メモリ不足エラーによりエッジ VPN トンネルがダウンしました

Products

• VMware NSX

Issue/Introduction

免責事項：これは英文の記事「Out Of Memory error causing edge VPN tunnel down」の日本語訳です。記事はベストエフォートで翻訳を進めているため、ローカライズ化コンテンツは最新情報ではない可能性があります。最新情報は英語版の記事で参照してください。

 

• Edge上の VPN セッションは、「メモリ不足(Out of memory)」という理由でダウン状態になります。
• メモリが使用可能であるにもかかわらず、Edge は「メモリ不足(Out of memory)」になります。
• Edge Syslog から:

                      2024-01-12T12:14:01.402Z nsx.edge.valdiated NSX 14255 VPN [nsx@6876 comp="nsx-edge" subcomp="iked" s2comp="ike-stack" level="WARN"] The maximum number of active Phase-1 SAs reached

                      2024-01-12T12:14:01.402Z nsx.edge.valdiated NSX 14255 VPN [nsx@6876 comp="nsx-edge" subcomp="iked" s2comp="ike-stack" level="ERROR" errorCode="EDG1000028"]   Message: Out of memory (65537)

Environment

VMware NSX-T Data Center 3.x

Cause

フェーズ 1 IKE SA メモリが割り当てられているが解放されないという既知の問題。

Resolution

この問題は次のバージョンで修正されています:

VMware NSX 4.2.1、3.2.5 (Telco) および VCF 9.0

 

回避策： 

• 一般的なファイアウォールで「any any accept」ルールが設定されている場合は、「any any deny」ルールに変更してください。また、許可が必要なトラフィックに対して特定のルールを追加してください。これにより、Edge宛の悪意のあるパケットがドロップされる様になります。
• ファイアウォールルールを変更できない場合は、この特定のEdgeでIPsec VPNサービスを使用しているすべてのSRに対してフェイルオーバーを実行するしかありません。

Additional Information

顧客への影響: VPN トンネル経由のローカルおよびリモート ワークロードに対するデータパス トラフィックが機能しなくなります。