《Paloalto下一代防火墙运维手册V.docx》由会员分享，可在线阅读，更多相关《Paloalto下一代防火墙运维手册V.docx（19页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、Paloalto下一代防火墙运维手册V-正文内容开始- Paloalto 防火墙运维手册 目录 下一代防火墙产品简介2 查看会话4 查看会话汇总4 查看 session ID5 条件选择查看会话6 查看当前并发会话数6 会话过多处理方法7 清除会话8 抓包和过滤8 CPU 和内存查看10 管理平台CPU 和内存查看10 数据平台CPU 和内存查看12 全局利用率查看12 Debug 和 Less 调试13 管理平台Debug/Less13 数据平台Debug/Less14 其他 Debug/Less15 硬件异常查看及处理16 电源状态查看16 风扇状态查看17 设备温度查看17 日志查看18
2、 告警日志查看18 配置日志查看18 其他日志查看19 双机热备异常处理20 内网用户丢包排除方法21 联通测试21 会话查询22 接口丢包查询22 抓包分析23 VPN 故障处理23 版本升级24 Software 升级24 Dynamic 升级25 恢复配置和口令25 配置恢复25 口令恢复26 其他运维命令26 规划化配置命令26 系统重启命令27 查看应用状态命令27 系统空间查看命令28 系统进程查看命令28 系统基本信息查看命令29 ARP 查看命令29 路由查看命令30 安全策略查看命令30 NAT 策略查看命令31 系统服务查看命令31 NAT 命中查看命令31 UserIP-
3、Mapping 查看命令32 其他故障处理32 硬件故障32 软件故障32 接口状态查看32 软件故障错误!未定义书签。 下一代防火墙产品简介 Paloalto 下一代防火墙(NGFW) 是应用层安全平台。解决了网络复杂结构，具有强大的应用识别、威胁防范、用户识别控制、优越的性能和高中低端设备选择。 数据包处理流程图： 查看会话 可以通过查看会话是否创建以及会话详细信息来确定报文是否正常通过防火墙，如果会话已经建立，并且一直有后续报文命中刷新,基本可以排除防火墙的问题。 查看会话汇总命令： show session info 举例： adminPA-VM> show session in
4、fo 说明：通过以上命令可以查看到设备支持会话数的最大值，从而检查是否有负载的情况发生。 查看 session ID 命令： show session id XX 举例： 说明：从以上命令中可以看出到底是否存在非法流量，可以通过 检查源地址和目的地址端口等信息2.3.条件选择查看会话 命令： showsessionallfiltersourceipdestinationip applicationapp 举例： 说明：可以检查一些风险会话2.4.查看当前并发会话数 命令： show session info 举例： 当前并发会话 13 个，而最大会话为 262138，说明会话利用率并不高，最后
5、一条红色标记为新建数值。 说明：了解设备当前并发会话情况2.5.会话过多处理方法 命令： 1、show session all（检查所有session） 2、show session id XX（检查该session 是否不法流量） 说明：如果发现会话数大于设备可支撑的性能，需要按照以上步骤检查和清除或者防御 通过第一步发现占会话总数较多的 ID，通过第二步检查该 ID 是否存在不法app 或者其他流量，通过Dos 保护或者会话限制该IP 数目（如果确定是攻击，可以通过安全策略屏蔽该 IP 地址访问）。 清除会话 命令： Clear session all 举例： 可通过 session id
6、 、源或目的 IP、源或目的端口或清除所有会话。 说明：将会话清除。 抓包和过滤 在做debug/less或者抓包调试的时候，最好把PA 的fastpath 功能关掉，这样可以更加完整的看到交互的数据报文，关闭命令为： Set deviceconfig setting session offload no Set session offload no 命令： 1、创建过滤规则： Debug dataplane packet-diag set filter match source y.y.y.y destination x.x.x.x 2、开启过滤规则： Debug dataplane pac
7、ket-diag set filter on 3、配置抓包对象： Debug detaplane packet-diag set capture stage receive file x.pcap （抓取来自接口接收的报文） Debug detaplane packet-diag set capture stage transmit file x.pcap （抓取地址转换后的报文） Debug detaplane packet-diag set capture stage firewall file x.pcap （抓取经过防火墙的报文） 4、全局抓包开关： Debug detaplane p
8、acket-diag set capture on 5、查看全局抓包配置： Debug detaplane packet-diag show setting 6、关闭抓包 Debug detaplane packet-diag set capture off 7、清除所有抓包内容 Debug detaplane packet-diag clear all 8、删除文件 Delete debug-filter file x.pcap 举例： 说明：paloalto 可以通过抓包的方式来分析故障情况。 CPU 和内存查看 管理平台 CPU 和内存查看命令： show system resource
