Nach der Aktivierung von Network Packet Broker führt eine Paketschleife innerhalb des Brokers zu hohen Paketraten, was zu einer hohen CPU-Auslastung der Datenebene führt
3005
Created On 01/10/23 01:28 AM - Last Modified 06/03/25 03:00 AM
Symptom
- Wenn Sie den Netzwerkpaketbroker aktivieren, wird die DP-CPU aufgrund der sehr hohen Paketrate hoch. Das Problem tritt zeitweise auf
- Der Anstieg der Paketrate ist auf eine Paketschleife in der Brokersitzung zurückzuführen.
- Sobald die Brokersitzung gelöscht ist, sinkt sowohl die Paketrate als auch die DP-CPU.
- Verwerfen aufgrund eines Proxy-Entschlüsselungsfehlers.
- Vom Client wurde "Schwerwiegend, Zertifikat unbekannt" empfangen*
CMA-FW-PA01(active)> show session id 1349898 ...... session terminated on host : False session traverses tunnel : False session terminate tunnel : False captive portal session : False ingress interface : ae4.221 egress interface : ae5.533 session QoS rule : N/A (class 4) tracker stage firewall : proxy decrypt failure tracker stage l7proc : ctd proc changed end-reason : decrypt-error .....
- Aufgrund der Paketschleife kann die Brokersitzung bis zu 1G* groß werden*
CMA-FW-PA01(active)> show session all filter ingress-interface ethernet1/6 min-kb 1048576 -------------------------------------------------------------------------------- ID Application State Type Flag Src[Sport]/Zone/Proto (translated IP[Port]) Vsys Dst[Dport]/Zone (translated IP[Port]) -------------------------------------------------------------------------------- 1673649 none ACTIVE FLOW 172.25.171.62[51410]/Packet-Broker/6 (172.25.171.62[51410]) vsys1 172.25.95.250[8080]/Packet-Broker (172.25.95.250[8080]) {noformat}
- Erst wenn die Sitzung beendet wird, sinkt die Paketrate. Bei mehreren ähnlichen Sitzungen erhöht sich die Paketrate (800000/s in der Kundenumgebung), wenn die DP-CPU steigt.
FW-PA01(active)> show session info | match "Packet rate:" Packet rate: 53844/s FW-PA01(active)> show session info | match "Packet rate:" Packet rate: 68708/s FW-PA01(active)> show session info | match "Packet rate:" Packet rate: 83558/s FW-PA01(active)> show session info | match "Packet rate:" Packet rate: 101342/s
- Der Paketpuffer ist aufgebraucht, was zu einer hohen DP-CPU führt.
admin@pa-850> show running resource-monitor second last 60 Resource monitoring sampling data (per second): CPU load sampling by group: flow_lookup : 100% flow_fastpath : 100% flow_slowpath : 100% flow_forwarding : 100% flow_mgmt : 100% flow_ctrl : 100% nac_result : 100% flow_np : 100% dfa_result : 100% module_internal : 100% aho_result : 100% zip_result : 100% pktlog_forwarding : 100% lwm : 0% flow_host : 100% fpga_result : 0% CPU load (%) during last 60 seconds: core 0 1 2 3 4 5 6 7 * 100 100 100 100 100 * * * 100 100 100 100 100 * * * 100 100 100 100 100 * * * 100 100 100 100 100 * * * 100 100 100 100 100 * * * 100 100 100 100 100 * * * 100 100 100 100 100 * * * 100 100 100 100 100 * * * 100 100 100 100 100 * * .....output omitted.... packet buffer: 56 67 79 98 98 99 98 94 95 95 99 94 99 99 90 99 100 100 99 99 99 93 52 28 8 7 2 1 1 1 0 4 12 18 24 22 26 18 2 0 2 0 0 11 22 32 51 57 74 74 52 57 56 61 61 67 83 77 72 75 ....
Environment
- Wirkt sich auf alle Firewalls aus, die eine Verbindung zum Network Packet Broker (NPB) herstellen
- Alle PANOS 10.1.7 oder niedriger
Cause
Software-Problem.
Resolution
- Das Problem wurde in PANOS 10.1.8 und 10.2.4 unter PAN-194441 behoben. Das Upgrade behebt das Problem.
- PAN-194441 – Es wurde ein Problem behoben, bei dem die CPU-Auslastung der Datenebene aufgrund von Paketschleifen in der Brokersitzung höher als erwartet war, wenn der Netzwerkpaketbroker aktiviert war.