Paloalto下一代防火墙运维手册

1、错误 ! 未定义书签。错误 !未定义书签。错误！未定义书签。错误 ！ 未定义书签。错误！未定义书签。错误！未定义书签。错误！未定义书签。错误! 未定义书签。错误! 未定义书签。错误 ! 未定义书签。错误！未定义书签。错误！未定义书签。错误！未定义书签。错误 ! 未定义书签。 错误！未定义书签。 错误！未定义书签。. 错误 ！ 未定义书签。错误 ! 未定义书签。错误！未定义书签。错误！未定义书签。错误！未定义书签。错误 ! 未定义书签。错误！未定义书签。错误！未定义书签。错误！未定义书签。错误 ! 未定义书签。错误 ! 未定义书签。错误！未定义书签。错误！未定义书签。错误！未定义书签。错误！未定

2、义书签。错误 ! 未定义书签。错误 ! 未定义书签。错误！未定义书签。错误 ！ 未定义书签。Paloalto防火墙运维手册目录1. 下一代防火墙产品简介2. 查看会话.查看会话汇总.查看sessionID.条件选择查看会话.查看当前并发会话数.会话过多处理方法3. 清除会话4. 抓包和过滤5. CP成日内存查看.管理平台CP成日内存查看.数据平台CP成日内存查看.全局利用率查看6. Debug和Less调试.管理平台Debug/Less.数据平台Debug/Less.其他Debug/Less7. 硬件异常查看及处理.电源状态查看.风扇状态查看.设备温度查看8. 日志查看.告警日志查看.配置日志

3、查看.其他日志查看9. 双机热备异常处理10. 内网用户丢包排除方法.联通测试.会话查询.接口丢包查询.抓包分析11. VPNia障处理12. 版本升级.Software升级.Dynamic升级13.配置恢复.口令恢复14. 其他运维命令.规划化配置命令.系统重启命令.查看应用状态命令.系统空间查看命令.系统进程查看命令.系统基本信息查看命令.ARP查看命令.路由查看命令.安全策略查看命令.NAT策略查看命令.系统服务查看命令.NAT命中查看命令.UserlP-Mapping查看命令15. 其他故障处理.硬件故障.软件故障.接口状态查看.软件故障恢复配置和口令错误 ! 未定义书签。错误！未定义

4、书签。错误！未定义书签。错误 ! 未定义书签。错误！未定义书签。错误！未定义书签。错误！未定义书签。错误！未定义书签。错误！未定义书签。错误！未定义书签。错误！未定义书签。错误！未定义书签。错误！未定义书签。错误！未定义书签。错误！未定义书签。错误！未定义书签。错误！未定义书签。错误 ! 未定义书签。错误！未定义书签。错误！未定义书签。错误！未定义书签。错误！未定义书签。1. 下一代防火墙产品简介Paloalto下一代防火墙(NGFW)是应用层安全平台。解决了网络复杂结构，具有强大的应用识别、威胁防范、用户识别控制、优越的性能和高中低端设备选择。数据包处理流程图2. 查看会话可以通过查看会话是

5、否创建以及会话详细信息来确定报文是否正常通过防火墙，如果会话已经建立，并且一直有后续报文命中刷新，基本可以排除防火墙的问题。2.1. 查看会话汇总命令：showsessioninfo举例：adminPA-VM> show session info检查是否有说明：通过以上命令可以查看到设备支持会话数的最大值，从而负载的情况发生。2.2. 查看sessionID命令：showsessionidXX举例：说明：从以上命令中可以看出到底是否存在非法流量，可以通过检查源地址和目的地址端口等信息2.3. 条件选择查看会话命令：showsessionallfiltersourceipdestinati

6、onipapplicationapp举例：说明：可以检查一些风险会话2.4. 查看当前并发会话数命令：show session info举例：当前并发会话13个，而最大会话为262138,说明会话利用率并不高，最后一条红色标记为新建数值。说明：了解设备当前并发会话情况2.5. 会话过多处理方法命令：1 、showsessionall（检查所有session）2 、showsessionidXX（检查该session是否不法流量）说明：如果发现会话数大于设备可支撑的性能，需要按照以上步骤检查和清除或者防御通过第一步发现占会话总数较多的ID,通过第二步检查该ID是否存在不法app或者其他流量，通过

