About jisun

解决方案 目录   概述 本文件描述了Palo Alto Networks防火墙上安全策略的基本原理。   所有穿越Palo Alto Networks防火墙数据平面的流量都与安全策略相匹配。这不包括来自防火墙管理界面的流量，因为在默认情况下，这种流量不会通过防火墙的数据平面。防火墙上的安全策略可以使用各种标准来定义，如区域、应用、IP地址、端口、用户和HIP配置文件。防火墙管理员可以定义安全策略以允许或拒绝流量，从区域作为广泛的标准开始，然后用更细化的选项如端口、应用程序和HIP配置文件来微调策略。   两种安全策略   防火墙有两种安全策略。   显性安全策略由用户定义，在CLI和Web-UI界面上可见。 隐式安全策略是用户通过CLI界面或Web-UI界面不可见的规则。下一节将讨论Palo Alto Networks防火墙的隐性安全策略。   隐式安全策略   默认情况下，防火墙隐式允许区内（源和目的地在同一区域）流量，隐式拒绝区间（不同区域之间）流量。默认情况下，隐式策略允许或拒绝的流量不在防火墙上记录，所以找不到这种流量的日志。要被防火墙记录，流量必须与防火墙上明确配置的安全策略相匹配。然而，为了排除故障，可以改变默认行为。请参考： How to See Traffic from Default Security Policies in Traffic Logs.   会话   Palo Alto Networks防火墙是一个有状态的防火墙，这意味着通过防火墙的所有流量都与一个会话相匹配，然后每个会话都与一个安全策略相匹配。   一个会话由两个流组成。客户端到服务器流（c2s流）和服务器到客户端流（s2c流）。流量启动的端点始终是客户，而流量目的地的端点是服务器。对于定义安全策略，只需要考虑c2s流向。定义政策，允许或拒绝从始发区到目的区的流量，也就是c2s方向。返回流，s2c，不需要新的规则。防火墙上的安全策略评估在列表中从上到下依次进行，因此与列表中第一个最接近的规则相匹配的流量适用于该会话。   下面是一个如何从CLI识别会话中流量的例子：   > show session id 107224 Session          107224                         c2s flow:                 source:    172.23.123.5 [Test]                 dst:        172.23.123.1                 proto:      50                 sport:      37018          dport:    37413                 state:      ACTIVE          type:      TUNN                 src user:  unknown                 dst user:  unknown           s2c flow:                 source:    172.23.123.1 [Test]                 dst:        172.23.123.5                 proto:      50                 sport:      37750          dport:    50073                 state:      ACTIVE          type:      TUNN                 src user:  unknown                 dst user:  unknown   拓扑结构   在本文中，以下拓扑结构适用于安全策略的使用案例 服务 "应用-默认"   在下面的例子中，安全策略允许和拒绝符合以下条件的流量。   规则 A: 所有从 IP 子网 192.168.1.0/24 的信任区发起的、以非信任区为目的地的应用，必须允许任何来自源和目的地端口。 规则 B ：必须允许从信任区的 IP 192.168.1.3 发起的以非信任区为目的地的应用程序、 DNS 、 Web 浏览、 FTP 流量。 这些应用程序应该被限制在 " 应用程序默认 " 的端口上使用。例如， DNS 应用程序，默认情况下，使用目标端口 53 。因此， DNS 应用程序应该只允许在这个端口使用。在其余的目标端口上使用这个应用程序应该被拒绝。 规则 C: 所有其他从 192.168.1.3 到 Untrust 区域的应用程序必须被阻止。 规则 😧 所有从 Untrust 区域发起的到任何区域的流量都应该被阻止。   安全策略中的服务栏定义了应允许流量的源端口和目的端口。这四个选项是： 应用 - 默认。要允许默认目标端口的流量。 关于寻找各种应用所使用的默认目标端口的更多细节，请参考以下文件。 请参阅。如何查看一个应用程序的应用默认端口。 任何。允许任何源和目的端口的流量。 预定义服务。已经在防火墙上定义的服务。 自定义服务。管理员可以根据他们的应用端口要求来定义服务。   该例子显示了为符合上述标准而创建的规则。   当提交上述配置变更时，会显示以下影子警告：   接下来将讨论影子警告的影响和避免影子警告的技巧。   规则的影子   在上述例子中， IP 地址 192.168.1.3 属于信任区，属于子网 192.168.1.0/24 。由于防火墙从上到下进行安全策略查询，所有来自 IP 192.168.1.3 的流量都符合规则 A ，并将被应用于会话。虽然该流量也符合规则 B 和规则 C 的标准，但这些规则不会被应用于该流量，因为规则 A 正在影射规则 B 和规则 C 。   为了避免阴影的影响，规则 B 和规则 C 应该在规则 A 之前，如下图所示。现在，流量与正确的规则相匹配，并防止在提交过程中出现 " 影子警告 " 。   