9、s 举例： 说明：通过以上命令可以查询到数据平台的 cpu 使用情况和内存使用情况。如发现CPU 过高的情况，可以通过show system resources follow 这个命令去检查到底是哪项应用有超负载行为： -1 可以检查哪个CPU 频率高，默认为合并 -M 可以检查内存使用率是否过高 检查异常应用是否必要使用，否则请关闭，如果不清楚需要开case 分析问题。 数据平台 CPU 和内存查看命令： show running resource-monitor 举例： 说明：通过以上命令可以查询到管理平台的 cpu 使用率，查看该CPU 哪个应用占用的程序比较大，根据情况关闭相关应用，例
10、如flow_lookup 是检查会话是否存在进程，flow_forwarding 是transmit 地址转换进程，如果不确定的情况下开case 解决问题。5.3.全局利用率查看 命令： show counter global 举例： 说明：可以根据数据平台和管理平台综合情况，去查看具体哪个应用利用率超标，综合判断引起故障的要点。 Debug 和 Less 调试 在PA 的debug 是为了获取等多的排障详细信息，这个命令相当于show 的命令，主要是查看管理平台和数据平台额外信息从而判断问题的根本原因。 Less 为管理和数据平台log 日志的查看，对比起 GUI 使用CLI 的less 能
11、看到更多的详细数据交互信息，从而判断问题的根本原因。 管理平台 Debug/Less 命令： less mp-log /tail follow yes mp-log 举例： 说明：查看管理平台日志信息可以通过辅助命令去实现： tail follow yes mp-log authd.log 使用 tail 可以实时发现流量情况，例如该命令为查看管理平台的认证情况。 数据平台 Debug/Less 命令： debug dataplane 举例： 说明：使用 debug dataplane 可以查看数据平台流量，例如内存 的详细使用情况等。6.3.其他 Debug/Less 命令： debug i
12、ke global on debug （查看VPN ike 信息） less mp-log ikemgr.log （查看VPN ike 日志信息） 举例： 说明：查看VPNike 交互过程，可以通过tail follow yes 的方式实时查看数据报文的交互。 命令： debug log-receiver statistics（查看日志情况） less mp-log logrcvr.log （查看日志缓存情况） 举例： 说明：可以通过该命令来检查日志工作情况。 硬件异常查看及处理 电源状态查看命令： show system environmentals power 举例： 说明：当Alarm
13、列为True 时，表示电源状态异常，此时需要检查供电设施（如机柜电源及电源插排）是否正常供电，在确认供电正常，防火墙电源仍然异常时，可以生成诊断信息文件，提供给PaloAlto 厂商case 处理，以确认电源模块是否故障或损坏。 风扇状态查看命令： show system environmentals fans 举例： 说明：当 Alarm 为 True 时，表示风扇状态异常。RPMs 为 False 时，表示风扇不转。此时需到现场检查设备风扇是否转动（用手放在风扇后面，看是否能感受到风）。如果风扇不转，则需要对其进行更换。 设备温度查看命令： show system environmenta
14、ls thermal 举例： 说明：当Alarm 为True 时，表示温度状态异常。异常时需要确定机房温度是否过高，或者散热系统是否受阻。 日志查看 告警日志查看命令： show log alarm 举例： 说明：告警可以根据属性筛选如开始时间或者结束时间等等8.2.配置日志查看 命令： show log config 举例： 说明：可以通过条件选择来筛选需要的配置日志信息8.3.其他日志查看 命 令 ： show log 举例： 说明：使用该命令可以查看到系统日志、流量日志、野火日志等 双机热备异常处理 命令： show high-availability state （查询防火墙HA 双机
15、状态） show high-availability all （查询完整的HA 信息） show high-availability state-synchronization （询HA 同步信息） request high-availability state suspend （ 手工切换防火墙 HA 状态， 运行此命令的防火墙将会从Active/Passive 状态切换为暂停状态） request high-availability state functional （手工恢复防火墙HA 状态） 举例： 说明：由于 PaloAlto 采用将管理平台和数据转发平台分离的硬件结构，因此Palo
16、 Alto 的HA 同步方式也采用管理平台和数据转发平台之间单独同步。 PaloAlto防火墙HA的状态主要有如下四种： Initial初始化状态，此状态为防火墙在发现对等体并且进行HA 状态协商前保持的状态，时间阀值为 60 秒。60 秒过后，如果防火墙在未发现对等体时，将会转换为Active状态。Active活跃状态，此状态为的防火墙处理所有的业务流量Passive被动状态，此状态为备份状态，备份主状态防火墙所有业务流量 Suspended 暂停状态，此状态为防火墙管理员手工暂停Nonfunctional错误状态，主备防火墙都将可能出现此故障状态当防火墙发生故障时 故障时可以根据状态来判断
