About kishikawa

Prisma SaaS をご購入いただくと、製品の使用に必要な情報 (Prisma SaaS のお客様インスタンスのURL、Prisma SaaS へのログインIDおよび「仮」パスワード、等) を含む E-mail が弊社 Palo Alto Networks より送付されます。 お客様はこれらの情報を使用して、直ちに製品を使用することができます。他の製品と異なり、ご使用いただくためにカスタマー サポート ポータルにて Authorization Code のアクティベーションを行うといった手続きは必要ありません。   ただし、弊社サポートへお問い合わせいただくためには、カスタマー サポート ポータルへ製品を登録しておく必要があります。カスタマー サポート ポータルへ製品を登録する方法については以下の記事をご参照下さい。 Prisma SaaS (旧名称 : Aperture) のライセンス入手方法: https://live.paloaltonetworks.com/t5/%E3%81%8A%E5%AE%A2%E3%81%95%E3%81%BE%E5%90%91%E3%81%91%E3%82%B5%E3%83%9D%E3%83%BC%E3%83%88%E6%83%85%E5%A0%B1/Apature-%E3%81%AE%E3%83%A9%E3%82%A4%E3%82%BB%E3%83%B3%E3%82%B9%E5%85%A5%E6%89%8B%E6%96%B9%E6%B3%95/ta-p/178466 ... View more

  ご発注いただいた後、Palo Alto Networks より E-mail にて直接お客様に納品します。 ログイン E-mail アドレスは見積り作成時に指定します。 Authorization Code PDF の情報を元に Customer Support Portal （以下CSP） に製品登録をして頂く必要があります。 お客様に提供されるもの（Authorization Codes PDF） Prisma SaaS のお客様インスタンスのURL Prisma SaaS へのログインIDおよび「仮」パスワード ログイン  ID は 見積り で設定頂いたお客様の Administrator Email Address 仮パスワードはご登録後、ご変更をお願いします Serial Number Authorization Code Serial Number、 Authorization Code  は CSP に製品を登録する際に使用します。 お客様に届く Email の見本 CSP に製品を登録する方法 カスタマーサポートポータル（https://support.paloaltonetworks.com) にログインします。 [ASSETS]タブに移動します。 [Register New Device] をクリックします。 "Register device using Serial Number or Authorization Code" を選択して [Submit] をクリックします。 "DEVICE INFORMATION" の下の "Serial Number" に、提供された Serial Number を入力します。 残りの項目を入力し、"Agree and Submit" をクリックします。 【デバイス情報】 Serial Number : シリアルナンバー Device Name : デバイス名（自由入力） Device Tag : デバイス タグ（選択式 ※事前に登録） 【所在地情報】 City : 市区町村 Postal Code : 郵便番号 Country : 国（選択） Region/State : 地域/州（自由入力） Remarks : 備考（自由入力） ライセンスの確認方法 提供された URL を使用して Prisma SaaS サービスへログインします。 https://<your_company_name>.aperture.paloaltonetworks.com エンドユーザー ライセンス契約 (EULA) を読み、[I Accept] をクリックします。 初めて Prisma SaaS サービスにアクセスする場合は、Settings > Admin Accounts にてパスワードを変更し、新しいパスワードでログインし直します。 Settings > License Info を選択し、ライセンスが正常にアクティベートされていることを確認します。 Renewal Date - サブスクリプションの有効期限 Number of Licensed Users - Prisma SaaS サービス上にアカウントを持つことができるユーザの数 Serial Number - お客様の Prisma SaaS ライセンスに紐付くユニークな シリアルナンバー。 ... View more

EOL (サポート終了) ポリシーと EOL 対象製品に関する情報は下記リンクをご参照ください。 https://www.paloaltonetworks.jp/services/support/end-of-life-announcements ... View more

対象: Premium Supportをご購入のお客様。 なお、Premium Partner Supportをご購入のお客様は、Support購入先のAuthorized Support Center (ASC)までお問い合わせ下さい。   お問い合わせ方法: Web または 電話にてお問い合わせいただけます。 弊社では、 Webからのサポートケースの作成を推奨しています。Webで作成されたサポートケースは、自動的に適切なテクニカルサポートエンジニアに割り当てられ、テクニカルサポートエンジニアから電子メールまたは電話でご連絡します。   (Web によるお問い合わせ) ※英語のみ使用可能 1. カスタマー サポート ポータル (https://support.paloaltonetworks.com) にアクセスし、ご登録のアカウントでログインします。 2. Homeタブ内の『CASE MANAGEMENT >』リンクをクリックします。 3. お客様がお問い合わせ中および過去にお問い合わせ頂いたケースの一覧が表示されます。 4. 弊社サポートエンジニアからお伝えしたケース番号をクリックします。 5. 「Case & Asset Information」タブ内の右側にある「CASE COMMENTS」の欄にお問い合わせ内容を英語で記述し、[Post Comment] をクリックします。   (電話によるお問い合わせ) 電話番号: フリーダイアル　0120-184-025   お問い合わせは24時間受け付けています。 平日9:00 - 17:00の間は日本語での対応となります。 上記以外の時間は英語での対応となります。 参考：他地域も含む問い合わせ窓口一覧：https://www.paloaltonetworks.jp/company/contact-support.html お問い合わせの流れ（日本語の自動応答） Step 1: ケース番号を入力して最後に # を押す、ケース番号が不明な場合は 1 を押す Step 2: 製品シリアル番号（数字のみ）を入力して最後に # を押す、製品シリアル番号が不明な場合は 1 を押す Step 2-1: 製品シリアル番号を入力した場合、シリアル番号にアルファベットが入っているか聞かれるので、入っていなければ０、Aなら１、Bなら２、Cなら３・・・とアルファベットを入力 Step 2-2: Administrative support 1 ( Administrative caseは日本オフィスでは対応していない為、他のRegionメンバーによる英語サポート) か、Technical support （日本語での対応）2 を選択 Step 3: Step 2 で 1 を押した場合は、電話取次担当者（日本語での対応）につながります Step 4: 電話取次担当者が対応中の場合： 折り返し電話を希望 → 1 を押す ボイスメールを残す → 2 を押す そのまま待つ → 9 を押す、もしくは何もしない ... View more

