Comment résoudre les problèmes d'utilisation excessive de tampons de paquets ou de descripteurs de paquets

• L'article fournit des conseils généraux sur le dépannage des tampons de paquets élevés ou des descripteurs de paquets.
• Une utilisation élevée de la mémoire tampon des paquets peut entraîner une lenteur et une latence dans le trafic utilisateur . De nombreux facteurs différents peuvent être à l'origine d'une utilisation élevée de la mémoire tampon des paquets. Voir les scénarios possibles ci-dessous

1. Explosion de trafic inattendue, attaque DoS .
2. Pour les PA-3200, PA-5200, PA-7000, taux élevé de trafic refusé appartenant à une seule session refusée, taux élevé de trafic fragmenté appartenant à une seule session.
3. Associé à un processeur de plan de données élevé. Si le processeur du plan de données est occupé, les tampons de paquets peuvent se remplir. Voir ici pour des conseils sur la façon de réduire le processeur du plan de données .
4. Défaut logiciel où les tampons de paquets ne sont pas libérés. Dans ce scénario, l'utilisation du tampon de paquets est élevée même lorsque le trafic traversant le pare-feu est très faible.

• Pare-feu Palo Alto
• Système d'exploitation PAN pris en charge
• Tampons de paquets et descripteurs de paquets

Scénario A :

1. Vérifiez les journaux de menace .
2. Les journaux des menaces ne seront enregistrés que si la protection du tampon de paquets (PBP) est activée.
3. Vérifiez si PBP a été activé. (Voir les étapes de migration ci-dessous)

Atténuation des risques pour les scénarios A et B

1. Vérifiez les journaux des menace pour voir si un trafic a été identifié comme la source du trafic élevé.
2. Si aucun journal de menace n'est visible, assurez-vous que la protection du tampon de paquets (PBP) est activée et que les paramètres configurés sont suffisants pour réduire l'utilisation du tampon de paquets. ( Le seuil d'activation de PBP est par défaut de 80 %. Si le pare-feu est correctement dimensionné, l'utilisation du tampon doit être bien inférieure à 50 %)
   1. Pour vérifier si PBP a été activé et/ou activé, utilisez CLI show session packet-buffer-protection

> show session packet-buffer-protection
  Packet buffer protection is disabled.

> show session packet-buffer-protection
 ------------------------------------------------------------------------------------------
dp0
------------------------------------------------------------------------------------------
Packet buffer count based
Congestion: 1/86016 (0%)
System resource usage is low, packet buffer protection not activated.
------------------------------------------------------------------------------------------
dp1
------------------------------------------------------------------------------------------
Packet buffer count based
Congestion: 1/86016 (0%)
System resource usage is low, packet buffer protection not activated.

> show session packet-buffer-protection
-------------------------------------------------------------------------------------------
dp0
-------------------------------------------------------------------------------------------
Packet buffer count based
Congestion: 12431/17203 (72%)
Drop probability: 74%. Percentage drop threshold: 48.
-------------------------------------------------------------------------------------------
|                   |      |            | Drop  |     Packets      |
Session/IP Address |       Zone        | PCS  | Percentage | State | Total  | Dropped | Time till discard
-------------------------------------------------------------------------------------------

38492              | replay_vw_trust   | 4088 | 49         | Yes   | 381171 | 121232  | 59
38492              | replay_vw_untrust | 4024 | 49         | Yes   | 392557 | 125172  | 57
172.16.1.1         | vw-trust          | 31   | 0          | No    | 721    | 0       | 60
51718              | vw-trust          | 9    | 0          | No    | 1      | 0       | 60
172.16.1.2         | vw-untrust        | 4    | 0          | No    | 71     | 0       | 60
51704              | vw-untrust        | 3    | 0          | No    | 0      | 0       | 60
51712              | vw-trust          | 3    | 0          | No    | 0      | 0       | 60
51714              | vw-untrust        | 3    | 0          | No    | 0      | 0       | 60
-------------------------------------------------------------------------------------------

• Si l'utilisation de la mémoire tampon des paquets est élevée, mais que PBP n'a pas été activé, déterminez si les seuils PBP doivent être abaissés. Par par défaut, PBP se déclenche lorsque l'utilisation de la mémoire tampon atteint 80 %. Le seuil actif peut être abaissé de sorte qu'en cas de session abusive, elle puisse être supprimée plus tôt. Pour modifier la configuration de PBP, accédez à : Configurer la protection de la mémoire tampon des paquets

2. Assurez-vous que les profils de protection de zone sont en place pour protéger contre les inondations de paquets.
   Ci-dessous, la CLI imprime les seuils de protection de zone configurés pour une zone spécifique. Ajustez les seuils pour qu'ils correspondent au modèle de trafic observé par l' appareil.

> show zone-protection zone <zone name>
------------------------------------------------------------------------------------------
Number of zones with protection profile: 1
------------------------------------------------------------------------------------------
Zone test, vsys vsys1, profile tap
------------------------------------------------------------------------------------------
tcp-syn              RED enabled: yes
DP alarm rate:       80000 cps, activate rate:   80000 cps, maximal rate:   80000 cps
current:            193413 packets
dropped:           262219664 packets
------------------------------------------------------------------------------------------
udp                  RED enabled: yes
DP alarm rate:       80000 cps, activate rate:   80000 cps, maximal rate:   80000 cps
current:                 0 packets
dropped:                 0 packets
------------------------------------------------------------------------------------------
icmp                 RED enabled: yes
DP alarm rate:       80000 cps, activate rate:   80000 cps, maximal rate:   80000 cps
current:                 0 packets
dropped:                 0 packets
------------------------------------------------------------------------------------------
other-ip             RED enabled: yes
DP alarm rate:       80000 cps, activate rate:   80000 cps, maximal rate:   80000 cps
current:                 0 packets
dropped:                 0 packets
------------------------------------------------------------------------------------------
icmpv6               RED enabled: yes
DP alarm rate:       80000 cps, activate rate:   80000 cps, maximal rate:   80000 cps
current:                 0 packets
dropped:                 0 packets

3. Si une session est identifiée via les journaux des menace ou la sortie CLI de show session packet-buffer-protection , des mesures spécifiques peuvent être prises contre ce trafic, en créant une politique, règle, mesures DoS contre les contrevenants connus et en suivant les instructions documentées dans ( HIGH ON-CHIP DESCRIPTOR AND PACKET BUFFER USAGE DUE TO POLICY DENY RESULTING IN TRAFFIC LATENCE AND DROPS ). Ou, le trafic peut être arrêté en amont du pare-feu.

Scénario B :

• Exécutez ? show running resource-monitor ? et examinez la sortie pour les descripteurs de paquets intégrés. Si la valeur est systématiquement supérieure à 90 %, le appareil rencontre le scénario B.

Resource utilization (%) during last 5 seconds:
session:
  0   0   0   0   0 
packet buffer:
 75  75  75  75  75 
packet descriptor:
  0   0   0   0   0 
packet descriptor (on-chip):
100 100 100 100 100

show running resource-monitor
debug dataplane pow performance
debug dataplane pool statistics
show counter global filter delta yes (multiple times)
show counter global