基于用户的安全策略   在上面的例子中，策略是基于 IP 地址编写的。 以同样的方式， LDAP 用户、 LDAP 组和防火墙上的本地定义用户也可以在安全策略中使用。关于如何配置 User-ID 和将用户添加到安全策略中的更多细节，请参考以下文件。   Getting Started: User-ID How to Add Groups to Security Policy   带有NAT的IP地址的安全策略   本节讨论了在涉及到 IP 地址转换时如何编写安全策略，以及如何在安全策略中使用 URL 类别来控制各种网站。   在下面的例子中，安全策略被定义为与以下标准相匹配：   非信任区的公共 IP 192.0.2.1 被翻译成 DMZ 区 Web 服务器的私有 IP 10.1.1.2 。 从非信任区到 DMZ 区的 Web 服务器 10.1.1.2 的入站流量必须只允许使用 25 、 443 和 8080 端口。 信任区的所有用户必须被拒绝访问非信任区的 " 成人和色情 " 类网站。 所有其他从信任区到非信任区的流量都必须被允许。   下面的规则显示了满足上述标准的配置。     所有从非信任区发往 Web 服务器的流量，其目标公共 IP 为 192.0.2.1 ，属于非信任区。由于该流量来自非信任区，目的地是非信任区的 IP ，因此该流量被一个允许相同区域流量的隐含规则所允许。在安全策略查询之后，防火墙做了一个 NAT 策略查询，确定 Web 服务器的公共 IP 应该被翻译成位于 DMZ 区的私有 IP 10.1.1.2 。在这个阶段，防火墙有了最终目标区域（ DMZ ），但是 IP 从 192.0.2.1 到 10.1.1.2 的实际转换还没有发生。在确定 NAT 后流量的最终目的区信息后，防火墙进行第二次安全策略查询，以找到一个政策，允许以最终目的区 DMZ 为目的地的流量。因此，上面的规则 X 被配置为允许后 NAT 流量。注意，规则 X 将 DMZ （ Post-NAT 区域）作为目标区域，将 192.0.2.1 （ Pre-NAT IP ）作为目标 IP 地址。在上面的例子中，一个服务 "Web-server_Ports " 被配置为允许目标端口 25 、 443 和 8080 。欲了解更多信息，请参考：   How to Configure a Policy to Use a Range of Ports.   安全策略中的URL类别   在上面的例子中，规则 Y 被配置为使用安全策略中的 URL 类别选项阻止成人类网站。在安全策略中使用 URL 类别选项时，必须在策略中明确提到网络浏览应用程序。否则，不相关的流量将与此规则相匹配。另一种基于 URL 类别控制网站的方法是使用 URL 过滤配置文件。   应用程序的依赖性和应用程序的转移   本节讨论了 " 应用依赖性 " ，并描述了当应用 -ID 在会话中间改变时，会话会发生什么。   在下面的例子中，安全策略被定义为允许和拒绝符合以下条件的流量。   应该允许 Gotomeeting 、 Youtube 从信任区到非信任区的应用。 应该允许应用 Facebook 、 Gmail-base 从访客区到非信任区。 对于访客区的用户， SSL 和网络浏览应该被阻止。   这个例子显示了为符合上述标准而创建的规则。     在提交配置更改时，可能会看到以下应用程序依赖性警告。     像 Gotomeeting 和 YouTube 这样的应用最初被识别为 SSL 、网络浏览和 Citrix 。随着这些会话的更多数据包通过防火墙，防火墙可以获得更多信息来识别应用程序。然后，防火墙将应用程序转移到 Gotomeeting 和 Youtube 等各自的应用程序。   每当应用程序转移发生时，防火墙就会进行新的安全策略查询，以找到与新应用程序相匹配的最接近的规则。因此，在上述案例中， SSL 和网络浏览被称为 Gotomeeting 和 Youtube 的附属应用，因此这些应用也应该在安全策略中被允许。如果流量的应用在会话过程中发生变化，那么 第二次安全策略查询 就会根据安全策略重新匹配流量，以找到新的最接近的匹配策略。     在上面的例子中，创建了一个新的安全策略， " 依赖性应用程序规则 " ，以允许 SSL 和网络浏览。 Youtube 的流量最初与此规则相匹配，一旦发生应用转移，第二次安全策略查询就与规则 10 相匹配。   一些协议的应用可以被允许，而不需要明确地允许其依赖性（见：   How to Check if an Application Needs to have Explicitly Allowed Dependency Apps ). 在上面的例子中， Facebook 和 gmail-base 就是这样的应用，它们依赖于 SSL 和网络浏览，不需要明确允许它们的依赖应用。   应用程序识别和解密   某些应用程序，如 Vimeo ，使用了 SSL 并进行了加密，无需 SSL 解密就能被防火墙识别。然而，像 YouTube 这样使用 SSL 的应用，需要由防火墙解密才能识别。由于 SSL 连接是加密的，因此防火墙无法看到这种流量，以便对其进行识别。防火墙使用证书中的通用名称字段进行应用识别。这是在 SSL 握手过程中以明文交换的。   像 Vimeo 这样的网站使用网站的 URL 名称作为通用名称，因此不需要配置 SSL 解密。一些网站如 YouTube 使用带有通配符名称的证书作为公共名称。在 YouTube 的情况下，它是 *.google.com 。因此，使用该信息进行应用识别是不可能的，必须配置 SSL 解密以获得网站 URL 的可见性。请参考以下关于如何实施和测试 SSL 解密的文件   清理规则   一些环境要求记录所有被防火墙拒绝和允许的流量。默认情况下，只有防火墙明确允许的流量才会被记录下来。要记录防火墙隐含规则所允许的流量，请参考 :   安全策略提示   防火墙以相同的顺序检查以下标准，以便根据安全策略匹配流量。   