Cómo solucionar el estado ‘D’ del motor IPS causado por el filtro DNS con lista de bloqueo de IP externas en Fortinet

En este artículo abordaremos un problema que puede surgir en dispositivos FortiGate, donde el motor IPS se queda en estado D durante cargas elevadas de tráfico DNS. Este problema es crítico ya que puede afectar la resolución de DNS y, por ende, las operaciones de red. El artículo proporcionará una solución comprobada y recomendaciones para evitar que esta situación se repita.

Descripción del problema

Cuando el filtro DNS está configurado con una lista de bloqueo de IPs externas y durante períodos de alta carga de tráfico DNS, el motor IPS puede quedarse en estado D, lo que provoca fallos en la resolución de DNS. Este comportamiento puede llevar a problemas de conectividad para los usuarios finales y afectar la seguridad general de la red.

Alcance

Este artículo es relevante para las versiones de FortiGate v7.2.7 y v7.0.15.

Diagnóstico paso a paso

Para diagnosticar este problema, se debe realizar el siguiente comando en la CLI de FortiGate:

diagnose sys top 2 50

Este comando muestra la lista de procesos y su estado. La salida revelará líneas similares a las siguientes, donde se puede observar que el motor IPS está en estado D:

ipsengine 38256 D < 16.8 0.2 3
ipsengine 38265 D < 14.8 0.3 24
ipsengine 38267 D < 14.8 0.3 17

Esto indica que el motor IPS está realizando consultas a FOS para la lista de bloqueo de IPs externas, lo que resulta en que entra en estado D.

Solución recomendada

La solución para este problema implica eliminar la lista de bloqueo de IPs externas del filtro DNS. Esta acción permitirá al motor IPS operar correctamente sin entrar en el estado D.

Instrucciones para aquellas versiones afectadas:

Workaround:

Eliminar la lista de bloqueo de IPs externas del filtro DNS.

Comandos CLI utilizados

A continuación, se detallan los comandos utilizados durante el diagnóstico:

• diagnose sys top 2 50 – Este comando se utiliza para mostrar los procesos en ejecución y su estado actual.
• fnsysctl cat /proc/[PID]/stack – Donde [PID] es el ID del proceso del motor IPS, permite inspeccionar el stack del proceso y analizar por qué podría estar fallando.

Buenas prácticas y recomendaciones

Para prevenir situaciones similares en el futuro, se recomienda seguir estas buenas prácticas:

• Monitorear regularmente el rendimiento del motor IPS y ajustar las configuraciones de DNS según sea necesario.
• Utilizar listas de bloqueo que sean pertinentes y efectivas, pero que no sobrecarguen el motor IPS.
• Aplicar y mantener las actualizaciones de firmware, asegurando la resolución de problemas conocidos.

Notas adicionales

Este problema ha sido resuelto en las versiones v7.0.16, v7.2.9, v7.4.4 y v7.6.0. Se recomienda actualizar a una de estas versiones para evitar la aparición del error mencionado.