※この記事は以下の記事の日本語訳です。 Palo Alto Networks Firewall not Forwarding Logs to Panorama (VM and M-100) https://live.paloaltonetworks.com/t5/Configuration-Articles/Palo-Alto-Networks-Firewall-not-Forwarding-Logs-to-Panorama-VM/ta-p/59799   事象 Palo Alto Networks M-100 デバイスまたは仮想アプライアンスとして導入されている Panorama が Palo Alto Networks ファイアウォールからログを受信しなくなる。トラフィック ログや脅威ログは、ファイアウォール上で直接確認すると見ることができるが、Panorama 上では見ることができない。   詳細 Palo Alto Networks ファイアウォールは Panorama に転送されたログをシーケンス番号を使用して記録します。ログが受信されると、Panorama はシーケンス番号を認識します。ファイアウォールが異なる Panorama (例えば、Panorama の HA ピア) に接続されると、これらのシーケンス番号は非同期となって、ファイアウォールがログを転送しなくなることがあります。ログのアップロード処理も、Panorama に送信された大量のログによってスタック (停滞) することがあります。   解決策   Panorama 5.0, 5.1, 6.0, 6.1, 7.0, 7.1 現在のログ状況を確認します > show logging-status device <シリアル番号> 最後に ACK されたログ ID からのログ転送をローカルディスクへのバッファリング有りで開始します > request log-fwd-ctrl device <シリアル番号> action start-from-lastack ログが転送されているかどうか確認します > show logging-status device <シリアル番号> ログが転送されていない場合、次のことを行います: ログ転送が停止していることを確認します > request log-fwd-ctrl device <シリアル番号> action stop バッファリング無しでログ転送を開始します (この状態で約 1 分間放置します) > request log-fwd-ctrl device <シリアル番号> action live ログ転送をバッファリング有りで開始します > request log-fwd-ctrl device <シリアル番号> action start   重要! シリアル番号内のアルファベット文字はすべて大文字である必要があります。例えば: > request log-fwd-ctrl device 0000C123456 action live scheduled a job with jobid 12   小文字が使用された場合は、次のエラーメッセージが返されます: > request log-fwd-ctrl device 0011c123456 action live Server error : failed to schedule a job to do log fwd ctrl from panorama to device 0000c123456   デバイスのポリシーにてログのアクションが Panorama への転送に設定されていることを確認します。 ロギングがスタックする場合は、log-receiver サービスを次のコマンドを使用して再起動します: > debug software restart log-receiver もしくは、次のコマンドを使用して Management Server を再起動します (log-receiver サービスも再起動されます): > debug software restart management-server   著者: swhyte ... View more

※この記事は以下の記事の日本語訳です。 How to Determine How Much Disk Space is Allocated to Logs https://live.paloaltonetworks.com/t5/Management-Articles/How-to-Determine-How-Much-Disk-Space-is-Allocated-to-Logs/ta-p/53828   ログが使用しているディスク容量を確認するためには: CLI より次のコマンドを実行します: show system disk-space   出力は以下のようになります > show system disk-space Filesystem            Size    Used   Avail Use% Mounted on /dev/sda3             3.8G    1.1G    2.5G  31% / /dev/sda5             7.6G    2.1G    5.1G  29% /opt/pancfg /dev/sda6             3.8G    2.7G    932M  75% /opt/panrepo tmpfs                   487M   37M     451M   8% /dev/shm /dev/sda8             125G   403M    118G   1% /opt/panlogs   panlogs で終わる行から、ログに割り当てられているディスク容量が分かります。 ログはその割り当て量を超えると消去されるため、容量の 95% を超えないように割り当て、バッファ容量に多少の余地をもたせることが推奨されます。   ログ種別ごとのディスク割り当ては、CLI または GUI の [Device] > [セットアップ ] > [ 管理 ] > [ ロギングおよびレポート設定 ] から確認することができます。     > show system logdb-quota Quotas:              traffic: 32.00%, 38.123 GB               threat: 16.00%, 19.061 GB               system: 4.00%, 4.765 GB               config: 4.00%, 4.765 GB                alarm: 3.00%, 3.574 GB                trsum: 7.00%, 8.339 GB          hourlytrsum: 3.00%, 3.574 GB           dailytrsum: 1.00%, 1.191 GB          weeklytrsum: 1.00%, 1.191 GB                thsum: 2.00%, 2.383 GB          hourlythsum: 1.00%, 1.191 GB           dailythsum: 1.00%, 1.191 GB          weeklythsum: 1.00%, 1.191 GB              appstat: 6.00%, 7.148 GB               userid: 1.00%, 1.191 GB             hipmatch: 3.00%, 3.574 GB    application-pcaps: 1.00%, 1.191 GB         threat-pcaps: 1.00%, 1.191 GB   debug-filter-pcaps: 1.00%, 1.191 GB          hip-reports: 1.00%, 1.191 GB             dlp-logs: 1.00%, 1.191 GB Disk usage: traffic: Logs: 53M, Index: 78M threat: Logs: 8.1M, Index: 340K system: Logs: 18M, Index: 2.1M config: Logs: 29M, Index: 244K alarm: Logs: 16K, Index: 16K trsum: Logs: 25M, Index: 720K hourlytrsum: Logs: 508K, Index: 576K dailytrsum: Logs: 396K, Index: 620K weeklytrsum: Logs: 72K, Index: 196K thsum: Logs: 276K, Index: 276K hourlythsum: Logs: 264K, Index: 264K dailythsum: Logs: 256K, Index: 256K weeklythsum: Logs: 40K, Index: 40K appstatdb: Logs: 448K, Index: 696K userid: Logs: 56K, Index: 24K hipmatch: Logs: 16K, Index: 16K application-pcaps: 156K threat-pcaps: 4.0K debug-filter-pcaps: 4.0K dlp-logs: 4.0K hip-reports: 1.1M wildfire: 4.0K   著者: mbutt ... View more

