So reduzieren Sie die Anzahl der Adressgruppenobjekte, die auf dem Firewall
11841
Created On 03/22/23 16:29 PM - Last Modified 11/29/23 17:28 PM
Objective
- Prüfen Sie die maximale Kapazität der Firewall in der Anzahl der Adressgruppenobjekte.
- Überprüfen Sie die aktuelle Anzahl der konfigurierten Adressgruppenobjekte auf .Firewall
- Reduzieren Sie die Adressgruppenobjekte einer lokal verwalteten Firewall.
- Reduzieren Sie die Adressgruppenobjekte einer verwalteten Panorama Firewall.
Environment
- NGFW
- Adressgruppenobjekte
Procedure
- Überprüfen Sie die maximale Kapazität von Adressgruppenobjekten für Ihre Firewall.
- Verwendung Firewall CLI:
show system state | match cfg.general.max-address-group
- Hinweis: Falls der Wert im Hexadezimalformat 0x aufgeführt ist, muss er in Dezimalzahlen konvertiert werden. Die neuesten Plattformen und PAN-OS Versionen listen den Wert in Dezimalzahlen auf.
- Klicken Sie auf der Webseite "Produktauswahl" unter Ihrem Plattformnamen auf "Mehr anzeigen", um die maximale Anzahl von Adressgruppen zu finden.
- Informationen zu VM-Serien Firewall finden Sie unter Maximale Grenzwerte basierend auf Ebene und Speicher.
- Verwendung Firewall CLI:
- Überprüfen Sie die aktuelle Anzahl der Adressgruppenobjekte aus OBJECTS > Adressgruppen.
Hinweis: Wenn es sich um mehrere vsys handelt, müssen Sie die Anzahl der Elemente addieren, die unter jedem vsys aufgelistet sind, um FW die Gesamtzahl der auf der FWkonfigurierten Adressgruppenobjekte zu erhalten.
- Für lokal verwaltete Firewall:
- Löschen Sie die nicht verwendeten Adressgruppenobjekte, die unter OBJECTS > Adressgruppen konfiguriert sind.
- Erwägen Sie ggf. das Zusammenführen von Adressgruppen unter Berücksichtigung der maximalen Anzahl von FW Mitgliedern pro Adressgruppe.
- Erwägen Sie, die Option "Nicht verwendete Adress- und Dienstobjekte mit Geräten teilen" zu deaktivieren.
- Überprüfen Sie Ihre Gerätegruppenhierarchie: Erwägen Sie, die (s) mit einer geringeren Kapazitätsgrenze unter eine andere Gerätegruppe zu stellen als die FWFW(s) mit einer höheren Kapazitätsgrenze.
- Reduzieren Sie die Anzahl der Adressobjekte, die unter Gerätegruppen konfiguriert sind, > > OBJECTS Adressgruppen.
- Wenn Sie auch nach Befolgung der oben aufgeführten Empfehlung nicht in der Lage sind, die Anzahl der Adressgruppenobjekte unter die Kapazitätsgrenze zu reduzieren, FW sollten Sie ein Upgrade FW auf eine Plattform mit höherer Kapazität in Betracht ziehen.
Additional Information
22.03.23 - KB wird verwendet und in AIOps referenziert. Wenn Änderungen erforderlich sind, wende dich bitte an eine KDE Nachricht im #Knowledgebase Slack Channel oder per E-Mail gcs-knowledge@paloaltonetworks.com