MTU Missmatch könnte OSPF Adjacency nach unten gehen.

34485

Created On 12/07/20 21:08 PM - Last Modified 03/26/21 18:49 PM

Symptom

Der Datenverkehr kann nach dem Failover nicht auf die Sekundäre übertragen firewall werden, wenn Hochverfügbarkeit konfiguriert ist. Der Firewall ist nur in der Lage, seine benachbarten Geräte zu erreichen, aber keine anderen Endhosts, und vise versa.

Systemlog zeigt OSPF Anjacenz mit Nachbar nach unten gegangen.

OSPF Nachbarverwaltung zeigt an, dass sich der Status im Exchange-Status befindet.

Wenn Sie den Paketerfassungsfilter mit dem Nachbarn einrichten, zeigt der globale Leistungsindikator an, dass der Drop auf flow_ipfrag_size_not_matchzurückzuführen ist.

Environment

Palo AltoFirewall
PAN-OS 9.1, 9.2
Hochverfügbarkeit ( HA ) und OSPF konfiguriert.

Cause

Die Sitzungseinstellung in Device > Setup > Session zeigt Jumboframe-Aktiviert mit Global MTU 9214 auf firewall sekundären, aber nicht primären firewall .

Benutzeriertes Bild

Resolution

Deaktivieren Sie den Jumbo-Frame, und ändern Sie Global MTU in 1500. Beachten Sie, dass dies mit dem MTU des benachbarten Geräts übereinstimmt.
Da Jumbo Frame-Änderung einen Neustart benötigt, follow-up durch einen System-Neustart
OSPF Nachbarschaft sollte wieder verfügbar sein und alle internen Ressourcen werden wieder erreichbar.

Hinweis: MTU Nichtübereinstimmung kann dazu führen, dass OSPF nicht einmal in einem Nicht-Setup HA kommen.

Additional Information