Paloalto下一代防火墙运维手册V11.docx
- 文档编号:3127420
- 上传时间:2022-11-17
- 格式:DOCX
- 页数:13
- 大小:31.76KB
Paloalto下一代防火墙运维手册V11.docx
《Paloalto下一代防火墙运维手册V11.docx》由会员分享,可在线阅读,更多相关《Paloalto下一代防火墙运维手册V11.docx(13页珍藏版)》请在冰豆网上搜索。
Paloalto下一代防火墙运维手册V11
Paloalto防火墙运维手册之杨若古兰创作
2.2.检查sessionID5
Debug和Less调试
版本升级
23
恢复配置和口令
配置恢复
口令恢复
检查利用形态命令
零碎空间检查命令
硬件故障
1.下一代防火墙产品简介
Paloalto下一代防火墙(NGFW)是利用层平安平台.解决了收集复杂结构,具有强大的利用识别、威逼防范、用户识别控制、优胜的功能和高中低端设备选择.
数据包处理流程图:
2.检查会话
可以通过检查会话是否创建和会话具体信息来确定报文是否正常通过防火墙,如果会话曾经建立,而且不断有后续报文命中刷新,基本可以排除防火墙的成绩.
2.1.检查会话汇总
命令:
showsessioninfo
举例:
admin@PAVM>showsessioninfo
说明:
通过以上命令可以检查到设备撑持会话数的最大值,从而检查是否有负载的情况发生.
2.2.检查sessionID
命令:
showsessionidXX
举例:
说明:
从以上命令中可以看出到底是否存在非法流量,可以通过检查源地址和目的地址端口等信息
2.3.条件选择检查会话
命令:
showsessionallfiltersource[ip]destination[ip]application[app]
举例:
说明:
可以检查一些风险会话
2.4.检查当前并发会话数
命令:
showsessioninfo
举例:
当前并发会话13个,而最大会话为262138,说明会话利用率其实不高,最初一条红色标识表记标帜为新建数值.
说明:
了解设备当前并发会话情况
2.5.会话过多处理方法
命令:
1、showsessionall(检查所有session)
2、showsessionidXX(检查该session是否犯警流量)
说明:
如果发现会话数大于设备可撑持的功能,须要按照以上步调检查和清除或者防御
通过第一步发现占会话总数较多的ID,通过第二步检查该ID是否存在犯警app或者其他流量,通过Dos呵护或者会话限制该IP数目(如果确定是攻击,可以通过平安计谋屏蔽该IP地址访问).
3.清除会话
命令:
Clearsessionall
举例:
可通过sessionid、源或目的IP、源或目的端口或清除所有会话.
说明:
将会话清除.
4.抓包和过滤
在做debug/less或者抓包调试的时候,最好把PA的fastpath功能关掉,如许可以更加完好的看到交互的数据报文,关闭命令为:
Setdeviceconfigsettingsessionoffloadno
Setsessionoffloadno
命令:
1、创建过滤规则:
2、开启过滤规则:
Debugdataplanepacketdiagsetfilteron
3、配置抓包对象:
(抓取来自接口接收的报文)
(抓取地址转换后的报文)
(抓取经过防火墙的报文)
4、全局抓包开关:
Debugdetaplanepacketdiagsetcaptureon
5、检查全局抓包配置:
Debugdetaplanepacketdiagshowsetting
6、关闭抓包
Debugdetaplanepacketdiagsetcaptureoff
7、清除所有抓包内容
Debugdetaplanepacketdiagclearall
8、删除文件
举例:
说明:
paloalto可以通过抓包的方式来分析故障情况.
5.CPU和内存检查
5.1.管理平台CPU和内存检查
命令:
showsystemresources
举例:
说明:
通过以上命令可以查询到数据平台的cpu使用情况和内存使用情况.如发现CPU过高的情况,可以通过showsystemresourcesfollow这个命令去检查到底是哪项利用有超负载行为:
1可以检查哪个CPU频率高,默认为合并
M可以检查内存使用率是否过高
检查异常利用是否须要使用,否则请关闭,如果不清楚须要开case分析成绩.
5.2.数据平台CPU和内存检查
命令:
showrunningresourcemonitor
举例:
说明:
通过以上命令可以查询到管理平台的cpu使用率,检查该CPU哪个利用占用的程序比较大,根据情况关闭相干利用,例如flow_lookup是检查会话是否存在进程,flow_forwarding是transmit地址转换进程,如果不确定的情况下开case解决成绩.
5.3.全局利用率检查
命令:
showcounterglobal
举例:
说明:
可以根据数据平台和管理平台综合情况,去检查具体哪个利用利用率超标,综合判断惹起故障的要点.
6.Debug和Less调试
在PA的debug是为了获取等多的排障具体信息,这个命令相当于show的命令,主如果检查管理平台和数据平台额外信息从而判断成绩的根来源根基因.
Less为管理和数据平台log日志的检查,对比起GUI使用CLI的less能看到更多的具体数据交互信息,从而判断成绩的根来源根基因.
6.1.管理平台Debug/Less
命令:
lessmplog/tailfollowyesmplog
举例:
说明:
检查管理平台日志信息可以通过辅助命令去实现:
tailfollowyesmplogauthd.log使用tail可以实时发现流量情况,例如该命令为检查管理平台的认证情况.
