PBF Monitor funktioniert nicht über SD-WAN
12590
Created On 09/23/20 22:09 PM - Last Modified 03/26/21 18:39 PM
Symptom
- A PBF Regel SD-WAN wird mit Monitor konfiguriert. Zum Beispiel in der policy unten dargestellten eth1/6 ist ein Mitglied der SD-WAN Verbindung. Wenn Monitor IP 8.8.8.8 über die nicht erreichbar SD-WAN ist, sollte die Regel deaktiviert werden.
GUI: Richtlinien --> Policy Basierte Weiterleitung - Name
- Wenn SD-WAN die PBF Sendezeit fehlschlägt, bleibt die Regel aktiv, wodurch ein Datenverkehrsfailover zur Sicherungsverbindung verhindert wird.
Environment
- Alle Versionen von PAN-OS
- Jede Palo Alto Firewall .
- Policy-Basierte Weiterleitung ist konfiguriert.
- Dual-Homed-Umgebungen.
Cause
Der Grund dafür ist, dass keine Keepalive-Nachrichten für den Monitor gesendet oder empfangen IP werden:
rmcrae@s07fw> show pbf rule name PBF_DSL-Loadbalance
Rule: PBF_DSL-Loadbalance(12)
Rule State: Active
Action: Forward
Symmetric Return: No
Egress IF/VSYS: sdwan.1
NextHopType: IP
NextHop: 63.231.10.70
Monitor Slot: 0
Monitor IP: 8.8.8.8
NextHop Status: UP
Monitor: Action:Fail-Over, Interval:4, Threshold:6
Stats: KA sent:0, KA got:0, Packet Matched:42970054 <<===Damit der Monitor funktioniert, ist eine gültige Quelle IP erforderlich, um das Monitorziel zu erreichen. Allerdings SD-WAN hat keine IP Adresse mit ihm verbunden, daher werden die Keepalives nie generiert.
Resolution
PBF Monitor wird über nicht SD-WAN unterstützt.