※この記事は以下の記事の日本語訳です。 Working with External Block List (EBL) Formats and Limitations https://live.paloaltonetworks.com/t5/Learning-Articles/Working-with-External-Block-List-EBL-Formats-and-Limitations/ta-p/58795   訳注：本文書で紹介するダイナミック ブロック リストはPAN-OS 5.0以降が対象です。   概要 PAN-OS 5.0 で導入された ダイナミック ブロック リスト（Objects > ダイナミック ブロック リスト） を使用すると、外部で作成された IP アドレスのリストをインポートしセキュリティ ポリシーの中でアドレス オブジェクトとして使用することが可能になります。このドキュメントでは、IP アドレス リスト用のテキスト ファイルを作成する際に考慮すべきフォーマートの規則を説明します。   詳細 EBL（外部ブロック リスト）の各行には IP アドレス、IP 範囲、もしくはサブネット（IPv6 サポート）が入力できます: 192.168.20.10/32 は 1 つの IP アドレスを意味します 192.168.20.0/24 はサブネットを意味します 192.168.20.40-192.168.20.50 IP 範囲を意味します 2001:db8:123:1::1 は 1 つの IP アドレスを意味します 2001:db8:123:1::/64 はサブネットを意味します 注: EBL の各行は改行文字 (LF) で終端します。Windows 形式 (CR-LF) はサポートされません。 EBL を使用した URL または FQDN の動的なブロックは現在されポートされていません。 ファイアウォール上のリストの最後の IP アドレスの最後のオクテットを参照するためには、テキスト ファイルの最後の IP アドレスの後に "リターン" が入力されている必要があります。 サービス ルートの設定では、EBL は 'Palo Alto Updates' の選択に分類されます。   役立つコマンド: CLI 上で EBL を表示します: > request system external-list show name <オブジェクト名>   CLI から EBL リフレッシュをリクエストします: > request system external-list refresh name <オブジェクト名>   EBL リフレッシュのステータスを表示します: > show jobs id <ジョブ ID>   追加情報: 次のエラー （各コマンドからのエラー）が CLI 上で確認される場合があります: > request system external-list show name <オブジェクト名> Server error : external list file not found.   または > show jobs id <値>  （<値> は EBL リフレッシュ ジョブ）は次のエラーを返す場合があります: Warnings: EBL(vsys1/test) Unable to fetch external list. Using old copy for refresh.   上記エラーは IP アドレス リストをホストする Web サーバーに問題がある可能性があることを示唆しています。しかし、多くの場合、リストは正常に取得されたが （GUI でテストすると "Source URL is accessible" となる）、Palo Alto Networks デバイスがそのリストを読むことができなかったことが考えられます。ソース アドレスが HTTP/HTTPS URL 上の .txt ファイルを指していることを確認してください。 例えば: https://www.example.com/blocklist.txt   HTTPS ロケーションを使用する場合は、PAN-OS 5.0.10 以上であることを確認してください。それより前のバージョンを稼動している場合、正常に動作していてもGUI の Test URL オプションがエラーを返す場合があります。 注: ファイアウォール上のリストを参照するためには DBL（ダイナミック ブロック リスト）がポリシーで使用されている必要があります。   同エラーは、セキュリティ ルールがダイナミック ブロック リストを使用して設定されていない場合や、対象 vsys が マルチ vsys システムに設定されていない場合にも現れる場合があります。 ダイナミック ブロック リストをセキュリティ ルールに適用するためには、次の例を参照してください: EBL オブジェクトを宛先として使用するルールに対しては、アクションは 'Allow' ではなく 'Block' を設定します。 対象 vsys を設定するためには: > set system setting target-vsys <vsys1>   EBL（非共有 EBL）を Panorama 上で作成する場合は、プレ ルールに適用しマルチ vsys（仮想システム） の管理デバイスにプッシュします。   注 1: 'Palo Alto Updates' サービス ルートは EBL にも影響を及ぼします。   注 2: PAN-OS 6.1 より前では、コメントのある行はセキュリティ ポリシーに適用されると削除されます。6.1 以降では、コメントのある行は適切に適用されます。   例: #test dbl 1.2.3.4 10.10.10.10 10.11.12.13 testingcommentsread here 10.12.12.14 #testingcommentsread here   > show running security-policy TestDBL { from trust-L3; source any; source-region none; to untrust-L3; destination [ 1.2.3.4 10.10.10.10 ]; destination-region none; user any; category any; application/service any/any/any/any; action allow; terminal yes; }   注: EBL をリフレッシュした際に他のエラーが表示される場合、management server debug を有効にし ms.log を追跡することができます。EBL リストのフォーマットに問題がある場合は、ms.log に明確に記されます。ms.log ファイルの記録例を次に示します:   Feb 15 12:43:21 EBL entry(0xf30a77f0, 0xe0b6ac60, 0xe210b998 vsys1/test, 1, 0) Refresh job cancelled Feb 15 12:43:21 EBL entry(0xf30a77f0, 0xe0b6ac60, 0xe210b998 vsys1/test, 1, 0) EBL Refresh job success Feb 15 12:43:21 EBL ALLOC free timer (0xdbfbecb0, 1356) Feb 15 12:43:21 EBL entry(0xf30a77f0, 0xe0b6ac60, 0xe210b998 vsys1/test, 1, 0) Releasing ebl Feb 15 12:43:21 EBL ALLOC free size(0xe0b6ac60 1196)   外部ブロック リストと各リスト内のアドレス エントリーの最大数:   各プラットフォームは最大 10 個の外部ブロック リストを持つことができます。 各リストにはファイアウォールのモデルがサポートする最大アドレス数 から300少ないアドレス を含めることができます。 各 EBL は 1 アドレス オブジェクトとして数えられ、max-address のプラットフォームの最大数には影響を与えません。すなわち、デバイスの最大アドレス数が 5000 の場合、それぞれ 4700 アドレスのサイズの EBL を 10 個持つことができ、その他に 4990 個のアドレス オブジェクトを持つことができます。   ご使用のシステムの最大アドレス数を確認するためには、CLI より次のコマンドを入力してください:   PA-200 上ではコマンドと出力はこのように見えるはずです: > show system state | match cfg.general.max-address cfg.general.max-address: 2500   こちらはハードウェアと最大アドレス エントリーを示すグラフです: ハードウェア 最大アドレス エントリー PA-200 PA-500 2500 PA-3020 5000 PA-3050 PA-3060 PA-5020 10000 PA-5050 40000 PA-5060 PA-7050 80000     PA-200 で PAN-OS 7.0.x を稼動している場合は、以下の最大数をもつことができます: 最大 10 個の外部ブロック リスト 全ての外部リスト合わせて最大 50000 個の IP (50000 個の IP をもつ 1 つのリスト、または、5000 個の IP をもつ 10 個のリストは両方ともサポートされます) 1 つのデバイスで 10 個以上の EBL を使用した場合、コミット中に次のエラーが表示されます:       Exceeding max number of supported external block lists (10)   注: 共有 EBL オブジェクトを Panorama から マルチ vsys が有効化されたデバイスにプッシュする場合は、各 EBL が vsys ごとに 1 カウントされる問題に遭遇する可能性があります。この問題はアーキテクチャの変更により PAN-OS 7.1 で解決しています。   エントリ数がキャパシティの総数を超えた場合は、次のエラーがシステム ログに表示されます:       EBL(<EBL 名>) Exceeding max number of ips at line XXXX     著者: jdelio  ... View more

