キャンセル
次の結果を表示 
次の代わりに検索 
もしかして: 
cancel
2424
閲覧回数
10
いいね!
4
返信

リモートサイトからの大量のrekey

HITOSHIYAMADA8041
Spotlight
Spotlight

リモートサイト(Paloalto)からrekeyが10~20秒毎に送られてきている状態が続いています。

DPDなどの設定値はお互い同じになっているのですが、上記の状態が改善しません。

 

通信断は今のところないですが、このまま大量のrekeyが発生したまま

VPNの通信を継続した場合、起こりうる問題は何かあるのでしょうか?

1 件の受理された解決策

受理された解決策

Akira Muranaka
Level 8
Level 8

こんにちは!

Rekeyが頻発してもそれ自体で悪影響はそんな無いと思いますが、Rekeyはソフトウェア処理でそこそこ負荷が高かった気がするので、何等か過負荷とか別のトラブルと重なると、Rekey処理遅延や 負荷が重なる事の通信影響発生する可能性も少なからずはあるのかな、と思いました。

私が知っているRekeyが頻発するケースだと、リキーをトリガーするパケット数やバイト数が定義されてる場合、膨大なトラフィックが流れると 早いタイミングで何度もRekeyをしてしまうケースを見たことがあります。

今回はパロさん側からRekeyが送られてきてるとのことで、パロさん側のパラメータの影響かと思いますが、パロさん側の設定を見直してみたらいかがでしょうか。

また、異機種間のVPN接続はトラブル多いので、どこかのタイミングで同じ機種やメーカーに合わせてあげたほうが安定するような気がします。

元の投稿で解決策を見る

4件の返信4

Akira Muranaka
Level 8
Level 8

こんにちは!

Rekeyが頻発してもそれ自体で悪影響はそんな無いと思いますが、Rekeyはソフトウェア処理でそこそこ負荷が高かった気がするので、何等か過負荷とか別のトラブルと重なると、Rekey処理遅延や 負荷が重なる事の通信影響発生する可能性も少なからずはあるのかな、と思いました。

私が知っているRekeyが頻発するケースだと、リキーをトリガーするパケット数やバイト数が定義されてる場合、膨大なトラフィックが流れると 早いタイミングで何度もRekeyをしてしまうケースを見たことがあります。

今回はパロさん側からRekeyが送られてきてるとのことで、パロさん側のパラメータの影響かと思いますが、パロさん側の設定を見直してみたらいかがでしょうか。

また、異機種間のVPN接続はトラブル多いので、どこかのタイミングで同じ機種やメーカーに合わせてあげたほうが安定するような気がします。

いつも回答ありがとうございます。

 

>私が知っているRekeyが頻発するケースだと、リキーをトリガーするパケット数やバイト数が定義されてる場合、膨大な

>トラフィックが流れると 早いタイミングで何度もRekeyをしてしまうケースを見たことがあります。

そういうこともあるんですね!

 

パロ側の設定は見直してはいるものの、差異は今のところ見当たりません。

パロは独自のトンネルモニタリング機能があるらしく、それのせいかなーと疑ってます。。。

HITOSHIYAMADA8041
Spotlight
Spotlight

これと同様の事象かなと思われます。

Rekeying issue on IPSEC

https://community.cisco.com/t5/network-security/rekeying-issue-on-ipsec/m-p/3849126/highlight/true#M29159

情報有難うございます! 貼っていただいたURLの事例でドンピシャっぽいですね!

ちょっと私の方でも調べてみたら、パロさん側で以下のような情報もあるので、パロさん側の設定変更で何とかなるかもしれませんね。パロさんは ルートベースVPNしか対応してないため、ポリシーベースVPNをサポートするASAやJuniperSRXやCheckpointなどに接続時は ProxyIDの調整が必要なのかな。。と思いました。
https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000ClHACA0&lang=ja&refURL=http%3A%2F%2Fknowledgebase.paloaltonetworks.com%2FKCSArticleDetail

https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000ClW8CAK

https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000ClUFCA0

http://networksecurity.cocolog-nifty.com/blog/2007/06/netscreenssg_pr_0ff3.html