源地址和目的地址 源端口和目标端口 应用程序 用户 -ID URL 类别 源区和目的区     在上述配置实例中，当 TCP 端口 80 上的应用程序 " 网络浏览 " 从信任区到非信任区通过防火墙时，将以下列方式进行安全查询。 源 / 目的地址 - 因为规则 A 、 B 和 C 有 " 任何 " 源和目的地址，所以该流量与所有这些规则相匹配。 源端口和目的端口 - 因为规则 A 、 B 和 C 有 " 任何 " 服务，所以流量符合所有这些规则 : 应用程序 - 由于规则 A 和 B 有 " 网络浏览 " 应用程序，流量符合这些规则。 用户 ID-- 这里不适用。 URL 类别 - 此处不适用。 源区和目的区 - 因为流量是在信任区和非信任区之间，所以为这个流量选择了规则 A 。   配置安全策略的最佳方式是尽量减少 " 任何 " 的使用，并在可能的情况下使用具体的值。这可以减少 Palo Alto Networks 设备进行的不必要的安全策略查询。   相关文件 Is there a Limit to the Number of Security Profiles and Policies per Device? How to Identify Unused Policies on a Palo Alto Networks Device How to Test Which Security Policy will Apply to a Traffic Flow. Why are Rules Denying Applications Allowing Some Packets? Why Does "Not-applicable" Appear in Traffic Logs? How to Identify Unused Policies on a Palo Alto Networks Device How Session Rematch Works How to Restrict a Security Policy to Windows and MAC Machines Using GlobalProtect HIP Profiles How Application-Default in the Rulebase Changes the Way Traffic is Matched How to Schedule Policy Actions Security Policy Management with Panorama Session Log Best Practice   附件 ... View more

症状   让我为你解决这个问题。数据包捕获- 管理员在完成安全策略的杰作后几分钟遇到的一个典型情况是：为什么自从安装了新的网络设备后，一些不起眼的应用程序表现得很奇怪。这就是故障排除的开始。   在过去几期中，我们检查了several aspects of how to configure your firewall 并从头开始设置它。   管理员可以使用的更高级的工具之一是执行数据包捕获和查看会话计数器的能力。   注意：文章中讨论的一些细节将导致性能影响。如果你不确定，请与Palo Alto支持个人合作，在维护窗口捕获数据包。   环境 任何PAN-OS Palo Alto 防火墙   解决办法 第一个要去的地方是GUI上的Packet Capture菜单，在那里你可以管理过滤条件，添加要捕获的阶段，并轻松下载捕获。     在我们开始之前，有几件事情你应该知道:   可以添加四个具有各种属性的过滤条件。 数据包捕获是基于会话的，所以一个过滤条件能够捕获client2server和server2client。 数据包是在数据平面上与接口上捕获的（这解释了下一个子弹）。 Pre-Parse Match是一个功能，可以在数据平面上运行的引擎处理之前捕获所有文件，这可以帮助排除引擎可能没有正确接受入站数据包的问题。这个选项只有在支持部门的指示下才能使用，而且要在一天中的低流量时间使用，因为它将捕获所有的东西。 当过滤被启用时，新的会话被标记为过滤，可以被捕获，但现有的会话没有被过滤，可能需要重新启动才能捕获它们。 卸载的会话不能被捕获，所以卸载可能需要暂时禁用。卸载的会话将在显示会话细节中显示 "layer7 processing: completed"。注意，由于匹配的数据包由CPU处理，这可能会导致性能影响。在维护窗口中运行这个程序，如果需要的话，请向支持部门寻求帮助。 要记住的东西很多，但在你试着对各种协议的数据包进行捕捉后，一切都会变得有意义，我保证！   让我们添加几个过滤 条件：     过滤条件2和4是我的 "备份 "过滤条件。我在前面提到，数据包捕获是可以感知的，但是，万一返回的数据包在上游发生了什么，导致它不能与我的NAT规则相匹配（也许上游设备弄乱了源端口或对序列号做了什么奇怪的事情），我通常会设置一个返回规则来捕捉任何由于不匹配而被丢弃的杂散数据。   注意：确保过滤条件尽可能的精确。不要运行与整个子网相匹配的过滤条件，如192.168.0.0/16或0.0.0.0/0，因为这可能导致性能影响和中断。   如果我们现在把 "过滤 "按钮切换到 "打开"，过滤条件将被应用于任何符合标准的新会话。     检查过滤条件是否工作的一个简单方法是，如果启动一个新的会话，检查全局计数器是否在增加。   在CLI中，我执行这个命令： > show counter global filter delta yes packet-filter yes Global counters: Elapsed time since last sampling: 2.647 seconds -------------------------------------------------------------------------------- Total counters shown: 0 --------------------------------------------------------------------------------   而且没有显示任何计数器。 