※この記事は以下の記事の日本語訳です。 How to Set the Palo Alto Networks Firewall to Allow non-Syn First Packet https://live.paloaltonetworks.com/t5/Configuration-Articles/How-to-Set-the-Palo-Alto-Networks-Firewall-to-Allow-non-Syn/ta-p/62868   PAN-OS 5.0、6.0   概要 Palo Alto Networks ファイアウォールは、デフォルトでは、セキュリティ対策として、SYN フラグが立っていない最初のパケットを拒否します。正常な TCP コネクションは 3-ウェイ ハンドシェイクから開始します。つまり、ファイアウォールが確認した最初のパケットが SYN パケットではない場合、それは有効なパケットではない可能性があるため、破棄されます。   まれに、このセキュリティ チェックをせずにパケットを許可することが必要な場合があります。通常、非対称ルーティングが理由で、この機能を無効にすることが必要とされます。   詳細 このオプションを恒久的に無効にするためには、次の CLI コマンドを実行します: > configure # set deviceconfig setting session tcp-reject-non-syn no # commit この機能を元に戻す場合は、次の CLI コマンドを使用します: > configure # set deviceconfig setting session tcp-reject-non-syn yes # commit 非 SYN の TCP パケットを一時的に許可するためには、次の CLI コマンドを実行します (Configure モードではありません): > set session tcp-reject-non-syn no 注: このコマンドは一時的であり、コミットもしくはコミットを発生させる変更もしくはリブートの後に元に戻ります。 さらに、これらの設定はゾーンごとの GUI で、以下のように Zone Protection を使用して変更できます。 Network > Zone Protection へ移動 Add をクリック Packet Based Attack Protection > TCP/IP Drop を選択 Packet-Based Attack Protection の定義を参照するためには、ウィンドウの右上角のヘルプ ('?') をクリックします。いくつかの重要な定義を以下に説明します: Reject Non-SYN TCP - TCP セッション セットアップの最初のパケットが SYN パケットでない場合にパケットを拒否するかどうかを決定します: Global - CLI で割り当てたシステム全体の設定を使用します。 yes - 非 SYN TCP を拒否します。 no - 非 SYN TCP を受け入れます。 注: 非 SYN TCP トラフィックを許可すると、ブロック発生後クライアントおよび/またはサーバー コネクションが設定されていない場合に、ファイルをブロックするポリシーが期待通りに動作しない可能性があります。   Asymmetric Path - 非同期 ACK またはウィンドウ範囲外のシーケンス番号を含むパケットをドロップまたはバイパスするかどうかを決定します: global - CLI で割り当てたシステム全体の設定を使用します。 drop - 非対称パスを含むパケットをドロップします。 bypass - 非対称パスを含むパケットのスキャンをバイパスします。   Network > Zones へ移動し、この Zone Protection Profile を必要な Interface/Zone に適用します。下記例では Zone Protection Profile は適用されていません。 Zone、例えば "Untrust1" をクリックし、下記に示すように Zone Protection Profile を追加して、Zone Protection Profile のドロップ ダウン メニューからその Zone Protection Profile を選択します。 目的の Zone Protection Profile を選択したら、OK をクリックします。下記例では "Untrust1" ゾーンに Zone Protection Profile "Recon-Protect-Alert" が適用されています。   著者: ppatel ... View more

