Palo Alto

VPN zwischen Netscreen und Palo Alto: Aufgebautes VPN hört auf zu arbeiten: Problem mit Tunnel-Monitoring

Das VPN wird aufgebaut, alles funktioniert, nach einiger Zeit „legt sich das Tunnel-Interface schlafen“, obwohl die SA weiter aktiv ist. Ab diesem Zeitpunkt bekommt man von der Netscreen keine Daten zur Palo Alto. Auf der Seite der Netscreen fällt auf, dass sich der Status des Tunnel Interfaces von UP auf DOWN ändert. Nach dem Neustart der Netscreen klappt es … bis es irgendwann wieder aufhört zu arbeiten. Die SA wird aber gehalten: Empfehlung: Tunnel Monitoring auf der Seite der Netscreen ausschalten, dann klappt es. Weitere Kommentare: richtig ist, dass der VPN Monitoring bei einem nicht-Juniper VPN Gateway zu Problemen führen kann. Der VPN Monitor setzt auf einen Ping durch den VPN auf die Gegenseiten. Wird dieser Ping nicht beantwortet, dann …

weiterlesen ….

Palo Alto: Management Server hängt: Restart

Nach dem Software-Update konnte die Config zwischen dem aktiven und passiven Knoten nicht gesycnt werden, Sync to Peer wurde nicht abgeschlossen. Man kann sich mit folgendem Befehl das Log anschauen: less mp-log ha_agent.log debug: ha_sysd_event_callback(src/ha_sysd.c:1791): Mgmtsrvr namespace available debug: ha_sysd_config_md5_notifier_callback(src/ha_sysd.c:2569): Got new config md5: 3a9cca82f6fcab2586f3a9bdc0fde4d4 debug: ha_sysd_config_md5_notifier_callback(src/ha_sysd.c:2587): Got new config md5_2: 8550278c3bb208b70a23765f0440c8c8 debug: ha_sysd_config_md5_notifier_callback(src/ha_sysd.c:2605): Autocommit md5sum for config sync only changes state debug: ha_cfgagent_initial_config_callback(src/ha_cfgagent.c:381): start Config agent for ha_agent is enabled Error:  pan_cfgagent_get_lastcfg(pan_cfgagent.c:943): Can’t fetch last config since data plane doesn’t have a config yet Initial config autocommit not read from cfgagent debug: ha_slot_sysd_branch_event(src/ha_slot.c:477): Dataplane up branch prefix: sys.s1. Dieser Befehl startet den Management-Server neu: debug software restart management-server