SDWAN: Erreur de validation : Au maximum 9 occurrences sont autorisées pour l’interface/membre

9704

Created On 09/08/22 03:43 AM - Last Modified 01/31/23 00:16 AM

Symptom

La Panorama validation réussira mais échouera lorsqu’elle sera poussée vers les pare-feu.

Autogenerated SDWAN configuration
Validation Error:
At most 9 occurrences are allowed for interface/member
network -> interface -> sdwan -> units -> sdwan.903 -> interface is invalid
Commit failed

NOTE: très probablement, ce qui précède sera rencontré à partir du hub, bien qu’il y ait une légère chance que cela se produise au rayon.

Environment

Panorama Version 10.1.6
SD-WAN Plugin version 2.2
Pare-feu dans une hub topologie en étoile
PAN-OS Version 10.1.6

Cause

Plusieurs combinaisons de topologies peuvent être considérées qui conduisent à l’erreur, dont l’une est basée sur la topologie fournie ci-dessous.
Pour comprendre comment l’erreur est générée, nous devons prendre en compte les trois facteurs contributifs:

Le premier est basé sur les types de liens provisionnés, et selon doc

"
(ADSL/, Modem câble, Ethernet, /LTE3G/4G/5G, , Micro-ondes/DSLRadio, FiberMPLSSatellite, WiFi ou Autre). Le firewall peut prendre en charge n’importe quel appareil qui se termine et se remet en tant que connexion Ethernet au ; par exemple, les points d’accès CPE WiFi, les modems, LTE les firewallCPE laser/micro-ondes peuvent tous se terminer avec un transfert Ethernet.

Les types de liaison point à point privés (MPLSsatellite, micro-ondes et autres) formeront des tunnels avec uniquement le même type de liaison, par exemple, MPLS-vers etMPLS satellite à satellite. Les tunnels ne seront pas créés entre une liaison et une MPLS liaison Ethernet, par exemple.
«

La seconde est basée sur le nombre de liens ajoutés par type de lien.

La troisième est que s’il existe un type de liaison point à point (satellite, micro-ondes et autre) sur le site, l’interface Ethernet sera ajoutée par le hub SDWAN-plugin à l’interface sdwan (MPLSveuillez vous référer aux captures d’écran dans 1.a.iv et 1.c.iv, où vous pouvez voir l’interface Ethernet ajoutée en plus des interfaces de tunnel standard).

IPSEC Avec la topologie ci-dessus, les et Branch_1 ont quatre et deux types de liaison Ethernet en conséquence ; chaque interface formera un tunnel vers toutes les Hub interfaces de la télécommande ayant le même type de liaison. Par conséquent, nous aurons huit IPSEC tunnels sur le type de liaison Ethernet (4x2 = 8).

En plus de ce qui précède, un tunnel sera formé pour le type de liaison, et une interface Ethernet attribuée au MPLS type de liaison sera également incluse dans l’interface sdwan, soit un total de MPLS dix interfaces. Par conséquent, nous aurons l'erreur.

Resolution

Types de liens; Nous allons explorer au moins trois combinaisons différentes pour corriger l'erreur.
1. Type de liaison Ethernet uniquement
  1. HUBConfiguration de l'interface de
  2. HUBIPSEC vers Banch_1
  3. Hubmappage de l'interface SDWAN de la IPSEC VPN sans interface Ethernet.
  4. Configuration de l'interface de Branch_1
  5. Branch_1 tunnel IPSEC se dirige vers le Hub
  6. Branch_1 mappage de l'interface SDWAN avec le IPSEC VPN
2. Types Ethernet et MPLS de liaison
  1. Hubà partir de Panorama
  2. HubConfiguration de l'interface de
  3. HubIPSEC vers Branch_1
  4. HubMappage de l'interface SDWAN de avec le IPSEC VPN et Ethernet
  5. Configuration de l'interface de Branch_1
  6. Branch_1 tunnels vers IPSEC le Hub
  7. Branch_1 mappage de l'interface SDWAN avec le IPSEC VPN
3. Types de liaisons Ethernet, , MPLSmicro-ondes et satellite
  1. Hubà partir de Panorama
  2. HubConfiguration de l'interface de
  3. HubIPSEC VPN vers Branch_1
  4. HubMappage de l'interface SDWAN de avec le IPSEC VPN et Ethernet
  5. Configuration de l'interface de Branch_1
  6. Branch_1 tunnels vers IPSEC le Hub
  7. Branch_1 mappage de l'interface SDWAN avec le IPSEC VPN
Multi hubs; Si les solutions précédentes fournies étaient insuffisantes, vous pouvez configurer jusqu’à quatre hubs auxquels les branches peuvent se connecter. Vous permettant de quadrupler vos mappages d’interface.

En utilisant le dernier écran comme référence avec un hubseul ; mis en évidence ci-dessous est l'interface sdwan de la branche vers les quatre hubs.