※この記事は以下の記事の日本語訳です。 Packets are Dropped Due to TCP Reassembly https://live.paloaltonetworks.com/t5/Management-Articles/Packets-are-Dropped-Due-to-TCP-Reassembly/ta-p/57139   事象 TCP Reassembly によりパケットがドロップされている。   原因 本事象は通常はネットワークに非対称ルーティングがある場合に発生します。例えば、SYN パケットが Palo Alto Networks ファイアウォールを通過したが SYN-ACK がファイアウォールを通過せず、ファイアウォールが ACK を受信した場合です。ファイアウォールは TCP Reassembly の失敗によりそのパケットをドロップします。   確認するためには、パケット キャプチャを実行し Global カウンタをチェックします。パケット キャプチャの詳細情報については、次のドキュメントを参照してください: Using Packet Filtering through GUI with PAN-OS 4.1   以下に示すように、カウンタでは、パケットが TCP Reassembly によりドロップされていることを確認します。キャプチャでは、SYN パケットと ACK パケットを受信しており、SYN ACK を受信していないことを確認します:   解決策 次のコマンドを使用して、グローバルに非対称ルーティングをバイパスするようファイアウォールを設定します。 > configure # set deviceconfig setting tcp asymmetric-path bypass # commit   この変更は次のコマンドを使用して元に戻すことができます: > configure # delete deviceconfig setting tcp asymmetric-path # commit   非対称トラフィックに関する現在のアクションをチェックするためには次のコマンドを使用します: > show running tcp state | match asymmetric session with asymmetric path            : drop packet   代替手段として、Zone Protection Profile を作成することにより、非対称ルーティングのバイパスを、特定の宛先 Zone へのトラフィックのみに制限することができます。 Network > Zone Protection Profile へ移動します。 新規に Profile を追加し、名前を付けます。 Packet Based Attack Protection タブへ移動し、プルダウン メニューから次を選択します: Reject Non-SYN TCP: No Asymmetric Path: Bypass 目的の宛先 Zone へ移動し、Zone Protection Profile を割り当てます。 変更をコミットします。 注: トラフィックが 2 つの Security Zone に及ぶ場合は、Zone Protection Profile は宛先 Zone に合わせます。非対称トラフィックの必要性に応じて、一方の Zone または両方の Zone に適用します。トラフィックの発生が一方向の場合は宛先 Zone にのみ適用し、両方向の場合は両方の Zone に適用します。   著者: ashaikh ... View more

※この記事は以下の記事の日本語訳です。 Using LDAP to Authenticate to the Web UI https://live.paloaltonetworks.com/t5/Configuration-Articles/Using-LDAP-to-Authenticate-to-the-Web-UI/ta-p/53445   概要 この記事には Web UI の認証のための LDAP の設定手順が記載されています。   手順 LDAP Server Profile を作成し、ファイアウォールが通信により LDAP ツリーにクエリを行うことができるようにします。 Device タブ (もしくは、Panorama 上の場合は Panorama タブ) > Server Profiles 配下の LDAP をクリック > Add をクリック。 ポートを 389 のままにしておく場合は必ず SSL のチェックを外します。LDAP サーバーが LDAP over SSL で動作するように設定されている場合は、チェックが入ったままにしサーバー ポートを 636 に変更します。 Domain – ファイアウォールがマルチ ドメイン環境に設置されていなければ、Domain フィールドはブランクのままにします。 Base – クエリが開始する LDAP ツリーのレベル。そのレベル以降のユーザーはすべて PAN によってアクセス可能となります。 Bind DN – LDAP ツリーにクエリを行う権限をもつユーザーへのパスです。 上記で新規に作成した LDAP Server Profile を使用して Authentication Profile を作成します。 Device タブ (もしくは、Panorama 上の場合は Panorama タブ) > Authentication Profile をクリック > Add をクリック。 Authentication は LDAP になります。前の手順で作成したサーバー プロファイルを選択し、Login Attribute は "sAMAccountName" とします。これには大文字・小文字の区別があります。 この例では、Allow List はすべてのユーザーを許可します。このリストは必要に応じて制限することができます。 Palo Alto Networks デバイス上で Administrator アカウントを作成します。 Device タブ (もしくは、Panorama 上の場合は Panorama タブ) > Administrators > Add をクリック。 Authentication Profile のドロップ ダウンから、前の手順で作成した LDAP Authentication Profile を選択します。 Administrator の名前が LDAP サーバーに存在するユーザー名と一致するようにします。 コミットします。 現在の Web UI セッションからログアウトし、作成した LDAP ツリーに存在する Administrator アカウントを使用してログインを試みます。   著者: jseals ... View more