'delta yes'表示我想查看自我上次执行此命令后增加的计数器。 'packet-filter yes'表示我只想看到符合我的过滤器的全局计数器。   如果我现在刷新我的浏览器并再次执行该命令: > show counter global filter packet-filter yes delta yes Global counters: Elapsed time since last sampling: 2.630 seconds name value rate severity category aspect description -------------------------------------------------------------------------------- pkt_sent                     22 8 info packet pktproc Packets transmitted pkt_outstanding              22 8 info packet pktproc Outstanding packet to be transmitted session_allocated            4  1 info session resource Sessions allocated session_installed            4  1 info session resource Sessions installed appid_proc                   2  0 info appid pktproc The number of packets processed by Application identification appid_use_dfa_1              2  0 info appid pktproc The number of packets using the second DFA table nat_dynamic_port_xlat        4  1 info nat resource The total number of dynamic_ip_port NAT translate called dfa_sw                       8  3 info dfa pktproc The total number of dfa match using software ctd_sml_opcode_set_file_type 1  0 info ctd pktproc sml opcode set file type aho_sw                       5  1 info aho pktproc The total usage of software for AHO ctd_pkt_slowpath             4  1 info ctd pktproc Packets processed by slowpath -------------------------------------------------------------------------------- Total counters shown: 11 --------------------------------------------------------------------------------   你会看到有一堆的计数器。我在本文底部添加了一个链接，以获得更多关于全局计数器的信息，我们将在未来的一集中更多地介绍它们。但现在，只要有计数器，我们就应该可以了。   接下来你要配置阶段--有4个: 丢弃阶段是数据包被丢弃的地方。原因可能各不相同，对于这一部分，全局计数器可能有助于确定丢弃是由于政策拒绝、检测到的威胁还是其他原因。 接收阶段在数据包进入防火墙引擎之前捕捉它们进入防火墙的情况。当配置了NAT时，这些数据包将是预NAT。 传输阶段捕捉数据包如何从防火墙引擎中输出。如果配置了NAT，这些将是后NAT。 防火墙阶段捕获防火墙阶段的数据包。   对于每个阶段，你可以为输出文件指定一个名称，并设置一个最大的数据包或字节数。     当所有需要的阶段都设置好后，你可以把捕获按钮切换到ON，或者你可以使用CLI，清除符合指定过滤条件的现有会话。这是为了确保在过滤条件启用之前没有任何会话被激活。然后使用capture on命令，开始捕获，如下图所示。   > show session all        =>记下符合配置的过滤条件的会话号码。 > clear session id <id#>  => 这是为了清除任何符合配置的过滤条件的现有会话。. Example:  > show session all -------------------------------------------------------------------------------- ID          Application    State   Type Flag  Src[Sport]/Zone/Proto (translated IP[Port]) Vsys                                          Dst[Dport]/Zone (translated IP[Port]) -------------------------------------------------------------------------------- 27240        web-browsing   ACTIVE  FLOW  NS   192.168.0.34[61003]/trust/6  (198.51.100.230[31047]) vsys1                                          198.51.100.97[80]/ISP1  (198.51.100.97[80]) ....