【SRX】RE与PFE策略不同步,导致Commit失败-----案例分析
了解Juniper产品的都知道,不管是防火墙、交换机还是路由器,Junos操作系统上RE(路由引擎)和PFE(数据转发引擎)是分离的。策略不同步主要是对于低中高端防火墙来说的,像SRX100-SRX300、到最近才出来的SRX1500,及SRX4K,以及史上顶级一二的防火墙SRX5800都有可能出现策略不同步的情况(Note:Chassis-cluster-双机环境中,防火墙几乎都是双机部署,特殊情况除外)。RE通过由单独的SCB或SFB去承载,而PFE则是在单独的业务接口板卡上(不同的型号需要单独对待)。
根据最近半年的Case处理,发现在SRX1500、SRX4K平面出现策略不同步的情况比较频繁,虽然这事吧,不算大,但在客户方也是蛮重要的,对于大客户来说,基本都是通过Netconf下发配置的,一下发出现提交报错,这很容易影响运维操作。但RE和PFE配置同步失败,最终的Root-Case还是要再等等……并不是什么问题都有解决方案的,大部分都是Workaround来处理的。
案例日志如下:
edit security]
'policies'
Policy is out of sync between RE and PFE <SPU-name(s)>.
Please resync before commit.
error: configuration check-out failed
Note:这个问题可以在低端和高端防火墙单机和双机上看到。错误日志千千万,不变的是需要处理的进程-NSD;
出现策略不同步的原因有以下几点:
1. 从RE到PFE的policy消息丢失
2. RE上出现问题,例如:使用重复的策略ID;
排查的基本细路如下:
1. 如果同步异常的话,先对比RE和PFE的checksum值,通过以下命令:
RE上使用命令“show security policies checksum ” (Note:隐藏命令,需输入完全)
示例:
root@vsrx-a> show security policies checksum
Logical system: root-logical-system
From zone To zone Checksum
trust untrust 0x66b85abb-ca868ed9-a025220e-ca14f609
每个PFE上(Branch防火墙是FWDD, HE防火墙是XLR)
root@vsrx-a% vty fwdd
BSD platform (VMWare virtual processor, 428MB memory, 8192KB flash)
FLOWD_VSRX(vsrx-a vty)# show usp policy checksum
Logical system: root-logical-system
From zone To zone checksum
trust untrust 0x66b85abb-ca868ed9-a025220e-ca14f609
Note: RE和PFE的Checksum值必须一致。
执行以下步骤解决问题:
1. 执行命令 > request security policies resync (隐藏命令)后,查看Commit是可以正常同步。
root@vsrx-a> request security policies resync
node0:
--------------------------------------------------------------------------
Start sending policies ...
Succeeds.
Total sent 2 policies.
{primary:node0}
2. 如果步骤1还未恢复,尝试执行#commit synchronize 【隐藏命令】,如果commit synchronize 从执行失败,则使用commit synchronize force 命令
3. 如果步骤2还是没有恢复Commit问题,重启nsd进程
。
root@vsrx-a# run restart network-security
Network security daemon started, pid 1293
4. 如果操作完步骤3还未恢复,则重启设备(如果是Chassis-cluster则重启两台,如果是生产环境中,则根据评估进行相关操作,不要做重启动作)
后话:很多时候,都是重启NSD进程恢复的,因为在客户生产环境不太可能因为重启设备,这毕竟是大动作,涉及到业务,又是一级变更,备件、现场工程师都要到场。
转载于:https://blog.51cto.com/8019770/2384218
【SRX】RE与PFE策略不同步,导致Commit失败-----案例分析相关推荐
- ORA-04031错误导致宕机案例分析
今天遇到一起ORACLE数据库宕机案例,下面是对这起数据库宕机案例的原因进行分析.解读.分析过程中顺便记录一下这个案例的前因后果,攒点经验值,培养一下分析.解决问题的能力. 案例环境: 操作系统 :O ...
- mysql left join 索引失效_MySQL索引列上做操作导致索引失效案例分析
索引列上做操作导致索引失效 通常我们认为只要建立索引就可以万事大吉,以为只要建立就一定会使用到,可其实在索引列上的计算.函数.类型转换都可能导致索引失效,所以我们不仅要会创建索引,更重要的是如何正确的 ...