※この記事は以下の記事の日本語訳です。 Packet Capture, Debug Flow-basic and Counter Commands https://live.paloaltonetworks.com/t5/Management-Articles/Packet-Capture-Debug-Flow-basic-and-Counter-Commands/ta-p/66224   始める前に:   下記コマンドを使用して設定されているフィルタを確認します。必要であれば、後で復旧できるように、フィルタをメモしておきます。 > debug dataplane packet-diag show setting すべての Packet Capture 設定をクリアします: > debug dataplane packet-diag clear all debug ログをクリアします: debug dataplane packet-diag clear log log • 以前にマークされたすべてのセッションをクリアします: > debug dataplane packet-diag clear filter-marked-session all • オフロードされるセッションのすべてのパケットをキャプチャするために、オフロードを一時的に無効にする必要がある場合もあります。 重要! オフロードを無効にする前に次のドキュメントを見直してください: Disabling Session Offload to Record Traffic During   Packet Capture 従来の PCAP: キャプチャするトラフィックの種類を制御するためにフィルタを設定します: > debug dataplane packet-diag set filter match <条件> > debug dataplane packet-diag set filter on • Packet Capture を有効にします: > debug dataplane packet-diag set capture stage receive file rx.pcap > debug dataplane packet-diag set capture stage transmit file tx.pcap > debug dataplane packet-diag set capture stage drop file dp.pcap > debug dataplane packet-diag set capture stage firewall file fw.pcap > debug dataplane packet-diag set capture on Packet Capture を参照します: > view-pcap filter-pcap rx.pcap   • PCAP 形式で Packet Capture をエクスポートします (SCP または TFTP): > scp export filter-pcap from fw.pcap to username@host:path > tftp export filter-pcap from fw.pcap to <TFTP ホスト>   • PCAP ファイルを削除します: > delete debug-filter file <ファイル名> Application Dump PCAP: • 該当アプリケーションの Application Dump を有効にします: > set application dump on application bittorent <他の条件>   Packet Capture を参照します: > view-pcap application-pcap fw.pcap (もしくは、GUI の Monitor タブを使用)  PCAP 形式で Packet Capture をエクスポートします (SCP または TFTP): > scp export application-pcap from fw.pcap to username@host:path > tftp export application-pcap from fw.pcap to <TFTP ホスト> Debug PCAP (IKE、DHCP、RPD) Packet Capture のデバッグを有効にします: > debug ike pcap on debug dhcp pcap on (など...) Packet Capture を参照します: > view-pcap debug-pcap fw.pcap PCAP 形式で Packet Capture をエクスポートします (SCP または TFTP): > scp export debug-pcap from fw.pcap to username@host:path > tftp export debug-pcap from fw.pcap to <TFTP ホスト>   Debug Flow Basic 重要: この操作は CPU 使用率を上げるので、常にフィルタを使用してください。 • フィルタを設定し、ログされるトラフィックの種類を制御します: > debug dataplane packet-diag set filter match <条件> > debug dataplane packet-diag set filter on debug ロギングを有効にします: > debug dataplane packet-diag set log feature flow basic > debug dataplane packet-diag set log on トラフィックをキャプチャし、その後直ちにロギングを無効にします: > debug dataplane packet-diag set log off debug  ログ を参照します: > debug dataplane packet-diag aggregate-logs (PAN-OS 5.0 以降のみ、ログ無効後 10-15 秒待ちます) > less dp-log pan_packet_diag.log   注: PA-5000 シリーズについては、dp-log の代わりに dp0-log、dp1-log または dp2-log を使用。PA-200 については、mp-log を使用。   Drop カウンタの表示: • フィルタを設定し、カウントされるトラフィックの種類を制御します: > debug dataplane packet-diag set filter on > debug dataplane packet-diag set filter match <条件> Drop カウンタを表示します (絶対値もしくは最後のコマンド実行からの相対値): > show counter global filter packet-filter yes | match drop > show counter global filter severity drop packet-filter yes delta yes 著者: vcappuccio ... View more

※この記事は以下の記事の日本語訳です。 How to Configure VPN Tunnel Between a Palo Alto Networks Firewall and Azure https://live.paloaltonetworks.com/t5/Configuration-Articles/How-to-Configure-VPN-Tunnel-Between-a-Palo-Alto-Networks/ta-p/59065   概要 このドキュメントでは、Palo Alto Networks ファイアウォールと Azure のサイト間の VPN トンネルの設定方法について説明します。現時点では、Palo Alto Networks は IKE バージョン 1 のみをサポートしています。静的 IP アドレスを使用するとAzure は IKE バージョン 1 のみをサポートします。またAzure トンネルが動的 IP アドレスで設定されている場合、Azure は IKE バージョン 2 のみをサポートします。 このためAzure トンネルは静的 IP アドレスで設定しなければなりません。     手順 Azure 側の設定情報に関しては、Azure のドキュメントを参照してください。下記例は Azure のアドレス空間の設定を示しています。 Palo Alto Networks ファイアウォール VPN エンドポイント のローカル ネットワークとそのゲートウェイ アドレスを定義する設定例: 次に、トンネル インターフェイスを設定します。 Azure ゲートウェイ サブネットと同じサブネット上の IP を割り当てます。 仮想ルータと適切なセキュリティ ゾーンを選択します。既存のゾーン (他のサーバーを含む) を選択すると、新規ポリシーを作成する必要がなくなると考えられます。 デフォルトの IKE 暗号化プロファイルの設定は、Azure の IKE 暗号化プロファイルの設定と同じである必要があります。 新規に Azure 用の IPSec 暗号化プロファイルを、ライフタイム値が同じになるように作成します。例えば、Azure のライフタイムが 3600 秒で、その値がネットワークの他のトンネルとは異なる場合、Azure 用に新規の作成が必要となります。Perfect Forward Secrecy (PFS) 無しの場合、DH グループには "no-pfs" を選択するのが正しいです。 注: ライフタイムのサイズは 98 GB になります。 トンネルがこれ 1 つのみの場合、または、他のトンネルが同一の設定を使用する場合は、デフォルトの設定を修正することができます。 IKE ゲートウェイの作成で、Palo Alto Networks ファイアウォールの外部インターフェイスを選択し、「Local IP Address」にそのインターフェイスの IP を選択します。この IP アドレスは、トンネル接続する Azure の「ローカル アドレス」にて設定された「VPN ゲートウェイ アドレス」と一致します。「Peer IP Address」は、同一の Azure 仮想ネットワークの Azure 仮想ネットワーク ダッシュボードから取得できます。「Local Identification」の IP アドレスは、同じ画面上の「Local IP Address」と一致している必要があります。「Pre-shared Key」は Azure 仮想ネットワークの Azure 仮想ネットワーク ダッシュボード上の「キーの管理」をクリックすることで取得できます。あとはコピー & ペーストするだけです。 次に、先ほど作成したトンネル インターフェイス、IKE ゲートウェイ、IPSec 暗号化プロファイルで、新規に IPSec トンネルを設定します。 「Proxy IDs」タブに移動し、適切なローカル サブネットおよびリモート サブネットで最低 1 つの ID を作成します。「Local」は、Palo Alto Networks ファイアウォール IPSec トンネル エンドポイントの適切なゲートウェイ アドレスが設定された Azure の「ローカル ネットワーク」の定義に一致している必要があります。「Remote」は Azure のアドレス空間の設定に一致している必要があります。 最後に、トンネル インターフェイスを経由して Azure 仮想ネットワークへトラフィックを転送するためのルートを作成します。 この時点で Azure 仮想ネットワークに ping するとトンネルがアップするはずですが、もしアップしない場合は System ログを確認しトラブルシューティングを行います (例えば、ping 応答は無いが、他の通信はできている、など)。   注: このドキュメントは次のディスカッションから作成されました: How to configure PAN to Azure VPN tunnel 著者：panagent ... View more

