Cluster crash when installing policy !

[Luciano_Cirino]

Boa noite a todos, como estão? 

Você pode me ajudar com um caso. Estou instalando um Cluster, adiciono no gerenciamento, mas quando instalar as primeiras políticas, perco o acesso a ele e ao próprio gerenciamento. Depois disso só tenho acesso ao console. 

 Alguém já viu algo assim?

[the_rock]

You need to verify basic connectivity/routing. Please check ping is good across, make sure policy allows right access and SIC works as well. Without those things, it wont work.

[Baasanjargal_Ts]

When pushing policy, sometimes normal traffic affected. There are 3 options for Connection persistance on your security gateway -> Other -> Connection persistance. You can try choose option for Keep all connections or Keep data connection, if you are set to Rematch connections.

[Ruan_Kotze]

Losing communications between the gateways and SMS is a red flag.  Three things come to mind:

• What is the output of "fw stat" - does it show InitialPolicy or the actual policy name?
• Do the following commands restore traffic (the commands disable anti-spoofing on the fly, so beware, replace 0 with 1 to enable again)
  • fw ctl set int fw_antispoofing_enabled 0
  • fw ctl set int sim_anti_spoofing_enabled 0 -a
• What is the output of "fw ctl zdebug + drop | grep x.x.x.x" where x.x.x.x is the IP address of your SMS

Thanks,
Ruan

[the_rock · Accepted solution]

Como você postou isso em português, aqui está a tradução ou o que os caras disseram 🙂

Ao enviar a política, às vezes o tráfego normal é afetado. Existem 3 opções para persistência de conexão em seu gateway de segurança -> Outro -> persistência de conexão. Você pode tentar escolher a opção para manter todas as conexões ou manter a conexão de dados, se estiver definido para refazer as conexões.

Perder as comunicações entre os gateways e o SMS é um sinal de alerta. Três coisas vêm à mente:

Qual é a saída de "fw stat" - mostra InitialPolicy ou o nome da política real?
Execute os seguintes comandos para restaurar o tráfego (os comandos desativam o anti-spoofing em tempo real, portanto, cuidado, substitua 0 por 1 para ativar novamente)
fw ctl definido int fw_antispoofing_enabled 0
fw ctl set int sim_anti_spoofing_enabled 0 -a
Qual é a saída de "fw ctl zdebug + drop | grep x.x.x.x" onde x.x.x.x é o endereço IP do seu SMS

[Luciano_Cirino · Accepted solution]

Good morning my friends, are you all well?

Moving on to update the case,
We solved it by enabling Anti-Spoofing. Applying the configuration as follows:
Anti-Spoofing action is set to "Detect"
Spoofing Tracking "None"

We did this on all Cluster Object interfaces, all active interfaces, including the SYNC interface.

Thanks everyone for the support.

[the_rock]

Good job @Luciano_Cirino  💪

[Luciano_Cirino]

Thank you so much @the_rock.