Paloalto下一代防火墙运维手册V11

1、Paloalto防火墙运维手册目录1.下一代防火墙产品简介32.查察会话42.1.查察会话汇总42.2.查察sessionID52.3.条件选择查察会话62.4.查察目前并发会话数62.5.会话过多办理方法73.除掉会话84.抓包和过滤85.CPU和内存查察105.1.管理平台CPU和内存查察105.2.数据平台CPU和内存查察125.3.全局利用率查察136.Debug和Less调试136.1.管理平台Debug/Less136.2.数据平台Debug/Less146.3.其余Debug/Less157.硬件异样查察及办理167.1.电源状态查察167.2.电扇状态查察177.3.设备温度查

2、察178.日记查察188.1.告警日记查察188.2.配置日记查察198.3.其余日记查察199.双机热备异样办理2010.内网用户丢包除掉方法2110.1.联通测试2210.2.会话查问2210.3.接口丢包查问2210.4.抓包分析2311.VPN故障办理2312.版本升级2412.1.Software升级2412.2.Dynamic升级.2513.恢复配置和口令.2613.1.配置恢复.2613.2.口令恢复.2614.其余运维命令.2614.1.规划化配置命令.2614.2.系统重启命令.2714.3.查察应用状态命令.2714.4.系统空间查察命令.2814.5.系统进度查察命令.2

3、814.6.系统基本信息查察命令.2914.7.ARP查察命令.3014.8.路由查察命令.3014.9.安全策略查察命令.3114.10.NAT策略查察命令.3114.11.系统服务查察命令.3214.12.NAT命中查察命令.3214.13.UserIP-Mapping查察命令.3215.其余故障办理.329.1.硬件故障.329.2.软件故障.339.3.接口状态查察.339.4.软件故障.错误!不决义书签。1.下一代防火墙产品简介Paloalto下一代防火墙(NGFW)是应用层安全平台。解决了网络复杂构造，拥有强盛的应用鉴识、威迫防备、用户鉴识控制、优胜的性能和高中低端设备选择。数据包

4、办理流程图：初始化数原zone和目的zone策略PBF查问NAT据包地点般配般配评估安全策略检查同意会话成立预般配端口应用程序检查加密解密策略应用OverridNAT策略流量般配评估安全策检查安检查安略般配全策略全建模弹出数从头加NAT策数据包据包密略应用转发2.查察会话能够经过查察会话能否创立以及会话详尽信息来确立报文是否正常经过防火墙，假如会话已经成立，而且向来有后续报文命中刷新,基本能够除掉防火墙的问题。2.1.查察会话汇总命令：showsessioninfo举例：adminPA-VMshowsessioninfo说明：经过以上命令能够查察到设备支持会话数的最大值，从而检查能否有负载的状

5、况发生。2.2.查察sessionID命令：showsessionidXX举例：说明：从以上命令中能够看出究竟能否存在非法流量，能够经过检查源地点和目的地点端口等信息2.3.条件选择查察会话命令：showsessionallfiltersourceipdestinationipapplicationapp举例：说明：能够检查一些风险会话2.4.查察目前并发会话数命令：showsessioninfo举例：目前并发会话13个，而最大会话为262138，说明会话利用率其实不高，最后一条红色标志为新建数值。说明：认识设备目前并发会话状况2.5.会话过多办理方法命令：1、showsessionall（检

6、查全部session）2、showsessionidXX（检查该session能否非法流量）说明：假如发现会话数大于设备可支撑的性能，需要依据以上步骤检查和除掉或许防守经过第一步发现占会话总数许多的ID，经过第二步检查该ID能否存在非法app或许其余流量，经过Dos保护或许会话限制该IP数目（假如确立是攻击，能够经过安全策略障蔽该IP地点接见）。3.除掉会话命令：Clearsessionall举例：可经过sessionid、源或目的IP、源或目的端口或除掉全部会话。说明：将会话除掉。4.抓包和过滤在做debug/less或许抓包调试的时候，最好把PA的fastpath功能关掉，这样能够更为完好

7、的看到交互的数据报文，封闭命令为：SetdeviceconfigsettingsessionoffloadnoSetsessionoffloadno命令：1、创立过滤规则：Debugdataplanepacket-diagsetfiltermatchsource2、开启过滤规则：Debugdataplanepacket-diagsetfilteron3、配置抓包对象：Debugdetaplanepacket-diagsetcapturestagereceivefilex.pcap（抓取来自接口接收的报文）Debugdetaplanepacket-diagsetcapturestagetrans

8、mitfilex.pcap（抓取地点变换后的报文）Debugdetaplanepacket-diagsetcapturestagefirewallfilex.pcap（抓取经过防火墙的报文）4、全局抓包开关：Debugdetaplanepacket-diagsetcaptureon5、查察全局抓包配置：Debugdetaplanepacket-diagshowsetting6、封闭抓包Debugdetaplanepacket-diagsetcaptureoff7、除掉全部抓包内容Debugdetaplanepacket-diagclearall8、删除文件Deletedebug-filterf

9、ilex.pcap举例：说明：paloalto能够经过抓包的方式来分析故障状况。5.CPU和内存查察5.1.管理平台CPU和内存查察命令：showsystemresources举例：说明：经过以上命令能够查问到数据平台的cpu使用状况和内存使用状况。如发现CPU过高的状况，能够经过showsystemresourcesfollow这个命令去检查究竟是哪项应用有超负载行为：-1能够检查哪个CPU频次高，默以为归并-M能够检查内存使用率能否过高检查异样应用能否必需使用，不然请封闭，假如不清楚需要开case分析问题。5.2.数据平台CPU和内存查察命令：showrunningresource-mon

10、itor举例：说明：经过以上命令能够查问到管理平台的cpu使用率，查察该CPU哪个应用占用的程序比较大，依据状况封闭有关应用，比方flow_lookup是检查会话能否存在进度，flow_forwarding是transmit地点变换进度，假如不确立的状况下开case解决问题。5.3.全局利用率查察命令：showcounterglobal举例：说明：能够依据数据平台和管理平台综合状况，去查察详尽哪个应用利用率超标，综合判断惹起故障的重点。6.Debug和Less调试在PA的debug是为了获得等多的排障详尽信息，这个命令相当于show的命令，主假如查察管理平台和数据平台额外信息从而判断问题的根本

11、源因。Less为管理和数据平台log日记的查察，比较起GUI使用CLIless能看到更多的详尽数据交互信息，从而判断问题的根本源因。6.1.管理平台Debug/Less命令：lessmp-log/tailfollowyesmp-log举例：说明：查察管理平台日记信息能够经过协助命令去实现：tailfollowyesmp-logauthd.log使用tail能够及时发现流量状况，比方该命令为查察管理平台的认证状况。6.2.数据平台Debug/Less命令：debugdataplane举例：说明：使用debugdataplane能够查察数据平台流量，比方内存的详尽使用状况等。6.3.其余Debug

12、/Less命令：debugikeglobalondebug（查察VPNike信息）lessmp-logikemgr.log（查察VPNike日记信息）举例：说明：查察VPNike交互过程，能够经过tailfollowyes的方式及时查察数据报文的交互。命令：debuglog-receiverstatistics（查察日记状况）lessmp-loglogrcvr.log（查察日记缓存状况）举例：说明：能够经过该命令来检查日记工作状况。7.硬件异样查察及办理7.1.电源状态查察命令：showsystemenvironmentalspower举例：说明：当Alarm列为True时，表示电源状态异样，

13、此时需要检查供电设备（如机柜电源及电源插排）能否正常供电，在确认供电正常，防火墙电源仍旧异样时，能够生成诊疗信息文件，供应给PaloAlto厂商case办理，以确认电源模块能否故障或破坏。7.2.电扇状态查察命令：showsystemenvironmentalsfans举例：说明：当Alarm为True时，表示电扇状态异样。RPMs为False时，表示电扇不转。此时需到现场检查设备电扇能否转动（用手放在电扇后边，看能否能感觉到风）。假如电扇不转，则需要对其进行改换。7.3.设备温度查察命令：showsystemenvironmentalsthermal举例：说明：当Alarm为True时，表示

14、温度状态异样。异样时需要确立机房温度能否过高，或许散热系统能否受阻。8.日记查察8.1.告警日记查察命令：showlogalarm举例：说明：告警能够依据属性挑选如开始时间或许结束时间等等8.2.配置日记查察命令：showlogconfig举例：说明：能够经过条件选择来挑选需要的配置日记信息8.3.其余日记查察命令：showlog举例：说明：使用该命令能够查察到系统日记、流量日记、野火日记等9.双机热备异样办理命令：showhigh-availabilitystate（查问防火墙HA双机状态）showhigh-availabilityall（查问完好的HA信息）showhigh-availab

15、ilitystate-synchronization（询HA同步信息）requesthigh-availabilitystatesuspend（手工切换防火墙HA状态，运转此命令的防火墙将会从Active/Passive状态切换为暂停状态）requesthigh-availabilitystatefunctional（手工恢复防火墙HA状态）举例：说明：因为PaloAlto采纳将管理平台和数据转发平台分其余硬件构造，所以PaloAlto的HA同步方式也采纳管理平台和数据转发平台之间独自同步。PaloAlto防火墙HA的状态主要有以下四种：Initial初始化状态，此状态为防火墙在发现相同体而且

16、进行HA状态磋商前保持的状态，时间阀值为60秒。60秒事后，假如防火墙在未发现相同体时，将会变换为Active状态。Active活跃状态，此状态为的防火墙办理全部的业务流量Passive被动状态，此状态为备份状态，备份主状态防火墙全部业务流量Suspended暂停状态，此状态为防火墙管理员手工暂停Nonfunctional错误状态，主备防火墙都将可能出现此故障状态当防火墙发生故障时故障时能够依据状态来判断和使用命令10.内网用户丢包除掉方法10.1.联通测试命令：pingsourcehostpinghost举例：说明：指定源接口进行ping测试，假如不通，能够ping自己，假如本机不通可能考虑

17、端口协议没有起来，能够调试端口磋商模式，或许接口没有接好，检查网线（光纤）状况。10.2.会话查问命令：showsessionall举例：说明：能够参照上节会话命令判断故障内容，查察能否在PA能否存在该会话信息。10.3.接口丢包查问命令：showcounterglobal|matchdrop举例：说明：查问全局计数器中中存在的Drop数据包，假如有丢包请查看能否因为安全策略惹起。10.4.抓包分析命令：debugdataplanepacket-diagsetfilteron说明：请参照上节抓包和过滤分析。11.VPN故障办理命令：1、showvpnflow（查察防火墙加解密状态）2、show

18、vpngateway（查察防火墙vpn配置）3、showvpnike-sa（查察防火墙第一阶段IKESA状态）4、showvpnipsec-sa（查察防火墙第二阶段IpsecSA状态）5、showvpntunnel（查察防火墙tunnel配置）6、lessmp-logikemgr.log（debug/less调试）举例：常有的VPN故障报错信息：说明:WrongIP:在成立VPN两头的设备上边没有使用正确的公网IP地址进行VPN的成立。NomatchingP1orP2Proposal:在成立VPN两头的设备上边使用的加解密算法，数据完好性算法，Hash保持协议不般配.MismatchedPee

19、rID:在成立VPN两头的设备上边使用的PeerID不般配.PFSGroupmismatch:在成立VPN两头的设备上边使用不一样的DHgroups.MismatchedProxyID:在成立VPN两头的设备上边使用的ProxyID不般配（平常发生在使用Policybased）所以，在PaloAlto上边，能够经过一系列的查问命令来进行Vpn成立不行功的故障排查12.版本升级升级命令：1、requestsystemsoftwarecheck（履行版本检查）2、requestsystemsoftwaredownload（履行软件下载）3、requestsystemsoftwareinstall（

20、履行系统软件安装）4、requestrestartsystem（履行设备重启）举例：说明：需要注意的是升级版本后需要重启设备。升级命令：1、requestcontentupgradecheck2、requestcontentupgradedownload3、requestcontentupgradeinstall举例：说明：达成后不需要重启即可奏效13.恢复配置和口令13.1.配置恢复命令：loadconfig举例：说明：能够经过load命令恢复到last-save近来配置状态，或许from自定义配置状态：13.2.口令恢复命令：main说明：恢复口令需要重启设备，断电重启后在boot启动瞬时会显示输入命令，只需输入main就能够进入出厂值恢复菜单14.其余运维命令14.1.规划化配置命令命令：Setcliconfig-output-formatset举例：说明：规则化showconfig，方便查察和保护。14.2.系统重启命令命令：requestrestartsystem（设备重启）requestshutdownsystem（设备关机）14.3.查察应用状态命令命令：showrunningapplications