Paloalto下一代防火墙运维手册V1

Paloalto防火墙运维手册目录.下一代防火墙产品简介Paloalto下一代防火墙(NGFW)是应用层安全平台。解决了网络复杂结构，具有强大的应用识别、威胁防范、用户识别控制、优越的性能和高中低端设备选择。数据包处理流程图：.查看会话可以通过查看会话是否创建以及会话详细信息来确定报文是否正常通过防火墙，如果会话已经建立，并且一直有后续报文命中刷新，基本可以排除防火墙的问题。查看会话汇总命令：showsessioninfo举例：admin@PA-VM>showsessioninfo说明：通过以上命令可以查看到设备支持会话数的最大值，从而检查是否有负载的情况发生。查看sessionID命令：showsessionidXX举例：说明：从以上命令中可以看出到底是否存在非法流量，可以通过检查源地址和目的地址端口等信息条件选择查看会话命令：showsessionallfiltersource[ip]destination[ip]application[app]举例：说明：可以检查一些风险会话24查看当前并发会话数命令：showsessioninfo举例：当前并发会话13个，而最大会话为262138,说明会话利用率并不高，最后一条红色标记为新建数值。说明：了解设备当前并发会话情况25会话过多处理方法命令：1、showsessionall（检查所有session）2、showsessionidXX（检查该session是否不法流量）说明：如果发现会话数大于设备可支撑的性能，需要按照以上步骤检查和清除或者防御通过第一步发现占会话总数较多的ID，通过第二步检查该ID是否存在不法app或者其他流量，通过Dos保护或者会话限制该IP数目（如果确定是攻击，可以通过安全策略屏蔽该IP地址访问）。.清除会话命令：Clearsessionall举例：可通过sessionid、源或目的IP、源或目的端口或清除所有会话。说明：将会话清除。.抓包和过滤在做debug/less或者抓包调试的时候，最好把PA的fastpath功能关掉，这样可以更加完整的看到交互的数据报文，关闭命令为：SetdeviceconfigsettingsessionoffloadnoSetsessionoffloadno命令：创建过滤规则:创建过滤规则:开启过滤规则：Debugdataplanepacket-diagsetfilteron配置抓包对象：Debugdetaplanepacket-diagsetcapturestagereceivefilex.pcap（抓取来自接口接收的报文）Debugdetaplanepacket-diagsetcapturestagetransmitfilex.pcap（抓取地址转换后的报文）Debugdetaplanepacket-diagsetcapturestagefirewallfilex.pcap（抓取经过防火墙的报文）全局抓包开关：Debugdetaplanepacket-diagsetcaptureon查看全局抓包配置：Debugdetaplanepacket-diagshowsetting关闭抓包Debugdetaplanepacket-diagsetcaptureoff清除所有抓包内容Debugdetaplanepacket-diagclearall删除文件Deletedebug-filterfilex.pcap举例：说明：paloalto可以通过抓包的方式来分析故障情况。.CPU和内存查看管理平台CPU和内存查看命令：showsystemresources举例：说明：通过以上命令可以查询到数据平台的cpu使用情况和内存使用情况。如发现CPU过高的情况，可以通过showsystemresourcesfollow这个命令去检查到底是哪项应用有超负载行为：-1可以检查哪个CPU频率高，默认为合并-M可以检查内存使用率是否过高检查异常应用是否必要使用，否则请关闭，如果不清楚需要开case分析问题。数据平台CPU和内存查看命令：showrunningresource-monitor举例：说明：通过以上命令可以查询到管理平台的cpu使用率，查看该CPU哪个应用占用的程序比较大，根据情况关闭相关应用，例如flow_lookup是检查会话是否存在进程，flow_forwarding是transmit地址转换进程，如果不确定的情况下开case解决问题。全局利用率查看命令：showcounterglobal举例：说明：可以根据数据平台和管理平台综合情况，去查看具体哪个应用利用率超标，综合判断引起故障的要点。.Debug和Less调试在PA的debug是为了获取等多的排障详细信息，这个命令相当于show的命令，主要是查看管理平台和数据平台额外信息从而判断问题的根本原因。Less为管理和数据平台log日志的查看，对比起GUI使用CLI的less能看到更多的详细数据交互信息，从而判断问题的根本原因。管理平台Debug/Less命令：lessmp-log/tailfollowyesmp-log举例：说明：查看管理平台日志信息可以通过辅助命令去实现：tailfollowyesmp-logauthd.log使用tail可以实时发现流量情况，例如该命令为查看管理平台的认证情况。数据平台Debug/Less命令：debugdataplane举例：说明：使用debugdataplane可以查看数据平台流量，例如内存的详细使用情况等。其他Debug/Less命令：debugikeglobalondebug（查看VPNike信息）lessmp-logikemgr.log（查看VPNike日志信息）举例：说明：查看VPNike交互过程，可以通过tailfollowyes的方式实时查看数据报文的交互。命令：debuglog-receiverstatistics（查看日志情况）lessmp-loglogrcvr.log（查看日志缓存情况）举例：说明：可以通过该命令来检查日志工作情况。.