Palo Alto firewall cluster operating in Active/Active HA mode and a Check Point Quantum 29200 ElasticXL Security Group

[SamuelKas]

Hello Palo Alto Community,

We are designing a high-availability, high-throughput connection between a
Palo Alto firewall cluster operating in Active/Active HA mode and a Check
Point Quantum 29200 ElasticXL Security Group.

The proposed topology is:

   - Two Palo Alto firewalls operating in Active/Active HA mode.
   - Two Check Point Quantum 29200 firewalls operating as an ElasticXL
   Security Group with SMO.
   - Four physical 10-Gbps interconnections in a full-mesh design:
      - Palo Alto Firewall 1 to Check Point Member 1
      - Palo Alto Firewall 1 to Check Point Member 2
      - Palo Alto Firewall 2 to Check Point Member 1
      - Palo Alto Firewall 2 to Check Point Member 2
   - Each Palo Alto firewall is planned to use an Aggregate Ethernet
   interface, while each Check Point member uses a Bond interface.

We would appreciate Palo Alto's best-practice guidance on the following:

   1. What is the recommended Layer 3 routing design between a Palo Alto
   Active/Active cluster and a Check Point ElasticXL Security Group?
   2. Is eBGP or OSPF the preferred dynamic-routing protocol for this
   firewall-to-firewall design?
   3. Should routing neighbors be configured independently on each firewall
   member and each physical/routed link?
   4. Is it supported and recommended to create an LACP Aggregate Ethernet
   interface between a Palo Alto Active/Active pair and the Check Point
   ElasticXL Security Group across multiple members?
   5. Alternatively, is it better to use separate, non-LACP Layer 3 routed
   links between each Palo Alto firewall and each Check Point member, with
   ECMP and dynamic routing?
   6. How should the design handle session symmetry and return traffic to
   avoid asymmetric routing or session-ownership issues when both platforms
   are running active-active/load-sharing modes?
   7. Are there specific Active/Active HA, Aggregate Ethernet, ECMP, or
   dynamic-routing limitations that we should consider for this topology?

A conceptual diagram is attached. We would appreciate official
documentation, validated design recommendations, and examples from similar
deployments.


Please note: Checkpoint ElasticXL mode uses only a single IP address for
the cluster. However, the Palo Alto firewalls will use separate IP
addresses.

Thank you.