Paloalto下一代防火墙运维手册V11.docx

1、Paloalto下一代防火墙运维手册V11Paloalto防火墙运维手册1. 下一代防火墙产品简介Paloalto下一代防火墙(NGFW) 是应用层安全平台。解决了网络复杂结构，具有强大的应用识别、威胁防范、用户识别控制、优越的性能和高中低端设备选择。数据包处理流程图：2. 查看会话可以通过查看会话是否创建以及会话详细信息来确定报文是否正常通过防火墙，如果会话已经建立，并且一直有后续报文命中刷新,基本可以排除防火墙的问题。2.1. 查看会话汇总命令：show session info 举例： adminPA-VM show session info 说明：通过以上命令可以查看到设备支持会话数的

2、最大值，从而检查是否有负载的情况发生。2.2. 查看session ID命令：show session id XX举例：说明：从以上命令中可以看出到底是否存在非法流量，可以通过检查源地址和目的地址端口等信息2.3. 条件选择查看会话命令：show session all filter sourceipdestinationip applicationapp举例：说明：可以检查一些风险会话2.4. 查看当前并发会话数命令：show session info举例：当前并发会话13个，而最大会话为262138，说明会话利用率并不高，最后一条红色标记为新建数值。说明：了解设备当前并发会话情况2.5.

3、会话过多处理方法命令：1、 show session all（检查所有session）2、 show session id XX（检查该session是否不法流量）说明：如果发现会话数大于设备可支撑的性能，需要按照以上步骤检查和清除或者防御通过第一步发现占会话总数较多的ID，通过第二步检查该ID是否存在不法app或者其他流量，通过Dos保护或者会话限制该IP数目（如果确定是攻击，可以通过安全策略屏蔽该IP地址访问）。3. 清除会话命令：Clear session all举例：可通过session id 、源或目的IP、源或目的端口或清除所有会话。说明：将会话清除。4. 抓包和过滤在做debug

4、/less或者抓包调试的时候，最好把PA的fastpath功能关掉，这样可以更加完整的看到交互的数据报文，关闭命令为：Set deviceconfig setting session offload noSet session offload no命令：1、 创建过滤规则：2、 Debug dataplane packet-diag set filter match source destination 开启过滤规则：Debug dataplane packet-diag set filter on3、 配置抓包对象：Debug detaplane packet-diag set captur

5、e stage receive file （抓取来自接口接收的报文）Debug detaplane packet-diag set capture stage transmit file （抓取地址转换后的报文）Debug detaplane packet-diag set capture stage firewall file （抓取经过防火墙的报文）4、 全局抓包开关：Debug detaplane packet-diag set capture on5、 查看全局抓包配置：Debug detaplane packet-diag show setting6、 关闭抓包Debug detap

6、lane packet-diag set capture off7、 清除所有抓包内容Debug detaplane packet-diag clear all8、 删除文件Delete debug-filter file 举例：说明：paloalto可以通过抓包的方式来分析故障情况。5. CPU和内存查看5.1. 管理平台CPU和内存查看命令：show system resources举例：说明：通过以上命令可以查询到数据平台的cpu使用情况和内存使用情况。如发现CPU过高的情况，可以通过show system resources follow这个命令去检查到底是哪项应用有超负载行为：-1

7、可以检查哪个CPU频率高，默认为合并-M可以检查内存使用率是否过高检查异常应用是否必要使用，否则请关闭，如果不清楚需要开case分析问题。5.2. 数据平台CPU和内存查看命令：show running resource-monitor举例：说明：通过以上命令可以查询到管理平台的cpu使用率，查看该CPU哪个应用占用的程序比较大，根据情况关闭相关应用，例如flow_lookup是检查会话是否存在进程，flow_forwarding是transmit地址转换进程，如果不确定的情况下开case解决问题。5.3. 全局利用率查看命令：show counter global举例：说明：可以根据数据平台

8、和管理平台综合情况，去查看具体哪个应用利用率超标，综合判断引起故障的要点。6. Debug和Less调试在PA的debug是为了获取等多的排障详细信息，这个命令相当于show的命令，主要是查看管理平台和数据平台额外信息从而判断问题的根本原因。Less为管理和数据平台log日志的查看，对比起GUI使用CLI的less能看到更多的详细数据交互信息，从而判断问题的根本原因。6.1. 管理平台Debug/Less命令：less mp-log /tail follow yes mp-log举例：说明：查看管理平台日志信息可以通过辅助命令去实现：tail follow yes mp-log 使用tail可

