启用 Network Packet Broker 后，代理内的数据包循环会导致高数据包速率，从而导致数据平面 CPU 过高
3005
Created On 01/10/23 01:28 AM - Last Modified 06/03/25 03:00 AM
Symptom
- 启用 网络数据包代理时，由于数据包速率非常高，DP CPU 会变高。 问题间歇性发生
- 数据包速率的增加是由于代理会话中的数据包循环所致。
- 一旦代理会话被清除，数据包速率和 DP CPU 就会下降。
- 由于代理解密失败而丢弃。
- 从客户端收到“致命，证书未知”*
CMA-FW-PA01(active)> show session id 1349898 ...... session terminated on host : False session traverses tunnel : False session terminate tunnel : False captive portal session : False ingress interface : ae4.221 egress interface : ae5.533 session QoS rule : N/A (class 4) tracker stage firewall : proxy decrypt failure tracker stage l7proc : ctd proc changed end-reason : decrypt-error .....
- 由于数据包循环，代理会话可以达到 1G*
CMA-FW-PA01(active)> show session all filter ingress-interface ethernet1/6 min-kb 1048576 -------------------------------------------------------------------------------- ID Application State Type Flag Src[Sport]/Zone/Proto (translated IP[Port]) Vsys Dst[Dport]/Zone (translated IP[Port]) -------------------------------------------------------------------------------- 1673649 none ACTIVE FLOW 172.25.171.62[51410]/Packet-Broker/6 (172.25.171.62[51410]) vsys1 172.25.95.250[8080]/Packet-Broker (172.25.95.250[8080]) {noformat}
- 只有当会话被终止时，数据包速率才会下降。 对于多个类似的会话，数据包速率会增加（在客户环境中看到 800000/s），这是 DP CPU 增加的时候。
FW-PA01(active)> show session info | match "Packet rate:" Packet rate: 53844/s FW-PA01(active)> show session info | match "Packet rate:" Packet rate: 68708/s FW-PA01(active)> show session info | match "Packet rate:" Packet rate: 83558/s FW-PA01(active)> show session info | match "Packet rate:" Packet rate: 101342/s
- 数据包缓冲区已用完，这会导致 DP CPU 过高。
admin@pa-850> show running resource-monitor second last 60 Resource monitoring sampling data (per second): CPU load sampling by group: flow_lookup : 100% flow_fastpath : 100% flow_slowpath : 100% flow_forwarding : 100% flow_mgmt : 100% flow_ctrl : 100% nac_result : 100% flow_np : 100% dfa_result : 100% module_internal : 100% aho_result : 100% zip_result : 100% pktlog_forwarding : 100% lwm : 0% flow_host : 100% fpga_result : 0% CPU load (%) during last 60 seconds: core 0 1 2 3 4 5 6 7 * 100 100 100 100 100 * * * 100 100 100 100 100 * * * 100 100 100 100 100 * * * 100 100 100 100 100 * * * 100 100 100 100 100 * * * 100 100 100 100 100 * * * 100 100 100 100 100 * * * 100 100 100 100 100 * * * 100 100 100 100 100 * * .....output omitted.... packet buffer: 56 67 79 98 98 99 98 94 95 95 99 94 99 99 90 99 100 100 99 99 99 93 52 28 8 7 2 1 1 1 0 4 12 18 24 22 26 18 2 0 2 0 0 11 22 32 51 57 74 74 52 57 56 61 61 67 83 77 72 75 ....
Environment
- 影响连接到网络数据包代理 （NPB） 的任何防火墙
- 任何 PANOS 10.1.7 或以下
Cause
软件问题。
Resolution
- 此问题已在 PAN-194441 下的 PANOS 10.1.8 和 10.2.4 中修复。 升级将解决该问题。
- PAN-194441 - 修复了以下问题：启用网络数据包代理时，由于代理会话中的数据包循环，数据平面 CPU 使用率高于预期。