Causes et solutions des codes d'erreur des objets, règles, quotas, modes et profils du pare-feu.
error.firewall.validation
Texte dans la console
La modification du pare-feu n’est pas valide : {issue} sur {object} ({count} problèmes au total).
Signification pour les clients de l'API
The firewall change adds validation errors (issue is the net.validation.fw_* key of the first, object its path, count how many); the message lists them all.
Cause. La modification laisserait la configuration du pare-feu avec une ou plusieurs erreurs de validation ; rien n'a donc été enregistré. issue est la clé de la première erreur, object le chemin de l'objet concerné et count le nombre d'erreurs. Le message de la réponse de l'API les liste toutes.
Solution.
Lisez la liste complète dans la réponse, corrigez chaque objet qu'elle nomme, puis renvoyez la modification.
Vérifiez l'effet d'une règle avant de l'enregistrer : kyvernon firewall simulate --vm <vm> --inbound --proto tcp --port 443 --peer 203.0.113.10 affiche le verdict et la règle qui décide.
error.firewall.builtin
Texte dans la console
{object} est intégré et géré par la plateforme ; il ne peut être ni modifié ni supprimé.
Signification pour les clients de l'API
The firewall object is built in and maintained by the control plane (read-only).
Cause. L'objet est intégré et maintenu par la plateforme (son nom commence par sys:). Les groupes, services, stratégies et profils intégrés sont en lecture seule.
Solution.
Laissez l'objet intégré tel quel.
Pour obtenir un autre comportement, créez votre propre objet et utilisez-le à côté de l'objet intégré. Pour un profil, changez le profil qu'utilise une carte réseau : kyvernon firewall vnic-profile <vm> <nic> --profile <id>.
error.firewall.reserved_name
Texte dans la console
Les noms commençant par sys: sont réservés aux objets de pare-feu intégrés. Choisissez un autre nom.
Signification pour les clients de l'API
Firewall object names starting with sys: are reserved for built-in objects.
Cause. La modification ferait dépasser au locataire l'un de ses quotas de pare-feu : fwGroups, fwPolicies, fwRules ou fwGroupMembers.
Solution.
Supprimez les objets de pare-feu qui ne sont plus utilisés : groupes, stratégies ou règles, ou membres d'un groupe.
Un administrateur peut augmenter le quota : kyvernon tenants quota <tenant> --body '{"fwRules": <number>}'. Vérifiez d'abord les autres valeurs du quota, car le corps remplace tout le quota (kyvernon tenants get <tenant>). Transmettez-lui le nom de la ressource figurant dans le message.
error.firewall.category_scope
Texte dans la console
Les politiques Emergency et Infrastructure appartiennent au fournisseur. Utilisez Environment ou Application.
Signification pour les clients de l'API
Emergency and Infrastructure policies belong to the provider.
Cause. Un locataire a essayé de créer ou de déplacer une stratégie dans la catégorie Emergency ou Infrastructure. Ces catégories appartiennent au fournisseur.
Solution.
Utilisez la catégorie Environment ou Application pour la stratégie.
Si la règle appartient réellement au fournisseur, un administrateur disposant des privilèges de fournisseur la crée. Transmettez-lui la règle dont vous avez besoin.
error.firewall.in_use
Texte dans la console
{object} est encore utilisé.
Signification pour les clients de l'API
The firewall object is still used (a profile set on vNICs).
Cause. Un profil de pare-feu ne peut pas être supprimé, car au moins une carte réseau l'utilise.
Solution.
Donnez à chaque carte réseau qui utilise le profil un autre profil : kyvernon firewall vnic-profile <vm> <nic> --profile <id>, ou --reset pour revenir au profil par défaut de son type.
Supprimez le profil : kyvernon firewall profiles delete <id>.
error.firewall.no_vnic
Texte dans la console
La machine virtuelle n’a pas de carte réseau sur un réseau de pont d’hôte.
pourquoi la carte ne peut pas être protégée par le pare-feu, linux_or_quarantine_bridge ou port_security_off.
Cause. La carte réseau ne peut pas être protégée par le pare-feu ; son mode reste off. L'argument reason en donne la raison. Il vaut linux_or_quarantine_bridge lorsque la carte est sur un pont Linux ou sur un pont de quarantaine, et port_security_off lorsque la sécurité des ports est désactivée sur son réseau. La console affiche la raison dans votre langue.
Solution.
Lisez la raison dans le message.
Pour linux_or_quarantine_bridge, connectez la carte à un réseau sur pont d'hôte qui est un pont Open vSwitch.
Pour port_security_off, un administrateur active la sécurité des ports sur le réseau : kyvernon network update <id> --body-file <file>.
Changez à nouveau le mode : kyvernon firewall mode <vm> monitor.
error.firewall.not_pending
Texte dans la console
Aucun changement de mode du pare-feu de cette machine virtuelle n’attend de confirmation.
Signification pour les clients de l'API
No firewall mode switch of the VM waits for confirmation.
Cause. Une confirmation a été envoyée pour un changement de mode du pare-feu, mais aucun n'en attend. Le délai de confirmation est écoulé et le mode précédent est revenu, ou le changement a déjà été confirmé.
Solution.
Vérifiez le mode du pare-feu de la machine virtuelle dans la console avec Changer de mode.
Si le mode n'est pas celui que vous voulez, changez-le à nouveau et confirmez dans le délai que vous avez fixé : kyvernon firewall mode <vm> enforce --confirm-within 10m, puis kyvernon firewall mode confirm <vm>.