※この記事は以下の記事の日本語訳です。 How to Uninstall GlobalProtect Client Mac OS X https://live.paloaltonetworks.com/t5/Configuration-Articles/How-to-Uninstall-GlobalProtect-Client-Mac-OS-X/ta-p/58933   概要 このドキュメントでは MAC 用 GlobalProtect のアンインストールに使用する 2 つの方法を説明します。   詳細 ターミナルを使ったアンインストール $ sudo /Applications/GlobalProtect.app/Contents/Resources/uninstall_gp.sh   pkg ファイルによるアンインストール インストールに使用した最初の .pkg ファイルを実行します。このファイルは GlobalProtect Portal ページからダウンロードできます。 Introduction ページで Continue を選択します。 Destination Select ページで "Install for all users of this computer" にチェックし、Continue をクリックします。   "GlobalProtect" のチェックを外して、"Uninstall GlobalProtect" にチェックし、Continue をクリックします。 "Install" をクリックします。   著者: sspringer ... View more

※この記事は以下の記事の日本語訳です。 How to Configure the Management Interface IP https://live.paloaltonetworks.com/t5/Configuration-Articles/How-to-Configure-the-Management-Interface-IP/ta-p/60493   概要 このドキュメントでは Palo Alto Networks デバイスの管理インターフェイスの IP アドレスを設定する方法を説明します。   手順 CLI (コマンド ライン インターフェイス):   >>> Palo Alto Networks デバイスにコンソール接続します。   コンフィグレーション モードに入ります。 > configure 次のコマンドを使用して管理インターフェイスの IP アドレスを設定します。 # set deviceconfig system ip-address <ip address> netmask <netmask> default-gateway <default gateway> dns-setting servers primary <DNS ip address> 変更をコミットします。 # commit   WebGUI (グラフィカル ユーザー インターフェイス): Device > Setup > Management へ移動します。 右上角の Edit アイコンをクリックし、管理インターフェイスの IP アドレスを設定します。 Device > Setup > Services へ移動します。 Edit アイコンをクリックし、DNS サーバーを追加します。 OK をクリックして変更をコミットします。   著者: jebel ... View more

※この記事は以下の記事の日本語訳です。 How to Configure and Test FQDN Objects https://live.paloaltonetworks.com/t5/Configuration-Articles/How-to-Configure-and-Test-FQDN-Objects/ta-p/61903     考察 FQDN オブジェクトはアドレス オブジェクトです。すなわち、セキュリティ ポリシーで送信元アドレスや宛先アドレスを参照するのと同様の使い方ができます。 そのため、Palo Alto Networks ファイアウォールは、30 分ごとに FQDN リフレッシュを行います。FQDN リフレッシュでは、設定されている DNS サーバー (Setup > Services) へ NS ルックアップを行います。 Palo Alto Networks ファイアウォールでは 1 つの FQDN オブジェクトに IP アドレス 10 個までマッピングできます。 この DNS サーバーが、ホストが使用しているのと同じ DNS サーバーであることを確認してください。DNS マルウェアはこのようなソリューションに悪影響を及ぼす場合があります。 この方法はIP アドレスを使用することができない場合のみ使用してください。つまり、このタイプのオブジェクトを URL フィルタリング ポリシーの一部として使用しないでください。 この方法はまた、Web Browsing と関連のない他のサービス (FTP、SSH、またはその他のサービス) を制御するのにも役立ちます。 オブジェクトが IPv6 アドレスに解決される場合は、IPv6 Firewalling (Setup > Session) を有効にします。   オブジェクトの設定 FQDN オブジェクトの設定を始めるために、Objects > Addresses へ移動します。 Add をクリックして新しいアドレス オブジェクトを作成します。 タイプを‘IP/Netmask’から‘FQDN’へ変更します。 アドレスを入力します (http:// またはその他のヘッダーは含めないでください)。 OK をクリックします。 変更をコミットします。   FQDN オブジェクトは CLI のコンフィグレーション モードで以下のコマンドを使用して設定できます。 # set address Google fqdn www.google.com   変更の確認 自動 FQDN リフレッシュ タスクはバックグラウンドで実行されます。このジョブのステータスは GUI の右下角の Tasks ボタンをクリックして確認できます。 CLI コマンド 'request system fqdn show' は、FQDN オブジェクトとその名前に紐づく IP アドレスの一覧を参照するために使用できます。 リフレッシュの強制実行は 'request system fqdn refresh' コマンドを実行することにより可能です。 推奨される追加の確認としては、デスクトップからホストへ ping し、その IP アドレスが 'request system fqdn refresh' コマンド実行後一覧に表示された IP アドレスに一致することを確認することが挙げられます。   著者: kgotlob ... View more