7、Dos保护或者会话限制该IP数目（如果确定是攻击，可以通过安全策略屏蔽该IP地址访问）。3. 清除会话命令：Clearsessionall可通过sessionid、源或目的IP、源或目的端口或清除所有会话。举例：说明：将会话清除。4. 抓包和过滤在做debug/less或者抓包调试的时候，最好把PA的fastpath功能关掉，这样可以更加完整的看到交互的数据报文，关闭命令为：SetdeviceconfigsettingsessionoffloadnoSetsessionoffloadno命令：1 、创建过滤规则：2 、Debugdataplanepacket-diagsetfiltermatc

8、hsourcedestination开启过滤规则：Debugdataplanepacket-diagsetfilteron3 、配置抓包对象：Debugdetaplanepacket-diagsetcapturestagereceivefile（抓取来白接口接收的报文）Debugdetaplanepacket-diagsetcapturestagetransmitfile（抓取地址转换后的报文）Debugdetaplanepacket-diagsetcapturestagefirewallfile（抓取经过防火墙的报文）4 、全局抓包开关：Debugdetaplanepacket-diagse

9、tcaptureon5 、查看全局抓包配置：6 、关闭抓包Debugdetaplanepacket-diagsetcaptureoff7 、清除所有抓包内容Debugdetaplanepacket-diagclearall8 、删除文件Deletedebug-filterfile举例：说明：paloalto可以通过抓包的方式来分析故障情况。5. CPU和内存查看5.1. 管理平台CPUfn内存查看命令：showsystemresources举例：说明：通过以上命令可以查询到数据平台的cpu使用情况和内存使用情况。如发现CPU过高的情况，可以通过showsystemresourcesfollow

10、这个命令去检查到底是哪项应用有超负载行为：-1可以检查哪个CPU?率高，默认为合并-M可以检查内存使用率是否过高检查异常应用是否必要使用，否则请关闭，如果不清楚需要开case分析问题。5.2. 数据平台CPUffi内存查看命令：showrunningresource-monitor举例：说明：通过以上命令可以查询到管理平台的cpu使用率，查看该CPU哪个应用占用的程序比较大，根据情况关闭相关应用，例如flow_lookup是检查会话是否存在进程，flow_forwarding是transmit地址转换进程，如果不确定的情况下开case解决问题。5.3. 全局利用率查看命令：showcounte

11、rglobal举例：说明：可以根据数据平台和管理平台综合情况，去查看具体哪个应用利用率超标，综合判断引起故障的要点。6. Debug和Less调试在PA的debug是为了获取等多的排障详细信息，这个命令相当于show的命令，主要是查看管理平台和数据平台额外信息从而判断问题的根本原因。Less为管理和数据平台log日志的查看，对比起GUI使用CLI的less能看到更多的详细数据交互信息，从而判断问题的根本原因。6.1. 管理平台Debug/Less命令：lessmp-log/tailfollowyesmp-log举例：说明：查看管理平台日志信息可以通过辅助命令去实现：tailfollowyesm

12、p-log使用tail可以实时发现流量情况，例如该命令为查看管理平台的认证情况。6.2. 数据平台Debug/Less命令：debugdataplane举例：说明：使用debugdataplane可以查看数据平台流量，例如内存的详细使用情况等。6.3. 其他Debug/Less命令：debugikeglobalondebug（查看VPNike信息）lessmp-log（查看VPNike日志信息）举例：说明：查看VPNike交互过程，可以通过tailfollowyes的方式实时查看数据报文的交互。命令：debuglog-receiverstatistics（查看日志情况）lessmp-log（查

13、看日志缓存情况）举例：说明：可以通过该命令来检查日志工作情况。7. 硬件异常查看及处理7.1. 电源状态查看命令:showsystemenvironmentalspower举例：说明：当Alarm列为True时，表示电源状态异常，此时需要检查供电设施（如机柜电源及电源插排）是否正常供电，在确认供电正常，防火墙电源仍然异常时，可以生成诊断信息文件，提供给PaloAlto厂商case处理，以确认电源模块是否故障或损坏。7.2. 风扇状态查看命令：showsystemenvironmentalsfans举例：说明：当Alarm为True时，表示风扇状态异常。RPM以IFalse时，表示风扇不转。此时

14、需到现场检查设备风扇是否转动（用手放在风扇后面，看是否能感受到风）。如果风扇不转，则需要对其进行更换。7.3. 设备温度查看命令：showsystemenvironmentalsthermal举例:机房温度是说明：当Alarm为True时，表示温度状态异常。异常时需要确定否过高，或者散热系统是否受阻。8. 日志查看8.1. 告警日志查看命令：showlogalarm举例：说明：告警可以根据属性筛选如开始时间或者结束时间等等8.2. 配置日志查看命令：showlogconfig举例：说明：可以通过条件选择来筛选需要的配置日志信息8.3. 其他日志查看命令：showlog举例：说明：使用该命令可以

