Comment faire pour réduire le nombre de tunnels IPSec de site à site configurés sur le Firewall
11009
Created On 03/23/23 17:57 PM - Last Modified 11/29/23 17:27 PM
Objective
- Vérifiez la capacité maximale du Firewall dans le nombre de tunnels IPSec de site à site.
- Vérifiez le nombre actuel de tunnels IPSec de site à site configurés sur le Firewall.
- Réduisez les tunnels IPSec de site à site d’un Firewall.
- Réduisez le site au site des tunnels IPSec d’un Panorama Firewallfichier .
Environment
- NGFW
- Tunnels IPSec de site à site
Procedure
- Vérifiez la capacité maximale des tunnels IPSec de site à site pour votre Firewallfichier .
- Utilisation Firewall CLI:
show system state filter cfg.general.max* | match max-tunnel
- Remarque: Si la valeur est répertoriée au format hexadécimal 0x, elle doit être convertie en décimale. Les plates-formes et PAN-OS versions les plus récentes répertorient la valeur en décimales.
- Utilisez la page Web Sélection de produits, cliquez sur Afficher plus sous le nom de votre plate-forme pour trouver le maximum de site à site (avec ID de proxy).
- Pour VM-les séries Firewall, voir Limites maximales basées sur le niveau et la mémoire.
- Utilisation Firewall CLI:
- Comptez le nombre actuel de tunnels IPSec de site à site à partir de tunnels IPSec > NETWORK :
- Vérifiez le nombre d’articles :
- Si vous avez configuré des ID proxy sous la fenêtre Tunnel IPSec > ID de proxy, chaque proxy ID configuré sera compté comme un tunnel IPSec de site à site. Par conséquent, si un tunnel IPSec a n ID proxy configurés, vous devez ajouter (n-1) au nombre d’éléments répertoriés dans 2.a et répéter la même chose pour chaque tunnel IPSec configuré avec des ID proxy pour calculer le total des tunnels IPSec de site à site configurés sur votre FW.
- Vérifiez le nombre d’articles :
- Pour les gérés localement Firewall:
- Supprimez les tunnels IPSec inutilisés configurés sous NETWORK > Tunnels IPSec.
- Supprimez les ID de proxy inutilisés configurés sous NETWORK > Tunnels IPSec > ID de proxy.
- SuperNet ID proxy configurés sous NETWORK > Tunnels IPSec > ID proxy. Chaque entrée proxy ID est comptabilisée dans le nombre total de tunnel IPSec de site à site, envisagez d’utiliser 10.0.0.0/8 au lieu de 10.1.0.0/16 et 10.2.0.0/16.
- Pour Panorama les managés Firewall:
- Revoyez votre hiérarchie de groupes d’appareils : envisagez de placer le ou les groupes d’appareils avec une limite de capacité inférieure sous un groupe d’appareils FWdifférent de celui du ou des FWgroupes avec une limite de capacité plus élevée.
- Supprimez les tunnels IPSec inutilisés configurés sous Groupes de périphériques > > NETWORK Tunnels IPSec.
- Réduisez le nombre d’ID proxy configurés sous NETWORK > tunnels IPSec > ID proxy.
- Si, même après avoir suivi la recommandation ci-dessus, vous n’êtes pas en mesure de réduire le nombre de tunnels IPSec de site à site en dessous de la limite de capacité du , envisagez de mettre à niveau votre FW plate-forme vers une plate-forme de FW capacité supérieure.