如何解决数据包缓冲区或数据包描述符使用率过高的问题

• 本文提供了有关解决高数据包缓冲区或数据包描述符问题的一般指导。
• 数据包缓冲区使用率过高可能会导致用户流量缓慢和延迟。许多不同的因素都可能导致数据包缓冲区使用率过高。请参阅以下可能的情况

1. 意外流量突发、 DoS攻击。
2. 对于 PA-3200、PA-5200、PA-7000，属于被拒绝的单个会话的拒绝流量率很高，属于单个会话的碎片流量率很高。
3. 与高数据平面中央处理器相关。如果数据平面中央处理器繁忙，则数据包缓冲区可能会填满。请参阅此处了解如何降低数据平面中央处理器 的提示。
4. 软件缺陷，导致数据包缓冲区无法释放。在这种情况下，即使通过防火墙的流量很低，数据包缓冲区的使用率也会很高。

• Palo Alto 防火墙
• 支持的 PAN OS
• 数据包缓冲区和数据包描述符

场景 A：

1. 检查威胁日志。
2. 仅当启用数据包缓冲区保护(PBP) 时才会记录威胁日志。
3. 检查 PBP 是否已启用并激活。（请参阅下面的迁移步骤）

情景 A 和 B 的缓解措施

1. 检查威胁日志，查看是否有任何流量被识别为高流量的来源。
2. 如果没有看到威胁日志，请确保已启用数据包缓冲区保护 (PBP)，并且配置的参数足以降低数据包缓冲区的使用率。（ PBP 的激活阈值默认为 80%。如果防火墙大小正确，缓冲区利用率应远低于 50%）
   1. 要检查 PBP 是否已启用和/或激活，请使用CLI show 会话 packet-buffer-protection

> show session packet-buffer-protection
  Packet buffer protection is disabled.

> show session packet-buffer-protection
 ------------------------------------------------------------------------------------------
dp0
------------------------------------------------------------------------------------------
Packet buffer count based
Congestion: 1/86016 (0%)
System resource usage is low, packet buffer protection not activated.
------------------------------------------------------------------------------------------
dp1
------------------------------------------------------------------------------------------
Packet buffer count based
Congestion: 1/86016 (0%)
System resource usage is low, packet buffer protection not activated.

> show session packet-buffer-protection
-------------------------------------------------------------------------------------------
dp0
-------------------------------------------------------------------------------------------
Packet buffer count based
Congestion: 12431/17203 (72%)
Drop probability: 74%. Percentage drop threshold: 48.
-------------------------------------------------------------------------------------------
|                   |      |            | Drop  |     Packets      |
Session/IP Address |       Zone        | PCS  | Percentage | State | Total  | Dropped | Time till discard
-------------------------------------------------------------------------------------------

38492              | replay_vw_trust   | 4088 | 49         | Yes   | 381171 | 121232  | 59
38492              | replay_vw_untrust | 4024 | 49         | Yes   | 392557 | 125172  | 57
172.16.1.1         | vw-trust          | 31   | 0          | No    | 721    | 0       | 60
51718              | vw-trust          | 9    | 0          | No    | 1      | 0       | 60
172.16.1.2         | vw-untrust        | 4    | 0          | No    | 71     | 0       | 60
51704              | vw-untrust        | 3    | 0          | No    | 0      | 0       | 60
51712              | vw-trust          | 3    | 0          | No    | 0      | 0       | 60
51714              | vw-untrust        | 3    | 0          | No    | 0      | 0       | 60
-------------------------------------------------------------------------------------------

• 如果数据包缓冲区使用率很高，但 PBP 尚未激活，则确定是否应降低 PBP 阈值。默认下，当缓冲区使用率达到 80% 时，PBP 就会启动。可以降低活动阈值，以便如果存在滥用会话，可以更早地将其丢弃。要更改 PBP 的配置，请转到此处： 配置数据包缓冲区保护

2. 确保区域保护配置文件到位，以防止数据包洪水。
   下面的CLI打印了为特定区配置的区保护阈值。调整阈值以匹配设备看到的流量模式。

> show zone-protection zone <zone name>
------------------------------------------------------------------------------------------
Number of zones with protection profile: 1
------------------------------------------------------------------------------------------
Zone test, vsys vsys1, profile tap
------------------------------------------------------------------------------------------
tcp-syn              RED enabled: yes
DP alarm rate:       80000 cps, activate rate:   80000 cps, maximal rate:   80000 cps
current:            193413 packets
dropped:           262219664 packets
------------------------------------------------------------------------------------------
udp                  RED enabled: yes
DP alarm rate:       80000 cps, activate rate:   80000 cps, maximal rate:   80000 cps
current:                 0 packets
dropped:                 0 packets
------------------------------------------------------------------------------------------
icmp                 RED enabled: yes
DP alarm rate:       80000 cps, activate rate:   80000 cps, maximal rate:   80000 cps
current:                 0 packets
dropped:                 0 packets
------------------------------------------------------------------------------------------
other-ip             RED enabled: yes
DP alarm rate:       80000 cps, activate rate:   80000 cps, maximal rate:   80000 cps
current:                 0 packets
dropped:                 0 packets
------------------------------------------------------------------------------------------
icmpv6               RED enabled: yes
DP alarm rate:       80000 cps, activate rate:   80000 cps, maximal rate:   80000 cps
current:                 0 packets
dropped:                 0 packets

3. 如果通过威胁日志或show 会话 packet-buffer-protection的CLI输出识别出会话，则可以针对该流量采取特定措施，方法是针对已知违规者创建DoS策略并按照记录在案的说明进行操作（ 由于策略拒绝导致片上描述符和数据包缓冲区使用率过高，从而导致流量延迟和丢失）。或者，可以在防火墙上游停止流量。

场景 B：

• 运行“ show running resource-monitor”并查看片上数据包描述符的输出。如果该值始终大于 90%，则设备正在遇到场景 B。

Resource utilization (%) during last 5 seconds:
session:
  0   0   0   0   0 
packet buffer:
 75  75  75  75  75 
packet descriptor:
  0   0   0   0   0 
packet descriptor (on-chip):
100 100 100 100 100

show running resource-monitor
debug dataplane pow performance
debug dataplane pool statistics
show counter global filter delta yes (multiple times)
show counter global