パケット バッファまたはパケット記述子の使用率が高い場合のトラブルシューティング方法

• この記事では、高パケット バッファーまたはパケット記述子のトラブルシューティングに関する一般的なガイダンスを提供します。
• パケット バッファの使用率が高いと、ユーザートラフィックの速度低下や遅延が発生する可能性があります。パケット バッファの使用率が高くなる原因は、さまざまな要因が考えられます。考えられるシナリオを次に示します。

1. 予期しないトラフィックの急増、 Dos攻撃。
2. PA-3200、PA-5200、PA-7000 の場合、拒否されている単一セッションに属する拒否トラフィックの割合が高く、単一セッションに属する断片化されたトラフィックの割合が高くなります。
3. データプレーンCPU使用率が高い場合に発生します。データプレーンCPU がビジー状態の場合、パケット バッファがいっぱいになる可能性があります。データプレーンCPU使用率を下げる方法については、ここを参照してください。
4. パケット バッファが解放されないソフトウェアの欠陥。このシナリオでは、ファイアウォールを通過するトラフィックが非常に少ない場合でも、パケット バッファの使用率が高くなります。

• パロアルトファイアウォール
• サポートされているPAN-OS
• パケット バッファとパケット記述子

シナリオA:

1. 脅威ログを確認します。
2. 脅威ログは、 パケット バッファー保護(PBP) が有効になっている場合にのみ記録されます。
3. PBP が有効になっていてアクティブになっているかどうかを確認します。(以下の移行手順を参照してください)

シナリオAとBの緩和策

1. 脅威ログをチェックして、高トラフィックの原因として特定されたトラフィックがあるかどうかを確認します。
2. 脅威ログが表示されない場合は、パケット バッファ保護 (PBP) が有効になっており、設定されたパラメータがパケット バッファの使用率を下げるのに十分であることを確認してください。( PBP のアクティブ化しきい値はデフォルトで 80% に設定されています。ファイアウォールのサイズが適切であれば、バッファ使用率は 50% を大幅に下回るはずです。)
   1. PBPが有効またはアクティブになっているかどうかを確認するには、 CLI show セッション packet-buffer-protectionを使用します。

> show session packet-buffer-protection
  Packet buffer protection is disabled.

> show session packet-buffer-protection
 ------------------------------------------------------------------------------------------
dp0
------------------------------------------------------------------------------------------
Packet buffer count based
Congestion: 1/86016 (0%)
System resource usage is low, packet buffer protection not activated.
------------------------------------------------------------------------------------------
dp1
------------------------------------------------------------------------------------------
Packet buffer count based
Congestion: 1/86016 (0%)
System resource usage is low, packet buffer protection not activated.

> show session packet-buffer-protection
-------------------------------------------------------------------------------------------
dp0
-------------------------------------------------------------------------------------------
Packet buffer count based
Congestion: 12431/17203 (72%)
Drop probability: 74%. Percentage drop threshold: 48.
-------------------------------------------------------------------------------------------
|                   |      |            | Drop  |     Packets      |
Session/IP Address |       Zone        | PCS  | Percentage | State | Total  | Dropped | Time till discard
-------------------------------------------------------------------------------------------

38492              | replay_vw_trust   | 4088 | 49         | Yes   | 381171 | 121232  | 59
38492              | replay_vw_untrust | 4024 | 49         | Yes   | 392557 | 125172  | 57
172.16.1.1         | vw-trust          | 31   | 0          | No    | 721    | 0       | 60
51718              | vw-trust          | 9    | 0          | No    | 1      | 0       | 60
172.16.1.2         | vw-untrust        | 4    | 0          | No    | 71     | 0       | 60
51704              | vw-untrust        | 3    | 0          | No    | 0      | 0       | 60
51712              | vw-trust          | 3    | 0          | No    | 0      | 0       | 60
51714              | vw-untrust        | 3    | 0          | No    | 0      | 0       | 60
-------------------------------------------------------------------------------------------

• パケット バッファの使用率が高いのに PBP がアクティブになっていない場合は、PBP しきい値を下げる必要があるかどうかを確認します。デフォルトでは、バッファの使用率が 80% になると PBP が作動します。アクティブしきい値を下げると、不正なセッションがあった場合に早期に破棄できます。PBP の設定を変更するには、こちらにアクセスしてください: パケット バッファ保護の構成

2. パケット フラッドから保護するために、ゾーン保護プロファイルが設定されていることを確認します。
   以下のCLI は、特定のゾーンに対して設定されたゾーン プロテクションしきい値を出力します。デバイスが認識するトラフィック パターンに合わせてしきい値を調整します。

> show zone-protection zone <zone name>
------------------------------------------------------------------------------------------
Number of zones with protection profile: 1
------------------------------------------------------------------------------------------
Zone test, vsys vsys1, profile tap
------------------------------------------------------------------------------------------
tcp-syn              RED enabled: yes
DP alarm rate:       80000 cps, activate rate:   80000 cps, maximal rate:   80000 cps
current:            193413 packets
dropped:           262219664 packets
------------------------------------------------------------------------------------------
udp                  RED enabled: yes
DP alarm rate:       80000 cps, activate rate:   80000 cps, maximal rate:   80000 cps
current:                 0 packets
dropped:                 0 packets
------------------------------------------------------------------------------------------
icmp                 RED enabled: yes
DP alarm rate:       80000 cps, activate rate:   80000 cps, maximal rate:   80000 cps
current:                 0 packets
dropped:                 0 packets
------------------------------------------------------------------------------------------
other-ip             RED enabled: yes
DP alarm rate:       80000 cps, activate rate:   80000 cps, maximal rate:   80000 cps
current:                 0 packets
dropped:                 0 packets
------------------------------------------------------------------------------------------
icmpv6               RED enabled: yes
DP alarm rate:       80000 cps, activate rate:   80000 cps, maximal rate:   80000 cps
current:                 0 packets
dropped:                 0 packets

3. 脅威ログまたはshow セッション packet-buffer-protectionのCLI出力を通じてセッションが特定された場合、既知の違反者に対するDosポリシーを作成し、( ポリシー拒否によるオンチップ記述子とパケット バッファの使用率が高くなり、トラフィックの遅延とドロップが発生する ) に記載されている手順に従って、そのトラフィックに対して特定のアクションを実行できます。または、ファイアウォールの上流でトラフィックを停止することもできます。

シナリオ B:

• ? show running resource-monitor ? を実行し、オンチップ パケット記述子の出力を確認します。値が一貫して 90% より大きい場合、デバイスはシナリオ B に該当しています。

Resource utilization (%) during last 5 seconds:
session:
  0   0   0   0   0 
packet buffer:
 75  75  75  75  75 
packet descriptor:
  0   0   0   0   0 
packet descriptor (on-chip):
100 100 100 100 100

show running resource-monitor
debug dataplane pow performance
debug dataplane pool statistics
show counter global filter delta yes (multiple times)
show counter global