意：此方案中的配置在拆分隧道下配置了一些子网，包括路线，这就是为什么"216.58.212.238"根据指向物理适配器的默认路线入口与物理界面绑定的原因。
Environment
- GlobalProtect 代理
- MacOS 和窗口 OS 系统
Resolution
GlobalProtect 5.1.5+ 现在支持 DNS TTL 为拆分隧道配置无限。 这可以通过 FQDN 在网络下的任何域拆分隧道列表中添加端口"1"来实现 > GlobalProtect >网关>代理>客户端设置>拆分隧道>域和应用程序。 此类配置的结果可在下面的日志中看到：
SP added an exclude ip 216.58.212.238, port 0, ttl 0 for domain www.youtube.com, original ttl=60, infinite ttl=yes