9、以实时发现流量情况，例如该命令为查看管理平台的认证情况。6.2. 数据平台Debug/Less命令：debug dataplane举例： 说明：使用debug dataplane可以查看数据平台流量，例如内存的详细使用情况等。6.3. 其他Debug/Less命令：debug ike global on debug （查看VPN ike 信息）less mp-log （查看VPN ike 日志信息）举例：说明：查看VPNike交互过程，可以通过tail follow yes的方式实时查看数据报文的交互。命令：debug log-receiver statistics（查看日志情况）less m

10、p-log （查看日志缓存情况）举例：说明：可以通过该命令来检查日志工作情况。7. 硬件异常查看及处理7.1. 电源状态查看命令：show system environmentals power举例：说明：当Alarm列为True时，表示电源状态异常，此时需要检查供电设施（如机柜电源及电源插排）是否正常供电，在确认供电正常，防火墙电源仍然异常时，可以生成诊断信息文件，提供给PaloAlto厂商case处理，以确认电源模块是否故障或损坏。7.2. 风扇状态查看命令：show system environmentals fans举例：说明：当Alarm为True时，表示风扇状态异常。RPMs为Fa

11、lse时，表示风扇不转。此时需到现场检查设备风扇是否转动（用手放在风扇后面，看是否能感受到风）。如果风扇不转，则需要对其进行更换。7.3. 设备温度查看命令：show system environmentals thermal举例：说明：当Alarm为True时，表示温度状态异常。异常时需要确定机房温度是否过高，或者散热系统是否受阻。8. 日志查看8.1. 告警日志查看命令：show log alarm举例：说明：告警可以根据属性筛选如开始时间或者结束时间等等8.2. 配置日志查看命令：show log config举例：说明：可以通过条件选择来筛选需要的配置日志信息8.3. 其他日志查看命令

12、：show log举例：说明：使用该命令可以查看到系统日志、流量日志、野火日志等9. 双机热备异常处理命令：show high-availability state（查询防火墙HA双机状态）show high-availability all（查询完整的HA信息）show high-availability state-synchronization（询HA同步信息）request high-availability state suspend（手工切换防火墙HA状态，运行此命令的防火墙将会从Active/Passive状态切换为暂停状态）request high-availability s

13、tate functional（手工恢复防火墙HA状态）举例：说明：由于PaloAlto采用将管理平台和数据转发平台分离的硬件结构，因此Palo Alto的HA同步方式也采用管理平台和数据转发平台之间单独同步。PaloAlto 防火墙HA的状态主要有如下四种：Initial初始化状态，此状态为防火墙在发现对等体并且进行HA状态协商前保持的状态，时间阀值为60秒。60秒过后，如果防火墙在未发现对等体时，将会转换为Active状态。Active活跃状态，此状态为的防火墙处理所有的业务流量Passive被动状态，此状态为备份状态，备份主状态防火墙所有业务流量Suspended 暂停状态，此状态为防火

14、墙管理员手工暂停Nonfunctional错误状态，主备防火墙都将可能出现此故障状态当防火墙发生故障时故障时可以根据状态来判断和使用命令10. 内网用户丢包排除方法10.1. 联通测试命令：ping source host ping host 举例：说明：指定源接口进行ping测试，如果不通，可以ping自己，如果本机不通可能考虑端口协议没有起来，可以调试端口协商模式，或者接口没有接好，检查网线（光纤）情况。 10.2. 会话查询命令：show session all举例：说明：可以参考上节会话命令判断故障内容，查看是否在PA是否存在该会话信息。10.3. 接口丢包查询命令： show counter global | match drop举例：说明：查询全局计数器中中存在的Drop数据包，如果有丢包请查看是否因为安全策略引起。10.4. 抓包分析命令：debug dataplane packet-diag set filter on说明：请参考上节抓包和过滤分析。11. VPN故障处理命令：1、 show vpn flow（查看防火墙加解密状态）2、 show vpn gateway（查看防火墙vpn配置）3、 show vpn ike-sa（查看防火墙第一阶段IKE SA状态）4、 show vpn ipsec-sa（查看防火墙第二阶段Ip