Risolvere i problemi relativi alle policy Cloud NGFW per i profili di rete RoCE
Mantieni tutto organizzato con le raccolte
Salva e classifica i contenuti in base alle tue preferenze.
Questa pagina descrive come risolvere i problemi comuni che potresti riscontrare
quando configuri i criteri del firewall di nuova generazione Cloud per
le reti Virtual Private Cloud (VPC) con il profilo di rete
RDMA (Remote Direct Memory Access) su Ethernet convergente (RoCE).
Il criterio predefinito consente tutte le connessioni
Questo problema si verifica quando non associ alcuna policy firewall per una
rete VPC al profilo di rete RoCE.
Per risolvere il problema, definisci una policy firewall per la tua rete VPC con il profilo di rete RoCE. Se non definisci una policy, tutte le istanze di macchine virtuali (VM) nella stessa rete VPC si connettono tra loro per impostazione predefinita. Per saperne di piรน, consulta
Creare una rete con il profilo di rete RDMA.
La regola firewall implicita consente il traffico in entrata
Questo problema si verifica quando una policy del firewall RoCE viene collegata a una rete VPC utilizzando il profilo di rete RoCE e nessun'altra regola corrispondente.
Per risolvere questo problema, tieni presente che la regola firewall implicita per un criterio firewall di rete RoCE รจ INGRESS ALLOW ALL. Questa regola
viene applicata se non corrispondono altre regole.
Impossibile abilitare la registrazione nella regola di negazione implicita
Questo problema si verifica quando tenti di attivare la registrazione nella regola
DENY implicita per un criterio firewall RoCE.
Per risolvere il problema, crea una regola DENY separata. Utilizza i flag --src-ip-range=0.0.0.0/0 e --enable-logging con questa regola. Non puoi
abilitare la registrazione direttamente nella regola implicita.
I log delle azioni del firewall includono le seguenti informazioni sulla connessione:
I log ALLOW vengono pubblicati una sola volta, al momento della creazione della connessione, e forniscono informazioni a due tuple (indirizzo IP di origine, indirizzo IP di destinazione).
I log DENY forniscono informazioni a 5 tuple per il pacchetto rifiutato. Questi log
vengono ripetuti finchรฉ continuano i tentativi di traffico, con una frequenza massima di
una volta ogni 5 secondi.
[[["Facile da capire","easyToUnderstand","thumb-up"],["Il problema รจ stato risolto","solvedMyProblem","thumb-up"],["Altra","otherUp","thumb-up"]],[["Difficile da capire","hardToUnderstand","thumb-down"],["Informazioni o codice di esempio errati","incorrectInformationOrSampleCode","thumb-down"],["Mancano le informazioni o gli esempi di cui ho bisogno","missingTheInformationSamplesINeed","thumb-down"],["Problema di traduzione","translationIssue","thumb-down"],["Altra","otherDown","thumb-down"]],["Ultimo aggiornamento 2025-09-01 UTC."],[],[],null,["# Troubleshoot Cloud NGFW policies for RoCE network profiles\n\n| **Preview**\n|\n|\n| This feature is subject to the \"Pre-GA Offerings Terms\" in the General Service Terms section\n| of the [Service Specific Terms](/terms/service-terms#1).\n|\n| Pre-GA features are available \"as is\" and might have limited support.\n|\n| For more information, see the\n| [launch stage descriptions](/products#product-launch-stages).\n\nThis page describes how to troubleshoot common issues that you might encounter\nwhen setting up Cloud Next Generation Firewall policies for\nVirtual Private Cloud (VPC) networks with the remote direct\nmemory access (RDMA) over converged ethernet (RoCE) network profile.\n\n### Default policy allows all connections\n\nThis issue occurs when you don't associate any firewall policy for a\na VPC network with the RoCE network profile.\n\nTo resolve this issue, define a firewall policy for your VPC\nnetwork with the RoCE network profile. If you don't define a policy, all\nvirtual machine (VM) instances in the same VPC network\nconnect to one another by default. For more information, see\n[Create a network with the RDMA network profile](/firewall/docs/create-manage-roce-vpcs#create_a_network_with_the_rdma_network_profile).\n\n### Implied firewall rule allows ingress traffic\n\nThis issue occurs when a RoCE firewall policy attaches to a\nVPC network by using the RoCE network profile and no other\nmatching rules.\n\nTo resolve this issue, understand that the implied firewall rule for a\nRoCE network firewall policy is `INGRESS ALLOW ALL`. This rule\napplies if no other rules match.\n\n### Cannot enable logging on implied deny rule\n\nThis issue occurs when you attempt to enable logging on the implied\n`DENY` rule for a RoCE firewall policy.\n\nTo resolve this issue, create a separate `DENY` rule. Use the\n`--src-ip-range=0.0.0.0/0` and `--enable-logging` flags with this rule. You\ncannot enable logging directly on the implied rule.\nFirewall action logs include the following connection information:\n\n- `ALLOW` logs are published once, at connection establishment, and provide 2-tuple (source IP address, destination IP address) information.\n- `DENY` logs provide 5-tuple information for the denied packet. These logs are repeated as long as traffic attempts continue, with a maximum rate of once every 5 seconds.\n\nFor more information about limits, see\n[Per firewall rule](/firewall/docs/quotas#per-firewall-rule).\n\nWhat's next\n-----------\n\n- [Cloud NGFW for the RoCE network profile](/firewall/docs/firewall-for-roce)\n- [Create and manage firewall rules for RoCE](/firewall/docs/create-manage-roce-vpcs)\n- [Network profiles overview](/firewall/docs/network-profiles)"]]