15、查看到系统日志、流量日志、野火日志等9. 双机热备异常处理命令：showhigh-availabilitystate（查询防火墙HA双机状态）showhigh-availabilityall（查询完整的HA信息）showhigh-availabilitystate-synchronization（询HA同步信息）requesthigh-availabilitystatesuspend（手工切换防火墙HA状态，运行此命令的防火墙将会从Active/Passive状态切换为暂停状态）requesthigh-availabilitystatefunctional（手工恢复防火墙HA状态）说明：由于P

16、aloAlto采用将管理平台和数据转发平台分离的硬件举例：结构，因此PaloAlto的HA同步方式也采用管理平台和数据转发平台之间单独同步。PaloAlto防火墙HA的状态主要有如下四种:Initial一初始化状态，此状态为防火墙在发现对等体并且进行HAA态协商前保持的状态，时间阀值为60秒。60秒过后，如果防火墙在未发现对等体时，将会转换为Active状态。Active活跃状态，此状态为的防火墙处理所有的业务流量Passive被动状态，此状态为备份状态，备份主状态防火墙所有业务流量Suspended暂停状态，此状态为防火墙管理员手工暂停Non-functional错误状态，主备防火墙都将可能

17、出现此故障状态当防火墙发生故障时故障时可以根据状态来判断和使用命令10. 内网用户丢包排除方法10.1. 联通测试命令：pingsource<IP_addr_src_int>host<IP_addr_host>pinghost<IP>说明：指定源接口进行ping测试，如果不通，可以ping白己,如果本机不通可能考虑端口协议没有起来，可以调试端口协商模式，或者接口没有接好，检查网线（光纤）情况。10.2. 会话查询命令：showsessionall举例：说明：可以参考上节会话命令判断故障内容，查看是否在PA是否存在该会话信息。10.3. 接口丢包查询命令：sh

18、owcounterglobal|matchdrop举例：说明：查询全局计数器中中存在的Drop数据包，如果有丢包请查看是否因为安全策略引起。10.4. 抓包分析命令：debugdataplanepacket-diagsetfilteron说明：请参考上节抓包和过滤分析。11. VPN故障处理命令：1 、showvpnflow（查看防火墙加解密状态）2 、showvpngateway（查看防火墙vpn配置）3、 showvpnike-sa（查看防火墙第一阶段IKESA状态）4、 showvpnipsec-sa（查看防火墙第二阶段IpsecSA状态）5、 showvpntunnel（查看防火墙tu

19、nnel配置）6、 、lessmp-log（debug/less调试）举例：常见的VPNA障报错信息：说明：WrongIP:在建立VPNM端的设备上面没有使用正确的公网IP地址进行VPN!勺建立。NomatchingP1orP2Proposal:在建立VPNM端的设备上面使用的加解密算法，数据完整性算法，Hash保持协议不匹配.MismatchedPeerID:在建立VPN两端的设备上面使用的PeerID不匹配.PFSGroupmismatch:在建立VPNM端的设备上面使用不同的DHgroups.MismatchedProxyID:在建立VPN两端的设备上面使用的ProxyID不匹配（通常发

20、生在使用Policybased）因此，在PaloAlto上面，可以通过一系列的查询命令来进行Vpn建立不成功的故障排查12.版本升级12.1.Software升级命令：1、requestsystemsoftwarecheck（执行版本检查）2、requestsystemsoftwaredownload（执行软件下载）3、requestsystemsoftwareinstall（执行系统软件安装）4、requestrestartsystem（执行设备重启）举例：说明：需要注意的是升级版本后需要重启设备。1.2. .Dynamic升级命令：1 、requestcontentupgradecheck

21、2 、requestcontentupgradedownload3 、requestcontentupgradeinstall举例：说明：完成后不需要重启即可生效13. 恢复配置和口令13.1. 配置恢复命令：loadconfig举例：说明：可以通过load命令恢复到last-save最近配置状态，或者from白定义配置状态：13.2. 口令恢复命令：main说明：恢复口令需要重启设备，断电重启后在boot启动瞬间会显示输入命令，只要输入main就可以进入出厂值恢复菜单14. 其他运维命令14.1. 规划化配置命令命令：Setcliconfig-output-formatset举例：说明：规则化showconfig,方便查看和维护。14.2. 系统重启命令命令：requestrestartsystem（设备重启）requestshutdownsystem（设备关机）14.3. 查看应用状态命令命令：showrunningapplicationstati