(output omitted).... > clear session id 27240session 27240 cleared > debug dataplane packet-diag set capture on Packet capture is enabled   你现在可以启动你想捕捉的会话。要验证会话是否已经开始，使用show session命令。 > show session all -------------------------------------------------------------------------------- ID          Application    State   Type Flag  Src[Sport]/Zone/Proto (translated IP[Port]) Vsys                                          Dst[Dport]/Zone (translated IP[Port]) -------------------------------------------------------------------------------- 32637        web-browsing   ACTIVE  FLOW  NS   192.168.0.34[61903]/trust/6  (198.51.100.230[31547]) vsys1                                          198.51.100.97[80]/ISP1  (198.51.100.97[80]) 32635        ssh            ACTIVE  FLOW  NS   192.168.0.34[61901]/trust/6  (198.51.100.230[52812]) vsys1                                          198.51.100.1[22]/ISP1  (198.51.100.1[22])   当你完成后，可以通过将按钮拨回到OFF位置或使用调试命令来关闭捕获。   > debug dataplane packet-diag set capture off Packet capture is disabled > debug dataplane packet-diag clear filter-marked-session all Unmark All sessions in packet debug    注意：不要忘记在调试后关闭数据包捕获。如果不这样做，可能会对CPU造成负担，并可能导致性能问题。   现在将有捕获的文件可供下载，你可以用Wireshark进行分析。       在你下载pcaps后，你可能需要将发送和接收文件合并在一起：   接收阶段将有客户的私有IP到网络服务器的公共IP，以及从网络服务器公共IP返回的数据包到防火墙的外部IP（接收阶段是预NAT）。 发送阶段将有防火墙外部IP（客户端NAT）到服务器公共IP，以及返回的公共IP到客户端私有IP。   当你试图跟踪TCP流时，这可能有点令人困惑，你要注意这两个文件之间的重要区别。     这两个阶段将确保你能够验证NAT是否被正确应用。你还可以看到从客户和服务器的角度来看，发出和收到的数据包是否有任何不同。   合并后的结果应该是这样的，并允许你逐一比较正在发送的数据包和正在接收的数据包。       有几篇有用的文章可以帮助你更好地了解数据包如何在系统中流动： What is the Significance of Global Counters? Packet Flow Sequence in PAN-OS   Management plane   要排除管理平面的连接问题，可以使用内置的tcpdump命令来捕获有用的信息。 admin@myNGFW> tcpdump filter "port 53" Press Ctrl-C to stop capturing tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes ^C 16 packets captured 32 packets received by filter 0 packets dropped by kernel The resulting output is stored in a mgmt.pcap file on the management plane:  admin@myNGFW> view-pcap mgmt-pcap mgmt.pcap 15:24:07.512889 IP 10.0.0.1.36606 > 10.0.0.98.domain:  49243+ PTR? 0.0.0.10.in-addr.arpa. (41) 15:24:07.513106 IP 10.0.0.98.domain > 10.0.0.1.36606:  49243 NXDomain 0/1/0 (100) 15:24:17.196515 IP 10.0.0.1.45455 > 10.0.0.98.domain:  3126+ PTR? 0.0.0.10.in-addr.arpa. (41) 15:24:17.196762 IP 10.0.0.98.domain > 10.0.0.1.45455:  3126 NXDomain 0/1/0 (100) 15:24:31.126186 