- 帧同步和状态同步(二)案例分析
转自:http://www.gameres.com/489361.html 腾讯一下出了两款MOBA游戏,全民超神,王者荣耀,玩了一下,效果不错,就分析了一下它底层的一些技术,发现一个是采用的状态同步 ...
- 华三服务器管理口地址_路由器LAN口接入其他运营商宽带导致上网不稳定案例分析...
故障现象 用户反馈网络不稳定,经常掉线. 故障分析 路由器问题导致网络不稳定. 故障排查 笔记本直连用户家里路由器,进行ping包,网络正常无掉线现象 . 用笔记本直连路由器测速,测速结果为:50M ...
- 复位策略:同步复位与异步复位
在IC设计种,复位策略分为同步复位和异步复位两种设计,根据不同的设计,会采用不同的复位方式. 复位的文章已有很多文章讲解了,这里只讨论实现策略. 一.异步复位 1.优点: 1)无需额外的逻辑资源,实 ...
- Prometheus 由于时间不同步导致数据不显示
现象描述 将 Prometheus 数据在 Grafana 中进行展示,Grafana 中 Graph 数据显示有延迟,其他类型 Singlestat 和 Table 都显示 N/A . 排查 1. ...
- Prometheus由于时间不同步导致数据不显示
问题 部署 prometheus 后,访问前端界面发现: 这是由于你windows机器与部署prometheus服务器的时间不同步导致的. 解决 在服务器执行如下命令: ntpdate ntp.ali ...
- 风控策略调优讲解及案例分析
目录 1: 策略调优简介 1.1: 什么是策略调优 1.2: 策略调优应用场景 1.3: 策略调优的分类 1.4: 策略调优的主要步骤 2: A类调优讲解 2.1: 传统型调优 2.2: 临时型调优 ...
- DllMain中不当操作导致死锁问题的分析——DllMain中要谨慎写代码(完结篇)
之前几篇文章主要介绍和分析了为什么会在DllMain做出一些不当操作导致死锁的原因.本文将总结以前文章的结论,并介绍些DllMain中还有哪些操作会导致死锁等问题.(转载请指明出于breaksoftw ...
最新文章
- linux系统简单操作代码,Linux系统编程:简单文件IO操作(示例代码)
- Parallel Query Bitmap
- 斯坦福大学机器学习课程资料-吴恩达老师主讲(2008版)
- Android 带阴影背景图片
- 大家常用的 IDEA 插件大推荐,个个都得安装!
- 【论文】Awesome Relation Extraction Paper(关系抽取)(PART V)
- 基于THUCNews数据的BERT分类
- linux查看网络连接命令,系统运维|使用netstat检测及监测网络连接
- 博客搬家到CSDN:http://blog.csdn.net/yeweiouyang
- Atitit.播放系统的选片服务器,包厢记时系统 的说明,教程,维护,故障排查手册p825
- Luogu1880 石子合并
- PuTTY/PuttyGen创建密钥及利用密钥登录服务器
- 算法设计与分析: 5-25 双轨车皮编序问题
- 【Linux】一步一步学Linux——hostid命令(246)
- 学数据分析到底要不要掌握Linux-Python基础前传(2)
- 45度回合RPG网页游戏《烽烟OL》v1.3正式开源!
- alanwang[GDOU] 简单排序法:冒泡排序法(谭浩强例题)
- linux段错误core dumped,段错误 (core dumped) 之 core文件
- pdf文件转为md文件
- Jmeter参数化的四种方式
热门文章
- 如何修改VC6的项目名
- 求教PHP+oracle的开发
- Aerospike NoSQL 数据库介绍
- 【知识小课堂】 mongodb 之字段中的【 数组】、【内嵌文档】
- 谷歌推荐Data Binding实现MVVM模式(完整文档)
- Calibre-免费开源的“一站式”的电子书管理阅读格式转换软件
- C/C++ VS中调用matlab函数的方法
- SpringMVC自定义拦截器与异常处理(自定义异常)
- 塔式Server 服务器ESXI6.5安装
- 部署 k8s Cluster(下)- 每天5分钟玩转 Docker 容器技术(119)