硬件异常查看及处理电源状态查看命令：showsystemenvironmentalspower举例：说明：当Alarm列为True时，表示电源状态异常，此时需要检查供电设施（如机柜电源及电源插排）是否正常供电，在确认供电正常，防火墙电源仍然异常时，可以生成诊断信息文件，提供给PaloAlto厂商case处理，以确认电源模块是否故障或损坏。风扇状态查看命令：showsystemenvironmentalsfans举例：说明：当Alarm为True时，表示风扇状态异常。RPMs为False时，表示风扇不转。此时需到现场检查设备风扇是否转动（用手放在风扇后面，看是否能感受到风）。如果风扇不转，则需要对其进行更换。设备温度查看命令：showsystemenvironmentalsthermal举例：说明：当Alarm为True时，表示温度状态异常。异常时需要确定机房温度是否过高，或者散热系统是否受阻。.日志查看告警日志查看命令：showlogalarm举例：说明：告警可以根据属性筛选如开始时间或者结束时间等等配置日志查看命令：showlogconfig举例：说明：可以通过条件选择来筛选需要的配置日志信息其他日志查看命令：showlog举例：说明：使用该命令可以查看到系统日志、流量日志、野火日志等.双机热备异常处理命令：showhigh-availabilitystate（查询防火墙HA双机状态）showhigh-availabilityall（查询完整的HA信息）showhigh-availabilitystate-synchronization（询HA同步信息）requesthigh-availabilitystatesuspend（手工切换防火墙HA状态，运行此命令的防火墙将会从Active/Passive状态切换为暂停状态）requesthigh-availabilitystatefunctional（手工恢复防火墙HA状态）举例：说明：由于PaloAlto采用将管理平台和数据转发平台分离的硬件结构，因此PaloAlto的HA同步方式也采用管理平台和数据转发平台之间单独同步。PaloAlto防火墙HA的状态主要有如下四种：Initial一初始化状态，此状态为防火墙在发现对等体并且进行HA状态协商前保持的状态，时间阀值为60秒。60秒过后，如果防火墙在未发现对等体时，将会转换为Active状态。Active一活跃状态，此状态为的防火墙处理所有的业务流量Passive一被动状态，此状态为备份状态，备份主状态防火墙所有业务流量Suspended一暂停状态，此状态为防火墙管理员手工暂停Non-functional一错误状态，主备防火墙都将可能出现此故障状态当防火墙发生故障时故障时可以根据状态来判断和使用命令.内网用户丢包排除方法联通测试命令：pingsource<IP_addr_src_int>host<IP_addr_host>pinghost<IP>举例：说明：指定源接口进行ping测试，如果不通，可以ping自己，如果本机不通可能考虑端口协议没有起来，可以调试端口协商模式，或者接口没有接好，检查网线（光纤）情况。会话查询命令：showsessionall举例：说明：可以参考上节会话命令判断故障内容，查看是否在PA是否存在该会话信息。接口丢包查询命令：showcounterglobal|matchdrop举例：说明：查询全局计数器中中存在的Drop数据包，如果有丢包请查看是否因为安全策略引起。抓包分析命令：debugdataplanepacket-diagsetfilteron说明：请参考上节抓包和过滤分析。.VPN故障处理命令：showvpnflow（查看防火墙加解密状态）showvpngateway（查看防火墙vpn配置）showvpnike-sa（查看防火墙第一阶段IKESA状态）showvpnipsec-sa（查看防火墙第二阶段IpsecSA状态）showvpntunnel（查看防火墙tunnel配置）lessmp-logikemgr.log（debug/less调试）举例：常见的VPN故障报错信息：说明：WrongIP:在建立VPN两端的设备上面没有使用正确的公网IP地址进行VPN的建立。NomatchingP1orP2Proposal:在建立VPN两端的设备上面使用的加解密算法，数据完整性算法，Hash保持协议不匹配.MismatchedPeerID:在建立VPN两端的设备上面使用的PeerID不匹配.PFSGroupmismatch:在建立VPN两端的设备上面使用不同的DHgroups.MismatchedProxyID:在建立VPN两端的设备上面使用的ProxyID不匹配（通常发生在使用Policybased）因此，在PaloAlto上面，可以通过一系列的查询命令来进行Vpn建立不成功的故障排查.版本升级.1.Software升级命令:requestsystemsoftwarecheck（执行版本检查）requestsystemsoftwaredownload（执行软件下载）requestsystemsoftwareinstall（执行系统软件安装）requestrestartsystem（执行设备重启）举例：说明：需要注意的是升级版本后需要重启设备。Dynamic升级命令：requestcontentupgradecheckrequestcontentupgradedownloadrequestcontentupgradeinstall举例：说明：完成后不需要重启即可生效.恢复配置和口令配置恢复命令：loadconfig举例：说明：可以通过load命令恢复到last-save最近配置状态，或者from自定义配置状态：口令恢复命令：main说明：恢复口令需要重启设备，断电重启后在boot启动瞬间会显示输入命令，只要输入main就可以进入出厂值恢复菜单.其他运维命令规划化配置命令命令：Setcliconfig-output-formatset举例：说明：规则化showconfig，方便查看和维护。系统重启命令命令：requestrestartsystem（设备重启）requestshutdownsystem（设备关机）查看应用状态命令命令：showrunningapplicationstatistics举例：系统空间查看命令命令：showsystemdisk-space（查看磁盘状态）举