IP 10.0.0.1.57230 > 10.0.0.98.domain:  2978+ A? panos.wildfire.paloaltonetworks.com. (53) 15:24:31.126196 IP 10.0.0.1.57230 > 10.0.0.98.domain:  55173+ AAAA? panos.wildfire.paloaltonetworks.com. (53) 15:24:31.161436 IP 10.0.0.98.domain > 10.0.0.1.57230:  2978 4/0/0[|domain] 15:24:31.194586 IP 10.0.0.98.domain > 10.0.0.1.57230:  55173 2/0/0[|domain] 15:25:56.746679 IP 10.0.0.1.46048 > 10.0.0.98.domain:  43532+ A? wildfire.paloaltonetworks.com. (47) 15:25:56.746689 IP 10.0.0.1.46048 > 10.0.0.98.domain:  16653+ AAAA? wildfire.paloaltonetworks.com. (47) 15:25:56.794940 IP 10.0.0.98.domain > 10.0.0.1.46048:  43532 1/0/0 (63) 15:25:56.795553 IP 10.0.0.98.domain > 10.0.0.1.46048:  16653 0/1/0 (131) 15:25:59.038459 IP 10.0.0.1.51804 > 10.0.0.98.domain:  23806+ A? panos.wildfire.paloaltonetworks.com. (53) 15:25:59.038471 IP 10.0.0.1.51804 > 10.0.0.98.domain:  31471+ AAAA? panos.wildfire.paloaltonetworks.com. (53) 15:25:59.071431 IP 10.0.0.98.domain > 10.0.0.1.51804:  23806 4/0/0[|domain] 15:25:59.113552 IP 10.0.0.98.domain > 10.0.0.1.51804:  31471 2/0/0[|domain]   请查看这篇文章以了解更多信息  How To Packet Capture (tcpdump) On Management Interface   其他信息 为了控制数据包捕获文件的大小，单个文件被限制在 200mb，一旦超过这个大小，就会自动创建第二个文件，然后这两个文件将作为一个环形缓冲区，主 pcap 文件被用来写入活动的捕获数据，*.cap.1 文件被用来作为缓冲区。一旦主 pcap 再次达到其容量，缓冲文件将被丢弃，主文件被重命名为 *.pcap.1，并启动一个新的主文件。更多信息在这里：What is The Limitation of the Packet Capture File Size on PAN-OS?   对于小的捕捉，把所有的东西都捕捉到一个文件中可能会很方便，所以有可能让每个阶段都捕捉到同一个文件名。请注意上述的大小限制，以及每个阶段的可见度降低。推荐的方法是每个阶段都有一个单独的文件。   从PAN-OS 8.1.0开始，可以为源网和网络子网添加过滤条件，这只能通过CLI而不是WebGUI获得。   admin@firewall> debug dataplane packet-diag set filter match + destination           Destination IP address + destination-netmask   Destination netmask              <<<< new option for network + destination-port      Destination port + ingress-interface     Ingress traffic interface name + ipv6-only             IPv6 packet only + lacp                  LACP packet + non-ip                Non-IP packet + protocol              IP protocol value + source                Source IP address + source-netmask        Source netmask                     <<<< new option for network + source-port           Source port   |                     Pipe through a command   <Enter>               Finish input   admin@firewall> debug dataplane packet-diag set filter match source 192.168.1.0 source-netmask 24 admin@firewall> debug dataplane packet-diag set filter match destination 192.168.2.0 destination-netmask 24 admin@firewall> debug dataplane packet-diag show setting DP dp0: -------------------------------------------------------------------------------- Packet diagnosis setting: -------------------------------------------------------------------------------- Packet filter   Enabled:                   no   Match pre-parsed packet:   no              Index 1: 192.168.1.0/24[0]->0.0.0.0/0[0], proto 0 <<<<<<<<< network is captured /24            ingress-interface any, egress-interface any, exclude non-IP   Index 2: 0.0.0.0/0[0]->192.168.2.0/24[0], proto 0 <<<<<<<<< network is captured /24            ingress-interface any, egress-interface any, exclude non-IP --------------------------------------------------------------------------------   注意：启用全网捕获时要谨慎，可能会有大量的数据包，导致数据平面CPU的高消耗和可能的流量影响。   附件 ... View more

症状 一些常见的root分区满了的症状有： 无法登录或访问Web UI 某些daemons进程不能启动 不完整的tech support bundle 系统日志提示："/的磁盘使用量超过限制，使用了X%，正在清理文件系统" Root 分区很高   > show system disk-space Filesystem            Size  Used Avail Use% Mounted on /dev/md2              3.8G  3.1G  581M  85% /                   <----- root 分区 /dev/md5              7.6G  4.2G  3.0G  59% /opt/pancfg .        /dev/md6              3.8G  3.0G  666M  82% /opt/panrepo tmpfs                 2.0G  210M  1.8G  11% /dev/shm cgroup_root           2.0G     0  2.0G   0% /cgroup /dev/md8               88G  2.4G   81G   3% /opt/panlogs tmpfs                  12M     0   12M   0% /opt/pancfg/mgmt/lcaas/ssl/private   环境   PAN-OS Palo Alto Firewall Panorama 原因   导致分区被占满的一些常见原因: 管理员对某些进程进行故障排除，并创建了Core文件。这些文件存储在根目录下，直到被管理员删除。 启用数据平面的诊断日志（packet diags）也会占用根分区的空间。 解决办法   启用积极的清理(PAN-OS 7.1.14+, 8.0.7+, 8.1.0+) 如果95%的占用率警报被触发，这将自动截断所有旧的日志文件（所有*var/log/pan目录下的条目，匹配*.1, ... *.4, *.log.old)。     > debug software disk-usage aggressive-cleaning <enable|disable> 注意: 启用积极的清理可能会清除日志，使日志无法用于故障排除。   要验证这些变化，或者如果它已经被启用，请使用下面的命令。   > show system state | match aggressive-cleaning cfg.debug-sw-du.config: { 'aggressive-cleaning': True, }     运行磁盘使用量清理命令 (PAN-OS 8.1.0+) 磁盘使用率的清理可以通过下面的命令手动完成:   > debug software disk-usage cleanup ? + 深度清理  删除备份日志文件 *阈值      系统分区大小的阈值百分比，启动清理工作   > debug software disk-usage cleanup deep threshold 90 请注意，这个命令必须每次手动运行，以使磁盘使用率低于90%，并且在重启后不会持续。   注意：启用积极的清理可能会清除日志，使日志无法用于分析   检查并删除不必要的Core文件 通过检查 > show system files 的输出， 以查看占用大量磁盘空间的Core文件。. > show system files /opt/dpfs/var/cores/: total 4.0K drwxrwxrwx 2 root root 4.0K Jun 10 20:05 crashinfo /opt/dpfs/var/cores/crashinfo: total 0 /var/cores/: total 115M drwxrwxrwx 2 root root 4.0K Jun 10 20:15 crashinfo -rw-rw-rw- 1 root root 867M Jun 12 13:38 devsrvr_4.0.3-c37_1.gz -rw-rw-rw- 1 root root  51M Jun 12 13:39 core.20053  /var/cores/crashinfo: total 16K -rw-rw-rw- 1 root root 15K Jun 10 20:15 devsrvr_4.0.3-c37_0.info   删除不必要的Core文件。