Las máquinas virtuales de Azure no transfieren todas las direcciones IP flotantes durante la conmutación por HA error

24969

Created On 02/19/21 08:19 AM - Last Modified 10/25/25 17:18 PM

Symptom

Siempre que se desencadena la conmutación por error para un clúster de alta disponibilidad VM implementado en Microsoft Azure con la dirección flotante IP establecida como dirección secundaria de las interfaces, una o más direcciones flotantes IP no se desplazan hacia el nuevo dispositivo activo VM .
Alrededor del momento de la conmutación por error, el archivo pan_vm_plugin.log en el nuevo activo firewall muestra que la solicitud hacia Azure (para adjuntar el ) produce un error con el HTTP PUT NICcódigo de respuesta 403:

vm_ha_state_trans INFO: : Probe result for detaching NIC: paloalto1-untrust is : {u'status': u'Succeeded'}
vm_ha_state_trans INFO: : DEBUG: Sending attach command for NIC : paloalto2-untrust
vm_ha_state_trans INFO: : Instance running in region 'westus'
vm_ha_state_trans INFO: : URL for put request: https://management.azure.com//subscriptions/<sanitized string>/resourceGroups
                          /paloaltonetworks/providers/Microsoft.Network/networkInterfaces/paloalto2-untrust?api-version=2019-11-01
vm_ha_state_trans INFO: : Put Request Failed: 403

Environment

VM firewalls en Azure.
HAActivo-Pasivo configurado.
Cualquiera PAN-OS.
Ambas instancias están bajo el mismo grupo de recursos
La dirección flotante IP se asigna como la dirección secundaria de capa 3 de firewall las interfaces en el dispositivo activo

Cause

Este es un problema causado por el nivel de autorización de la entidad de servicio de Azure asociada a los firewalls.
La cuenta no tiene suficientes privilegios para realizar la acción de transferencia solicitada.

Resolution

Asegúrese de que a nuestra cuenta principal de servicio asociada se le asigne el rol "Colaborador" en la IAM configuración de Microsoft Azure.
Esto dará suficientes privilegios al firewall para solicitar la IP transferencia con éxito.

Additional Information

El archivo pan_vm_plugin.log se puede verificar iniciando sesión en el firewall CLI y ejecutando: