About xzuo

解决办法 概述 本文档可用于验证IPSEC隧道的状态、验证隧道监控、清除隧道和恢复隧道。 详细信息 1. 手动启动 VPN ike 1阶段 和 2阶段的 SA。 VPN 隧道只有当有有流量发往隧道时才会进行协商 。（按需） 如果您想手动启动隧道，没有实际流量，您可以使用以下命令。 注意：手动启动只能从 CLI进行 。   > test vpn ike-sa Start time: Dec.04 00:03:37 Initiate 1 IKE SA. > test vpn ipsec-sa Start time: Dec.04 00:03:41 Initiate 1 IPSec SA.     2. 检查 ike 1阶段的 状态（在 ikev1 的情况下） GUI： 导航到 Network->IPSec Tunnels 绿色表示打开   红色表示关闭    您可以单击 IKE 信息以获取 一阶段SA 的详细信息。   ike 一阶段 sa 打开： 如果 ike phase1 sa 关闭，则 ike 信息将为空    CLI: ike 1阶段 sa 打开 > show vpn ike-sa IKEv1 phase-1 SAs GwID/client IP Peer-Address Gateway Name Role Mode Algorithm Established Expiration V ST Xt Phase2 -------------- ------------ ------------ ---- ---- --------- ----------- ---------- - -- -- ------ 38 203.0.113.100 ike-gw Init Main PSK/DH20/A256/SHA512 Dec.03 22:37:01 Dec.04 06:37:01 v1 13 1 1 Show IKEv1 IKE SA: Total 1 gateways found. 1 ike sa found. IKEv1 phase-2 SAs Gateway Name TnID Tunnel GwID/IP Role Algorithm SPI(in) SPI(out) MsgID ST Xt ------------ ---- ------ ------- ---- --------- ------- -------- ----- -- -- ike-gw 139 ipsec-tunnel:lab-proxy 38 Init ESP/DH20/tunl/ A25ADE56 C79A64B7 B3E9927A 9 1 Show IKEv1 phase2 SA: Total 1 gateways found. 1 ike sa found. There is no IKEv2 SA found.    ike 1阶段 sa 关闭： ike phase1 sa down: > show vpn ike-sa There is no IKEv1 phase-1 SA found.  或者 > show vpn ike-sa IKEv1 phase-1 SAs GwID/client IP Peer-Address Gateway Name Role Mode Algorithm Established Expiration V ST Xt Phase2 -------------- ------------ ------------ ---- ---- --------- ----------- ---------- - -- -- ------ 38 203.0.113.100 ike-gw Init Main PSK/ / / v1 3 2 0 Show IKEv1 IKE SA: Total 1 gateways found. 1 ike sa found.    如果1阶段SA 关闭，您将看不到对端 IP 和 已建立的连接状态。 对于 ikev2，当你点击IKE信息时，IKE信息的细节显示是一样的： GUI:   Ikev2 CLI:   > show vpn ike-sa There is no IKEv1 phase-1 SA found. There is no IKEv1 phase-2 SA found. IKEv2 SAs Gateway ID Peer-Address Gateway Name Role SN Algorithm Established Expiration Xt Child ST ---------- ------------ ------------ ---- -- --------- ----------- ---------- -- ----- -- 38 203.0.113.100 ike-gw Resp 2 PSK/DH20/A256/SHA512 Dec.04 00:10:58 Dec.04 08:10:58 0 1 Established IKEv2 IPSec Child SAs Gateway Name TnID Tunnel ID Parent Role SPI(in) SPI(out) MsgID ST ------------ ---- ------ -- ------ ---- ------- -------- ----- -- ike-gw 139 ipsec-tunnel:lab-proxyid1 2 2 Resp DA76A187 9E1E9372 00000001 Mature Show IKEv2 SA: Total 1 gateways found. 1 ike sa found.     3. 检查第 2 阶段 ipsec 隧道是否启动： GUI： 导航到 Network->IPSec Tunnels 绿色表示向上   红色表示向下   您可以单击隧道信息以获取 Phase2 SA 的详细信息。     CLI: > show vpn ipsec-sa GwID/client IP  TnID   Peer-Address           Tunnel(Gateway)                                Algorithm          SPI(in)  SPI(out) life(Sec/KB)             --------------  ----   ------------           ---------------                                ---------          -------  -------- ------------             38              139    203.0.113.100          ipsec-tunnel:lab-proxyid1(ike-gw)              ESP/G256/          F2B7CEF0 F248D17B 2269/0       4. 检查隧道间的加密和解密（encap/decap） > show vpn flow total tunnels configured: 1 filter - type IPSec, state any total IPSec tunnel configured: 1 total IPSec tunnel shown: 1 id name state monitor local-ip peer-ip tunnel-i/f -- ---- ----- ------- -------- ------- ---------- 139 ipsec-tunnel:lab-proxyid1 active off 198.51.100.100 203.0.113.100 tunnel.1   注意：对于隧道监控，监控状态为down表示被监控的目的IP不可达，off表示没有配置隧道监控。 请注意隧道 ID，在此示例中 - 隧道 ID 为 139    > show vpn flow tunnel-id 139 tunnel ipsec-tunnel:lab-proxyid1 id: 139 type: IPSec gateway id: 38 local ip: 198.51.100.100 peer ip: 203.0.113.100 inner interface: tunnel.1 outer interface: ethernet1/1 state: active session: 568665 tunnel mtu: 1432 soft lifetime: 3579 hard lifetime: 3600 lifetime remain: 2154 sec lifesize remain: N/A latest rekey: 1446 seconds ago monitor: off monitor packets seen: 0 monitor packets reply:0 en/decap context: 736 local spi: F2B7CEF0 remote spi: F248D17B key type: auto key protocol: ESP auth algorithm: SHA512 enc algorithm: AES256GCM16 proxy-id: local ip: 10.133.133.0/24 remote ip: 10.134.134.0/24 protocol: 0 local port: 0 remote port: 0 anti replay check: yes copy tos: no enable gre encap: no authentication errors: 0 decryption errors: 0 inner packet warnings: 0 replay packets: 0 packets received when lifetime expired:0 when lifesize expired:0 sending sequence: 4280 receive sequence: 4280 encap packets: 8153 decap packets: 8153 encap bytes: 717464 decap bytes: 717464 key acquire requests: 90 owner state: 0 owner cpuid: s1dp0 ownership: 1   多次运行命令  show vpn flow tunnel-id <id>，查看计数器值的趋势。 身份验证错误、解密错误、重放数据包的不断增加表明隧道流量存在问题。 当隧道中有正常的流量时，encap/decap packets/bytes 会增加。    5. 清除以下命令将拆除 VPN 隧道：  > clear vpn ike-sa gateway <gw-name> Delete IKEv1 IKE SA: Total 1 gateways found.   > clear vpn ipsec-sa tunnel <tunnel-name> Delete IKEv1 IPSec SA: Total 1 tunnels found.     ... View more

问题 Palo Alto Networks 为新发布的 CVE提供覆盖的时间大约是多久？ CVE 有哪些资格才能成为 IPS（入侵防御系统） 签名的良好候选？  新创建的 IPS（入侵防御系统） 签名的默认操作是什么？   环境 所有 PAN-OS  所有 PAN 产品    回答 问题 1： Palo Alto Networks 为新发布的 CVE提供覆盖的时间大约是多久？ 回答： 美国国土安全部 (DHS) 网络安全部门和基础设施安全局 (CISA) 追踪保存记录并为常见漏洞和暴露 (CVE) 提供名称（和 ID）。    一旦CVE 威胁发布后，Palo Alto Networks 工程师便开始着手创建漏洞签名以保护 CVE威胁。 创建漏洞签名有两个主要条件： 有效的概念证明 (POC)应该公开供 Palo Alto 工程师创建保护或漏洞签名。工程师和安全研究人员使用 PoC 重新创建漏洞以创建保护；没有 PoC 意味着没有签名。尽管未创建签名，但这并不意味着它没有创建，因为您的网络已暴露。如果没有可用的 PoC，也意味着恶意行为者不知道如何利用它，也无法利用漏洞。  第二个条件是CVE 应该是基于网络的，而不是完全基于主机的。防火墙只能看到网络流量，如果恶意流量没有通过它，就无法检测或阻止。   问题二：  如果没有找到PoC，下一步怎么办？ 回答：一旦 CVE 发布，我们就会将其放入 Palo Alto Networks 的内部漏洞监控系统。这个自动系统监控所有可用的公共/私人资源，例如 Telus、MAPP、GitHub、google bug、exploit-DB、内部发现的 bug 等等。一旦系统自动找到可用的 PoC，会生成通知告诉工程团队，工程师团队会在可能的情况下开始创建签名。   问题三：  如果发现PoC，需要多长时间创建IPS签名？ 回答： 创建一个单一的质量漏洞 IPS 签名会经历许多阶段，包括研究、创建、浸泡测试、质量保证以及发布前和发布后的调整。它经过调整以涵盖可能利用的所有途径，同时避免产生误报。  有时由于其他因素，如通用漏洞评分系统（CVSS）得分和不被用于攻击的可能性，Palo Alto Networks 内容开发团队可能会决定不使用现有有效的基于网络的 PoC 创建 IPS 签名。 问题四：  新建IPS签名的默认动作是什么？ 回答：  我们将最开始几天的默认操作设置为“警报（alert）”以进行观察。可以根据严重程度等级进行更改的操作。  如果您想要阻止符合IPS签名的严重等级重：最重要（critical）的和重要（high）的流量，可以根据严重等级程度创建一个 IPS 规则来覆盖默认操作。有关详细信息，请查看此处。   ... View more

目标 解决Panorama日志查询不显示任何日志或停止显示从防火墙日志到特定日志收集器的日志的问题。   环境 Panorama 日志收集器(Log-collector) 所有PAN-OS   程序 1.确保防火墙正在将日志转发到日志收集器上。 而且最新的日志已经被转发了。 show logging-status Log Collector : <log-collector-serial-number> Connection IP : <log-collector-ip> Type Last Log Rcvd Last Seq Num Rcvd Last Log Generated traffic 2019/04/11 11:42:41 2019/04/11 11:42:42 6609236175355591718 6609236175355518694 50331542011 threat 2019/04/11 11:42:33 2019/04/11 11:42:34 6609236125161751868 6609236125161751455 349295414 在日志收集器上确认它已经收到日志。 > show logging-status device <firewall-serial-number> 2. 确保日志收集器有今天的es-indices，而且正在增加。并确保在Panorama上也能看到。这证实并说明了日志已经被索引并存储在日志收集器中。 dmin@Logger> show log-collector-es-indices | match 20190410 green open pan_20190410_trsum_<log-collector-serial-number> 4 0 104857195 0 28.9gb 28.9gb green open pan_20190410_all_<log-collector-serial-number> 8 0 803025297 0 297gb 297gb admin@PANORAMA> show log-collector-es-indices log-collector-grp-name <log-collector-group-name> | match 20190410 green open pan_20190410_trsum_<log-collector-serial-number> 4 0 104857195 0 28.9gb 28.9gb green open pan_20190410_all_<log-collector-serial-number> 8 0 803025297 0 297gb 297gb 3. 检查panorama和日志收集器的网络统计输出。检查日志收集器是否显示panorama连接已建立。而panorama显示日志收集器连接已建立。 admin@Logger> show netstat all yes numeric yes | match <panorama-ip> tcp 0 0 <log-collector-ip>:42795 <panorama-ip>:3978 ESTABLISHED admin@PANORAMA(primary-active)> show netstat all yes numeric yes | match <log-collector-ip> tcp 0 0 <panorama-ip>:3978 <log-collector-ip>:42795 ESTABLISHED 4. 在这时候，当日志从防火墙发送到日志收集器，并且日志收集器已对其进行正确索引，我们需要确保在日志收集器上可以看到panorama发送给日志收集器的日志查询，并且被正确处理。我们可以运行下面的调试来找出全panorama无法从日志收集器获取日志的原因。 启用以下调试进行追踪。(注意：管理服务器调试是资源密集型的，在运行它们之前请谨慎行事 或联系工程师) > debug management-server tracing set marker test level high type query > debug management-server on debug > debug reportd on debug   在此之后，我们可以在日志收集器中检查reportd的日志，找到在panorama上运行的查询和向日志收集器发出的请求以及日志收集器的响应。   2019-04-11 13:26:48.192 +0530 跟踪：test_6399 pan_handle_logger_dlcq_init(pan_cfg_logmgr_task.c:12436)。Q: INIT. remote_job_id 6399, query_id 12794, rectype traffic, direction 1, num_recs_buffered 1100, num_segments 512, query '(((receive_time leq now)) and (device-group eq 'FW-DG')), query_len 65 调试结束后，确保我们清除了管理-服务器和reportd上的跟踪和调试。   这些调试为我们提供了在panorama上运行的日志查询的宝贵信息，并帮助我们理解为什么我们没有得到回应。 你可以从panorama和日志收集器中收集技术支持文件，并将其上传到技术案例中，以便进一步调查。           ... View more

解决方法 我应该升级 PAN OS 吗？有哪些建议和风险？有其他人可以分享他们的经验吗？在努力解决有关升级的重要问题时，您并不孤单，升级是本周讨论 (DotW) 中值得特别关注的话题     我们的许多社区成员加入了讨论，分享了他们的经验、建议和观点。   第一个要问的问题是“我为什么要升级？” 正如用户 Brandon_Wertz 指出的那样。 以下是升级的最常见原因：   拥有最新的 PAN-OS 版本。 使用新的 PAN-OS 版本中提供的一些新功能。 获取当前 PAN-OS 版本中不可用的特定修复程序。   让我们更详细地看看这些关键原因：     拥有最新的 PAN OS 版本 尽管一般的思路可能是越新越好，但在做出此假设之前需要考虑一些事项。    让我们使用用户 jprovine为示例，他计划从 PAN-OS 6.1.7 升级到 PAN-OS 7.0.3，PAN-OS 上两个不同主要大版本和次要小版本。通常情况下，我们会在主要版本（6.0、6.1、7.0 等）中添加功能和优化。次要版本通常会针对该特定版本之前出现的问题进行错误修复和补丁。     使用最新 PAN OS 版本中提供的新功能 是一个有效的升级理由。用户 mlinsemier 和 Brandon_Wertz 都 分享了他们在该主题上的经验。   需要考虑的是新功能是否对业务至关重要，或者只是拥有也不错。此外，您会立即升级还是知道很快就会有更新的版本，所以选择等待一段时间？额外几天的等待可以节省升级两次的需要。这是在几个用户讨论等待 PAN OS 7.0.4 的讨论中提出的。   有关 PAN OS 7.0.x 中新功能的一个很好的概述，请参阅PAN-OS 7.0 新功能(PAN-OS 7.0 new features.)。     获得特定修复 也是升级的正当理由。但是，即使在这种情况下，也有一些注意事项。   在当前的 PAN OS 版本中有一个解决方法可能会使您无需立即升级。在某些情况下，如果特定功能不对商业业务造成关键影响，您甚至可以禁用它。     那么风险呢？ 如果您正在升级，目标是尽可能降低和控制风险。以下是一些可帮助您降低与升级相关的风险的建议：   如果您计划升级，请查看软件更新随附的发行说明。发行说明中有一个标题为“已知问题”的部分。您可以在PAN-OS 软件更新页面 (PAN-OS Software Updates )上找到发行说明。（需要支持帐户才能访问此页面） 拥有这样的讨论论坛很有用，用户可以在其中分享他们的经验。 理想情况下，在维护窗口期间计划升级，以尽量减少对生产环境的影响。 在开始升级之前，请务必备份您的配置。 请注意，提示和指示不限于上面的列表，但它是您升级路径的一个很好的起点。   您可以在此处的链接7.0.3 Upgrade (7.0.3 Upgrade)中关注所以相关讨论。欢迎在讨论中添加您的经验和评论。   一如既往，我们欢迎在下方提供反馈和意见。   谢谢阅读。   ... View more

现象 本文档介绍如何使用反间谍软件、漏洞保护和防病毒的例外设置来更改针对Palo Alto Network防火墙上特定威胁的操作。   环境 Palo Alto Network 防火墙 PAN OS 8.1 及更高版本。 反间谍软件、漏洞或防病毒的例外设置   解决方法 反间谍软件或漏洞保护的例外设置 例如：将威胁 ID #30003 的反间谍软件例外添加到名为“Threat_exception_test_profile”的现有配置文件 转到对象 > 安全配置文件 >“反间谍软件”或“漏洞保护” 选择现有配置文件 单击“例外”选项卡。 首先，选中配置文件窗口左下方的“显示所有签名”的选框。 在搜索栏中，输入字符串“( 例如 'microsoft' )”或直接输入威胁 ID 号本身（例如 30003）。按回车键或单击绿色箭头开始搜索。 注意：如果正在搜索的签名是在最新的动态更新操作中应用并且没有在搜索结果中出现，请退出 Web UI 然后重新登录以清除 GUI 缓存。 结果将显示“ Microsoft Windows DCOM RPC Interface Buffer Overrun Vulnerability”（就是威胁 ID #30003）。 注意：威胁 ID 可以从威胁日志中确定。 要启用此例外设置，请选中“启用”选框。 更改默认的“动作”值以处理未排除的流量。要允许流量，请选择Allow（允许） ，或要丢弃流量，请选择 Drop（丢弃） 。 威胁操作详细信息 - 更改默认操作。 使用 IP 地址例外项目栏将 IP 地址过滤器添加到威胁的例外中。如果将 IP 地址添加到威胁例外，只有当触发签名是由源 IP 或目标 IP 与例外列表中的 IP 匹配的会话时，该签名的威胁例外操作才会接管规则的操作。每个签名最多可以添加 100 个 IP 地址。使用此选项，无需创建新的策略规则和新的漏洞配置文件来为特定 IP 地址创建例外。 为了排除某些 IP 地址，而不是所有流量，请单击“ IP Address Exemptions（IP   地址豁免）”下的空白处，然后单击底部的添加按钮。最多可以向列表中添加 100 个 IP 地址。 IP 地址豁免详细信息。 确保将反间谍软件和/或漏洞保护配置文件应用于适当的安全策略。 点击提交更改以启用例外设置。 防病毒例外设置 例如，要将威胁 ID #253879 的防病毒的例外添加到名为“AV_exception_test_profile”的现有配置文件：（注意：请注意，如果您将一个病毒排除在检查范围之外，就只能是是全部或没有，您不能只将一个IP 排除在这种保护之外，这将是该规则 / 防病毒策略所允许的所有内容） 。 转到 GUI：对象   >   安全配置文件   >   防病毒。 在现有配置文件中，单击“病毒例外”选项卡。 在页面底部的 Threat Id（威胁号） 字段中输入 威胁ID（在此示例中为253879   ），然后单击添加和确认。 注意：威胁 ID 可以从威胁日志中确定。 在此示例中，创建了“ Win32/Virus.Generic.koszy ”的例外设置 防病毒 - 病毒异常窗口详细信息。   确保将防病毒配置文件应用于适当的安全策略。 没有选项可以将某些 IP 地址排除在 防病毒的例外设置中。 提交更改。   ... View more