IPSEC-Tunnel fällt nach Failover HA-aus

• Firewalls, die im Aktiv/Passiv-Paar HA konfiguriert sind.
• Unterstützt PAN-OS
• Hohe Verfügbarkeit
• DPD Aktiviert

• IKE SA's werden nicht synchronisiert, aber IPSec SA's werden nach dem Failover synchronisiert, aber der Remotepeer sendet DPD Pakete mit dem , die IKE SA das neu aktive Mitglied nicht hat, so dass er nicht auf diese DPD Nachrichten antworten kann
• Das neu aktive Mitglied verliert nach dem Failover die Informationen zum Hauptmodus und muss die Phase 1 erneut neu verhandeln.
• Der Remote-Peer sendet DPD Pakete, die Palo Alto-Peer IKE SA enthalten, aber das neu aktive Mitglied muss IKE SA die Nachrichten nicht mehr lesen.
• DPD Verwendet den IKE-Hauptmodus und der Hauptmodus SAwird nicht mit einem anderen Peer synchronisiert
• Phase 1-SAs werden nicht zwischen den HA Peers synchronisiert, sondern nur Phase 2-SAs. Daher wird erwartet, dass dies DPD nach einem Failover fehlschlägt.

Problemumgehung: Konfigurieren Sie die Tunnelüberwachung so, dass sie die Phase 1 neu verhandelt, oder deaktivieren Sie die DPD