Paloalto下一代防火墙运维手册Word下载.docx
- 文档编号:17466349
- 上传时间:2022-12-01
- 格式:DOCX
- 页数:12
- 大小:31.97KB
Paloalto下一代防火墙运维手册Word下载.docx
《Paloalto下一代防火墙运维手册Word下载.docx》由会员分享,可在线阅读,更多相关《Paloalto下一代防火墙运维手册Word下载.docx(12页珍藏版)》请在冰豆网上搜索。
了解设备当前并发会话情况
2.5.会话过多处理方法
1、showsessionall(检查所有session)
2、showsessionidXX(检查该session是否不法流量)
如果发现会话数大于设备可支撑的性能,需要按照以上步骤检查和清除或者防御
通过第一步发现占会话总数较多的ID,通过第二步检查该ID是否存在不法app或者其他流量,通过Dos保护或者会话限制该IP数目(如果确定是攻击,可以通过安全策略屏蔽该IP地址访问)。
清除会话
Clearsessionall
可通过sessionid、源或目的IP、源或目的端口或清除所有会话。
将会话清除。
抓包和过滤
在做debug/less或者抓包调试的时候,最好把PA的fastpath功能关掉,这样可以更加完整的看到交互的数据报文,关闭命令为:
Setdeviceconfigsettingsessionoffloadno
Setsessionoffloadno
1、创建过滤规则:
Debugdataplanepacket-diagsetfiltermatchsourcedestination
2、开启过滤规则:
Debugdataplanepacket-diagsetfilteron
3、配置抓包对象:
(抓取来自接口接收的报文)
(抓取地址转换后的报文)
(抓取经过防火墙的报文)
4、全局抓包开关:
Debugdetaplanepacket-diagsetcaptureon
5、查看全局抓包配置:
Debugdetaplanepacket-diagshowsetting
6、关闭抓包
Debugdetaplanepacket-diagsetcaptureoff
7、清除所有抓包内容
Debugdetaplanepacket-diagclearall
8、删除文件
paloalto可以通过抓包的方式来分析故障情况。
CPU和内存查看
1.1.管理平台CPU和内存查看
showsystemresources
通过以上命令可以查询到数据平台的cpu使用情况和内存使用情况。
如发现CPU过高的情况,可以通过showsystemresourcesfollow这个命令去检查到底是哪项应用有超负载行为:
-1可以检查哪个CPU频率高,默认为合并
-M可以检查内存使用率是否过高
检查异常应用是否必要使用,否则请关闭,如果不清楚需要开case分析问题。
1.2.数据平台CPU和内存查看
showrunningresource-monitor
通过以上命令可以查询到管理平台的cpu使用率,查看该CPU哪个应用占用的程序比较大,根据情况关闭相关应用,例如flow_lookup是检查会话是否存在进程,flow_forwarding是transmit地址转换进程,如果不确定的情况下开case解决问题。
1.3.全局利用率查看
showcounterglobal
可以根据数据平台和管理平台综合情况,去查看具体哪个应用利用率超标,综合判断引起故障的要点。
Debug和Less调试
在PA的debug是为了获取等多的排障详细信息,这个命令相当于show的命令,主要是查看管理平台和数据平台额外信息从而判断问题的根本原因。
Less为管理和数据平台log日志的查看,对比起GUI使用CLI的less能看到更多的详细数据交互信息,从而判断问题的根本原因。
6.1.管理平台Debug/Less
lessmp-log/tailfollowyesmp-log
查看管理平台日志信息可以通过辅助命令去实现:
使用tail可以实时发现流量情况,例如该命令为查看管理平台的认证情况。
6.2.数据平台Debug/Less
debugdataplane
使用debugdataplane可以查看数据平台流量,例如内存的详细使用情况等。
6.3.其他Debug/Less
debugikeglobalondebug
(查看VPNike信息)
(查看VPNike日志信息)
查看VPNike交互过程,可以通过tailfollowyes的方式实时查看数据报文的交互。
debuglog-receiverstatistics(查看日志情况)
(查看日志缓存情况)
可以通过该命令来检查日志工作情况。
硬件异常查看及处理
7.1.电源状态查看
showsystemenvironmentalspower
当Alarm列为True时,表示电源状态异常,此时需要检查供电设施(如机柜电源及电源插排)是否正常供电,在确认供电正常,防火墙电源仍然异常时,可以生成诊断信息文件,提供给PaloAlto厂商case处理,以确认电源模块是否故障或损坏。
7.2.风扇状态查看
showsystemenvironmentalsfans
当Alarm为True时,表示风扇状态异常。
RPMs为False时,表示风扇不转。
此时需到现场检查设备风扇是否转动(用手放在风扇后面,看是否能感受到风)。
如果风扇不转,则需要对其进行更换。
7.3.设备温度查看
showsystemenvironmentalsthermal
当Alarm为True时,表示温度状态异常。
异常时需要确定机房温度是否过高,或者散热系统是否受阻。
日志查看
8.1.告警日志查看
showlogalarm
告警可以根据属性筛选如开始时间或者结束时间等等
8.2.配置日志查看
showlogconfig
可以通过条件选择来筛选需要的配置日志信息
8.3.其他日志查看
showlog
使用该命令可以查看到系统日志、流量日志、野火日志等
双机热备异常处理
showhigh-availabilitystate
(查询防火墙HA双机状态)
showhigh-availabilityall
(查询完整的HA信息)
showhigh-availabilitystate-synchronization
(询HA同步信息)
requesthigh-availabilitystatesuspend