6.2.数据平台Debug/Less
命令:
debugdataplane
举例:
命令:
举例:
说明:
检查VPNike交互过程,可以通过tailfollowyes的方式实时检查数据报文的交互.
命令:
debuglogreceiverstatistics(检查日志情况)
lessmploglogrcvr.log(检查日志缓存情况)
举例:
说明:
可以通过该命令来检查日志工作情况.
7.硬件异常检查及处理
7.1.电源形态检查
命令:
showsystemenvironmentalspower
举例:
说明:
当Alarm列为True时,暗示电源形态异常,此时须要检查供电设施(如机柜电源及电源插排)是否正常供电,在确认供电正常,防火墙电源仍然异常时,可以生成诊断信息文件,提供给PaloAlto厂商case处理,以确认电源模块是否故障或损坏.
7.2.风扇形态检查
命令:
showsystemenvironmentalsfans
举例:
说明:
当Alarm为True时,暗示风扇形态异常.RPMs为False时,暗示风扇不转.此时需到现场检查设备风扇是否动弹(用手放在风扇后面,看是否能感受到风).如果风扇不转,则须要对其进行更换.
7.3.设备温度检查
命令:
showsystemenvironmentalsthermal
举例:
说明:
当Alarm为True时,暗示温度形态异常.异常时须要确定机房温度是否过高,或者散热零碎是否受阻.
8.日志检查
8.1.告警日志检查
命令:
showlogalarm
举例:
说明:
告警可以根据属性筛选如开始时间或者结束时间等等
8.2.配置日志检查
命令:
showlogconfig
举例:
说明:
可以通过条件选择来筛选须要的配置日志信息
8.3.其他日志检查
命令:
showlog
举例:
说明:
使用该命令可以检查到零碎日志、流量日志、野火日志等
9.双机热备异常处理
命令:
showhighavailabilitystate
(查询防火墙HA双机形态)
showhighavailabilityall
(查询完好的HA信息)
showhighavailabilitystatesynchronization
(询HA同步信息)
requesthighavailabilitystatesuspend
(手工切换防火墙HA形态,运转此命令的防火墙将会从Active/Passive形态切换为暂停形态)
requesthighavailabilitystatefunctional
(手工恢复防火墙HA形态)
举例:
说明:
因为PaloAlto采取将管理平台和数据转发平台分离的硬件结构,是以PaloAlto的HA同步方式也采取管理平台和数据转发平台之间单独同步.
PaloAlto防火墙HA的形态次要有如下四种:
Initial—初始化形态,此形态为防火墙在发现对等体而且进行HA形态协商前坚持的形态,时间阀值为60秒.60秒过后,如果防火墙在未发现对等体时,将会转换为Active形态.
Active—活跃形态,此形态为的防火墙处理所有的营业流量
Passive—自动形态,此形态为备份形态,备份主形态防火墙所有营业流量
Suspended—暂停形态,此形态为防火墙管理员手工暂停
Non‐functional—错误形态,主备防火墙都将可能出现此故障形态当防火墙发生故障时
故障时可以根据形态来判断和使用命令
10.内网用户丢包排除方法
10.1.联通测试
命令:
pingsource
pinghost
举例:
说明:
指定源接口进行ping测试,如果欠亨,可以ping本人,如果本机欠亨可能考虑端口和谈没有起来,可以调试端口协商模式,或者接口没有接好,检查网线(光纤)情况.
10.2.会话查询
命令:
showsessionall
举例:
说明:
可以参考上节会话命令判断故障内容,检查是否在PA是否存在该会话信息.
10.3.接口丢包查询
命令:
showcounterglobal|matchdrop
举例:
说明:
查询全局计数器中中存在的Drop数据包,如果有丢包请检查是否因为平安计谋惹起.
10.4.抓包分析
命令:
debugdataplanepacketdiagsetfilteron
说明:
请参考上节抓包和过滤分析.
11.VPN故障处理
命令:
1、showvpnflow(检查防火墙加解密形态)
2、showvpngateway(检查防火墙vpn配置)
3、showvpnikesa(检查防火墙第一阶段IKESA形态)
4、showvpnipsecsa(检查防火墙第二阶段IpsecSA形态)
5、showvpntunnel(检查防火墙tunnel配置)
6、lessmplogikemgr.log(debug/less调试)
举例:
罕见的VPN故障报错信息:
说明:
WrongIP:
在建立VPN两端的设备上面没有使用准确的公网IP地址进行VPN的建立.
NomatchingP1orP2Proposal:
在建立VPN两端的设备上面使用的加解密算法,数据完好性算法,Hash坚持和谈不匹配.
MismatchedPeerID:
在建立VPN两端的设备上面使用的PeerID不匹配.
PFSGroupmismatch:
在建立VPN两端的设备上面使用分歧的DHgroups.
MismatchedProxyID:
在建立VPN两端的设备上面使用的ProxyID不匹配(通常发生在使用Policybased)
是以,在PaloAlto上面,可以通过一系列的查询命令来进行Vpn建立不
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- Paloalto 下一代 防火墙 手册 V11
![提示](https://static.bdocx.com/images/bang_tan.gif)