So reduzieren Sie die Anzahl der Servicegruppenobjekte, die auf dem Firewall
8021
Created On 03/21/23 16:50 PM - Last Modified 11/29/23 17:31 PM
Objective
- Prüfen Sie die maximale Kapazität der Firewall in der Anzahl der Servicegruppenobjekte.
- Überprüfen Sie die aktuelle Anzahl der konfigurierten Servicegruppenobjekte auf .Firewall
- Reduzieren Sie die Anzahl der Servicegruppenobjekte einer lokal verwalteten Firewall.
- Reduzieren Sie die Servicegruppenobjekte einer verwalteten Panorama Firewall.
Environment
- NGFW
- Service group-Objekte
Procedure
- Überprüfen Sie die maximale Kapazität von Servicegruppenobjekten für Ihre Firewall.
- Verwendung Firewall CLI:
show system state | match cfg.general.max-service-group
- Hinweis: Falls der Wert im Hexadezimalformat 0x aufgeführt ist, muss er in Dezimalzahlen konvertiert werden. Die neuesten Plattformen und PAN-OS Versionen listen den Wert in Dezimalzahlen auf.
- Klicken Sie auf der Webseite "Produktauswahl" unter Ihrem Plattformnamen auf "Mehr anzeigen", um die maximale Anzahl von Servicegruppen zu finden.
- Informationen zu VM-Serien Firewall finden Sie unter Maximale Grenzwerte basierend auf Ebene und Speicher.
- Verwendung Firewall CLI:
- Überprüfen Sie die aktuelle Anzahl von Servicegruppenobjekten aus OBJECTS > Servicegruppen.
Hinweis: Wenn es sich um mehrere vsys handelt, müssen Sie die Anzahl der Elemente addieren, die unter jedem vsys aufgelistet sind, um FW die Gesamtzahl der Servicegruppenobjekte zu erhalten, die auf dem FWkonfiguriert sind.
- Für lokal verwaltete Firewall:
- Löschen Sie die nicht verwendeten Servicegruppenobjekte, die unter OBJECTS > Servicegruppen konfiguriert sind.
- Erwägen Sie ggf. die Zusammenlegung von Dienstgruppen unter Berücksichtigung der FW maximalen Anzahl von Mitgliedern pro Dienstgruppe.
- Für Panorama verwaltete Firewall:
- Erwägen Sie, die Option "Nicht verwendete Adress- und Dienstobjekte mit Geräten teilen" zu deaktivieren.
- Überprüfen Sie Ihre Gerätegruppenhierarchie: Erwägen Sie, die (s) mit einer geringeren Kapazitätsgrenze unter eine andere Gerätegruppe zu stellen als die FWFW(s) mit einer höheren Kapazitätsgrenze.
- Verringern Sie die Anzahl der Servicegruppenobjekte, die unter Gerätegruppen > > OBJECTS Servicegruppen konfiguriert sind.
- Wenn Sie auch nach Befolgung der oben aufgeführten Empfehlung nicht in der Lage sind, die Anzahl der Servicegruppenobjekte unter die Kapazitätsgrenze des zu reduzieren, FW sollten Sie ein Upgrade auf FW eine Plattform mit höherer Kapazität in Betracht ziehen.