SDWAN: 検証エラー: インターフェイス/メンバーには最大 9 回のオカレンスが許可されます

9700

Created On 09/08/22 03:43 AM - Last Modified 01/31/23 00:15 AM

Symptom

のPanoramacommit は成功しますが、ファイアウォールにプッシュされると失敗します。

Autogenerated SDWAN configuration
Validation Error:
At most 9 occurrences are allowed for interface/member
network -> interface -> sdwan -> units -> sdwan.903 -> interface is invalid
Commit failed

NOTE: ほとんどの場合、上記はhub、わずかですがスポークに発生する可能性があります。

Environment

Panorama バージョン 10.1.6
SD-WAN プラグインバージョン 2.2
のファイアウォールhubおよびスポークトポロジ
PAN-OS バージョン 10.1.6

Cause

複数のトポロジの組み合わせがエラーにつながると考えられます。そのうちの 1 つは、以下に示すトポロジに基づいています。
エラーがどのように生成されるかを理解するには、次の 3 つの要因を考慮する必要があります。

1 つ目は、プロビジョニングされたリンクタイプに基づいており、文書

"
(ADSL /DSL 、ケーブルモデム、イーサネット、Fiber 、LTE /3G/4G/5G、MPLS 、電子レンジ/ラジオ、衛星、WiFi、またはその他)。のfirewallどれでもサポートできますCPEへのイーサネット接続として終了し、ハンドオフするデバイス。firewall ;たとえば、WiFi アクセスポイント、LTEモデム、レーザー/マイクロ波 CPE はすべて、イーサネットハンドオフで終了できます。

プライベートなポイントツーポイントリンクタイプ (MPLS 、衛星、マイクロ波、およびその他) は、同じリンクタイプのみでトンネルを形成します。例えば、MPLS-に-MPLSそして衛星から衛星へ。間にトンネルは作成されません。MPLSたとえば、リンクとイーサネットリンクです。
"

2 つ目は、リンクタイプごとに追加されたリンクの数に基づいています。

3 つ目は、ポイントツーポイントリンクタイプ (MPLS 、衛星、電子レンジ、およびその他) でhubサイト、イーサネットインターフェイスはによって追加されますSDWAN-プラグインを sdwan インターフェイスに追加します (1.a.iv および 1.c.iv のスクリーンショットを参照してください。標準に加えて追加されたイーサネットインターフェイスを確認できます)。IPSECトンネルインターフェイス）。

上記のトポロジでは、Hubそれに応じて、Branch_1 には 4 つのイーサネットリンクタイプと 2 つのイーサネットリンクタイプがあります。各インターフェイスは、同じリンクタイプを持つリモート上のすべてのインターフェイスへのトンネルを形成します。したがって、8つになりますIPSECイーサネットリンクタイプ (4x2= 8) を介したトンネル。

上記に加えて、1 つのトンネルが形成されます。MPLSリンクタイプ、および割り当てられた 1 つのイーサネットインターフェイスMPLSリンクタイプも sdwan インターフェースに含まれ、合計 10 のインターフェースになります。したがって、エラーが発生します。

Resolution

リンクの種類;エラーに対処するために、少なくとも 3 つの異なる組み合わせを調査します。
1. イーサネットリンクタイプのみ
  1. HUBのインターフェイス構成
  2. HUBのIPSECBanch_1 へのトンネル
  3. Hubの sdwan インターフェイスマッピングIPSEC VPNイーサネットインターフェイスなし。
  4. Branch_1 のインターフェイス構成
  5. Branch_1 のIPSECトンネルはHub
  6. への Branch_1 の sdwan インターフェイスマッピング IPSEC VPN
2. イーサネットとMPLSリンクの種類
  1. Hubの設定 Panorama
  2. Hubのインターフェイス構成
  3. HubのIPSECBranch_1 へのトンネル
  4. Hubの sdwan インターフェイスマッピングIPSEC VPNとイーサネット
  5. Branch_1 のインターフェイス構成
  6. Branch_1 のIPSECに向かうトンネル Hub
  7. への Branch_1 の sdwan インターフェイスマッピング IPSEC VPN
3. イーサネット、MPLS 、電子レンジおよび衛星リンクタイプ
  1. Hubの設定 Panorama
  2. Hubのインターフェース構成
  3. HubのIPSEC VPNBranch_1 へのトンネル
  4. Hubの sdwan インターフェイスマッピングIPSEC VPNとイーサネット
  5. Branch_1 のインターフェイス構成
  6. Branch_1 のIPSECに向かうトンネルHub
  7. への Branch_1 の sdwan インターフェイスマッピング IPSEC VPN
マルチハブ;以前に提供されたソリューションでは不十分な場合は、ブランチが接続できる最大 4 つのハブを構成できます。インターフェイスマッピングを 4 倍にすることができます。

最後の画面を参考にして、1つだけhub;以下で強調表示されているのは、4 つのハブに対するブランチの sdwan インターフェイスです。