如果围Core文件的调查已经完成，或者它们是非常老的文件，可以认为是不必要的Core文件。   > delete core management-plane file devsrvr_4.0.3-c37_1.gz   这些文件可以用scp或tftp导出命令导出，然后删除以释放防火墙上的空间 > scp export core-file management-plane from mgmtsrvr_7.0.3_0.tgz to user@10.0.0.10:/home/ user@10.0.0.10 's password: ******** mgmtsrvr_7.0.3_0.tgz                       100%  453MB  46.4MB/s   00:12    删除旋转的文件和扩展名为.old的文件     这些文件包含监控细节和防火墙上的服务相关日志。如果你不需要它们，可以安全地删除它们。如果TAC调查一个正在发生的问题，你可能更愿意保留它们，直到将tech support file上传到案例管理器。 .    > delete debug-log ? cp-log      Remove cp-log at /opt/var.cp/log/pan/ dp0-log     Remove dp0-log at /opt/var.dp0/log/pan/ dp1-log     Remove dp1-log at /opt/var.dp1/log/pan/ dp2-log     Remove dp2-log at /opt/var.dp2/log/pan/ mp-global   Remove mp-global at /opt/mp-global/ mp-log      Remove mp-log at /var/log/pan/   <--- 面是 mp-log 的例子 > delete debug-log mp-log file *.1 > delete debug-log mp-log file *.2 > delete debug-log mp-log file *.3 > delete debug-log mp-log file *.4 > delete debug-log mp-log file *.old   清除任何已启用的数据包-diag记录   运行 > debug dataplane packet-diag show setting 检查是否启用了 packet-diag   > debug dataplane packet-diag show setting DP dp0: -------------------------------------------------------------------------------- Packet diagnosis setting: -------------------------------------------------------------------------------- Packet filter   Enabled:                   no   Match pre-parsed packet:   no            -------------------------------------------------------------------------------- Logging   Enabled:                   no     <-- No是默认值，意味着不启用   > debug dataplane packet-diag show setting DP dp0: -------------------------------------------------------------------------------- Packet diagnosis setting: -------------------------------------------------------------------------------- Packet filter   Enabled:                   no   Match pre-parsed packet:   no            -------------------------------------------------------------------------------- Logging   Enabled:                   yes   <--- 意味着启用了数据包分析   要清除packet-diag设置和日志，请运行以下命令:   > debug dataplane packet-diag clear all 包诊断设置为默认   > debug dataplane packet-diag clear log log Dataplane调试日志已清除   删除任何Debug pcaps或Debug-filter pcapsc   > delete debug-filter file <file-name> > delete pcap directory *      如果上述修复步骤都不能解决问题，建议收集以下的故障诊断数据，并创建技术支持的 case 。 收集 Tech Support File  (GUI: Device > Support  Click Generate Tech Support File) 收集CLI show system disk-space的输出。   ... View more