(手工切换防火墙HA状态,运行此命令的防火墙将会从Active/Passive状态切换为暂停状态)
requesthigh-availabilitystatefunctional
(手工恢复防火墙HA状态)
由于PaloAlto采用将管理平台和数据转发平台分离的硬件结构,因此PaloAlto的HA同步方式也采用管理平台和数据转发平台之间单独同步。
PaloAlto防火墙HA的状态主要有如下四种:
Initial—初始化状态,此状态为防火墙在发现对等体并且进行HA状态协商前保持的状态,时间阀值为60秒。
60秒过后,如果防火墙在未发现对等体时,将会转换为Active状态。
Active—活跃状态,此状态为的防火墙处理所有的业务流量
Passive—被动状态,此状态为备份状态,备份主状态防火墙所有业务流量
Suspended—暂停状态,此状态为防火墙管理员手工暂停
Non‐functional—错误状态,主备防火墙都将可能出现此故障状态当防火墙发生故障时
故障时可以根据状态来判断和使用命令
内网用户丢包排除方法
10.1.联通测试
pingsource<
IP_addr_src_int>
host<
IP_addr_host>
pinghost<
IP>
指定源接口进行ping测试,如果不通,可以ping自己,如果本机不通可能考虑端口协议没有起来,可以调试端口协商模式,或者接口没有接好,检查网线(光纤)情况。
10.2.会话查询
showsessionall
可以参考上节会话命令判断故障内容,查看是否在PA是否存在该会话信息。
10.3.接口丢包查询
showcounterglobal|matchdrop
查询全局计数器中中存在的Drop数据包,如果有丢包请查看是否因为安全策略引起。
10.4.抓包分析
debugdataplanepacket-diagsetfilteron
请参考上节抓包和过滤分析。
VPN故障处理
1、showvpnflow(查看防火墙加解密状态)
2、showvpngateway(查看防火墙vpn配置)
3、showvpnike-sa(查看防火墙第一阶段IKESA状态)
4、showvpnipsec-sa(查看防火墙第二阶段IpsecSA状态)
5、showvpntunnel(查看防火墙tunnel配置)
6、(debug/less调试)
常见的VPN故障报错信息:
说明:
WrongIP:
在建立VPN两端的设备上面没有使用正确的公网IP地址进行VPN的建立。
NomatchingP1orP2Proposal:
在建立VPN两端的设备上面使用的加解密算法,数据完整性算法,Hash保持协议不匹配.
MismatchedPeerID:
在建立VPN两端的设备上面使用的PeerID不匹配.
PFSGroupmismatch:
在建立VPN两端的设备上面使用不同的DHgroups.
MismatchedProxyID:
在建立VPN两端的设备上面使用的ProxyID不匹配(通常发生在使用Policybased)
因此,在PaloAlto上面,可以通过一系列的查询命令来进行Vpn建立不成功的故障排查
版本升级
12.1.Software升级
1、requestsystemsoftwarecheck(执行版本检查)
2、requestsystemsoftwaredownload(执行软件下载)
3、requestsystemsoftwareinstall(执行系统软件安装)
4、requestrestartsystem(执行设备重启)
需要注意的是升级版本后需要重启设备。
12.2.Dynamic升级
1、requestcontentupgradecheck
2、requestcontentupgradedownload
3、requestcontentupgradeinstall
完成后不需要重启即可生效
恢复配置和口令
13.1.配置恢复
loadconfig
可以通过load命令恢复到last-save最近配置状态,或者from自定义配置状态:
13.2.口令恢复
main
恢复口令需要重启设备,断电重启后在boot启动瞬间会显示输入命令,只要输入main就可以进入出厂值恢复菜单
其他运维命令
1.4.规划化配置命令
Setcliconfig-output-formatset
规则化showconfig,方便查看和维护。
1.5.系统重启命令
requestrestartsystem(设备重启)
requestshutdownsystem(设备关机)
1.6.查看应用状态命令
showrunningapplicationstatistics
1.7.系统空间查看命令
showsystemdisk-space(查看磁盘状态)
1.8.系统进程查看命令
showsystemsoftwarestatus(查看系统进程)
1.9.系统基本信息查看命令
showsysteminfo(查看设备基本信息)
1.10.ARP查看命令
showarpall(查看ARP表项)
1.11.路由查看命令
showroutingroute(查看路由表项)
1.12.安全策略查看命令
showrunningsecurity-policy(查看安全策略)
1.13.NAT策略查看命令
showrunningnat-policy(查看NAT策略)
1.14.系统服务查看命令
showsystemservices(显示服务端口)
举例:
1.15.NAT命中查看命令
showrunningippool
showrunningglobal-ippool
1.16.UserIP-Mapping查看命令
showuserip-user-mapping
查看用户和IP的捆绑数据
其他故障处理
9.1.硬件故障
当设备发生硬件故障,首先查看设备状态,如硬盘、风扇等。
确认后。
向厂商申请硬件RMA,进行更换。
9.2.软件故障
很多内核相关的软件故障,我们需要借助PaloAlto后台人员来分析,并解决问题。
PaloAlto问题后台处理流程:
9.3.接口状态查看
showinterfaceall
通过接口状态查询来查看端口的双工模式和up/down情况
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- Paloalto 下一代 防火墙 手册