17、和使用命令 内网用户丢包排除方法 联通测试 命令： ping source <IP_addr_src_int> host <IP_addr_host> ping host <IP> 举例： 说明：指定源接口进行 ping 测试，如果不通，可以 ping 自己， 如果本机不通可能考虑端口协议没有起来，可以调试端口协商模式，或者接口没有接好，检查网线（光纤）情况。 会话查询命令： show session all 举例： 说明：可以参考上节会话命令判断故障内容，查看是否在 PA 是否存在该会话信息。 接口丢包查询命令： show counter global |
18、 match drop 举例： 说明：查询全局计数器中中存在的 Drop 数据包，如果有丢包请查看是否因为安全策略引起。 抓包分析命令： debug dataplane packet-diag set filter on 说明：请参考上节抓包和过滤分析。 VPN 故障处理 命令： 1、show vpn flow（查看防火墙加解密状态） 2、show vpn gateway（查看防火墙vpn 配置） 3、show vpn ike-sa（查看防火墙第一阶段IKE SA 状态） 4、show vpn ipsec-sa（查看防火墙第二阶段Ipsec SA 状态） 5、show vpn tunnel（查
19、看防火墙tunnel 配置） 6、less mp-log ikemgr.log （debug/less 调试） 举例： 常见的VPN 故障报错信息： 说明: Wrong IP: 在建立VPN 两端的设备上面没有使用正确的公网IP 地址进行VPN 的建立。 No matching P1 or P2 Proposal: 在建立VPN 两端的设备上面使用的加解密算法，数据完整性算法，Hash 保持协议不匹配. Mismatched Peer ID: 在建立VPN 两端的设备上面使用的Peer ID 不匹配. PFS Group mismatch: 在建立VPN 两端的设备上面使用不同的DH grou
20、ps. Mismatched Proxy ID: 在建立VPN 两端的设备上面使用的Proxy ID 不匹配（通常发生在使用Policy based） 因此，在 Palo Alto 上面，可以通过一系列的查询命令来进行 Vpn 建立不成功的故障排查 版本升级 Software 升级 命令： 1、request system software check（执行版本检查） 2、request system software download（执行软件下载） 3、request system software install（执行系统软件安装） 4、request restart system（执行
21、设备重启） 举例： 说明：需要注意的是升级版本后需要重启设备。12.2.Dynamic 升级 命令： 1、request content upgrade check 2、request content upgrade download 3、request 举例： content upgrade install 说明：完成后不需要重启即可生效 恢复配置和口令 配置恢复命令： load config 举例： 说明：可以通过 load 命令恢复到last-save 最近配置状态，或者from 自定义配置状态： 口令恢复命令： main 说明：恢复口令需要重启设备，断电重启后在 boot 启动瞬间会显
22、示输入命令，只要输入main 就可以进入出厂值恢复菜单 其他运维命令 规划化配置命令命令： Set cli config-output-format set 举例： 说明：规则化show config，方便查看和维护。14.2.系统重启命令 命令： request restart system（设备重启） request shutdown system（设备关机） 14.3.查看应用状态命令 命令： show running application statistics 举例： 系统空间查看命令命令： show system disk-space（查看磁盘状态） 举例： 系统进程查看命令命令：
23、 show system software status（查看系统进程） 举例： 系统基本信息查看命令命令： show system info（查看设备基本信息） 举例： ARP 查看命令命令： show arp all（查看ARP 表项） 举例： 路由查看命令命令： show routing route（查看路由表项） 举例： 安全策略查看命令命令： show running security-policy（查看安全策略） 举例： NAT 策略查看命令命令： show running nat-policy（查看NAT 策略） 举例： 系统服务查看命令命令： show system servi
24、ces（显示服务端口） 举例: NAT 命中查看命令命令： show running ippool show running global-ippool 举例： UserIP-Mapping 查看命令命令： show user ip-user-mapping 说明：查看用户和IP 的捆绑数据 其他故障处理 硬件故障 当设备发生硬件故障，首先查看设备状态，如硬盘、风扇等。确认后。向厂商申请硬件RMA，进行更换。 软件故障 很多内核相关的软件故障，我们需要借助 PaloAlto 后台人员来分析，并解决问题。PaloAlto 问题后台处理流程: 硬件状态监 硬件状态监 控 状态异常确 认 诊断信息收 集 后台分析 解决问题 接口状态查看命令： show interface all 举例： 说明:通过接口状态查询来查看端口的双工模式和up/down 情况 第19页 共19页第 19 页 共 19 页第 19 页 共 19 页第 19 页 共 19 页第 19 页 共 19 页第 19 页 共 19 页第 19 页 共 19 页第 19 页 共 19 页第 19 页 共 19 页第 19 页 共 19 页第 19 页 共 19 页