※この記事は以下の記事の日本語訳です。 How to Configure ISP Redundancy and Load Balancing https://live.paloaltonetworks.com/t5/Configuration-Articles/How-to-Configure-ISP-Redundancy-and-Load-Balancing/ta-p/58361   定義 ISP ロード バランシングは 1 つ以上のインターネット プロバイダがファイアウォールに接続している場合に使用されます。ポリシー ベース フォワーディング (PBF) は送信元サブネットに基づいてトラフィックを転送するために使用されます。 ISP 冗長化は、1 つのサービス プロバイダがダウンし、すべてのトラフィックがその他のサービス プロバイダにルーティングされる必要がある場合に使用されます。   通常、ファイアウォールはパケット中の宛先 IP アドレスを使用して出力インターフェイスを決定します。ファイアウォールは、そのインターフェイスが接続している仮想ルータに関連するルーティング テーブルを使用してルートのルックアップを行います。ポリシー ベース フォワーディング (PBF) を使用することにより、ユーザーは、ルーティング テーブルをオーバーライドして、送信元／宛先 IP アドレスやトラフィックのタイプのような特定のパラメータに基づいて出力インターフェイスを指定することができます。   次のトポロジーは以下を含んでいます: 2 つの内部サブネット サブネット1: 192.168.1.0/24 サブネット2: 172.16.1.0/24 2 つの ISP ゲートウェイ ISP1: 10.30.6.254 ISP2: 10.30.1.254   覚えておくべき 2 つの重要事項: PBF ルールは 1 つ目のパケット (SYN) または 1 つ目のパケットに対する最初のレスポンス (SYN/ACK) のいずれかに適用されます。アプリケーション固有のルールを PBF と併用することは推奨されません。 アドレス変換 (NAT) ルールは、セキュリティ ルールがコネクションにマッチしなかった場合は適用されません。そのため、アドレス変換が正常に行われるためにはセキュリティ ルールが適切に設定されている必要があります。   冗長化の設定 プライマリ ISP の設定: デフォルト ゲートウェイにトラフィックを転送する PBF ルールを作成する。 トンネル モニター プロファイルを追加して、アクションを「失敗した場合は無効」となるよう設定します。 モニター プロファイル:   この設定は、192.168.1.0/24 サブネットから送信されたすべてのトラフィックを強制的に Ethernet 1/3 から送出します。 モニター プロファイルは、IP アドレスをモニターするために設定します。このテスト コンフィグでは、モニター ファイル "multiple isp" はパブリック DNS 8.8.8.8 をモニターするために使用します。   モニターがこの IP アドレスに到達できなくなると、定義したアクション (fail-over) が発生します。PBF ルールは無効化され、下記にあるように、ファイアウォールは仮想ルータに作成されているスタティック ルートにフォールバックします。Path Monitoring が IP アドレスへの接続性を確認することで、ファイアウォールはトラフィックを代替ルートへ転送することが可能になります。ファイアウォールは、指定の IP アドレスが到達可能であることを確認するためにハートビートとして ICMP ping を使用します。   モニター プロファイルにて、IP アドレスが到達可能かどうかを判断するためのハートビート数のしきい値を指定できます。モニター対象の IP アドレスが到達不能な場合、ユーザーは PBF ルールを無効にするか、fail-over アクションか、wait-recover アクションを指定することができます。PBF ルールを無効にすると、仮想ルータがルーティングの決定を引き継ぐことができます。   セカンダリー ISP の設定 通常のメトリックでスタティック ルートを作成する   ロード シェアリングの設定   例 1: バックアップなしのロード バランシング この場合、PBF は、異なるサブネットからのトラフィックが各 ISP を経由して送信されるようにするために使用されます。このシナリオでは、サブネット 192.168.1.0/24 からのトラフィックはすべて Ethernet 1/3 から転送され、サブネット 172.16.1.0/24 からのトラフィックはすべて Ethernet 1/4 から転送されます。   ルール: Rule 1: サブネット 192.168.1.0/24 が 0.0.0.0/0 へ行く場合、ネクスト ホップは ISP 1 Rule 2: サブネット 172.16.1.0/24 が 0.0.0.0/0 へ行く場合、ネクスト ホップは ISP 2   例 2: ロード バランシングと冗長化 この場合、PBF は、送信元に基づいて特定のインターフェイスからトラフィックを転送するために使用されます。 ISP がダウンした場合のバックアップを設定します。   ルール: Rule 1: サブネット 192.168.0.0/24 が 0.0.0.0/0 へ行く場合、ネクスト ホップは ISP 1 Rule 2: サブネット 172.16.0.0/24 が 0.0.0.0/0 へ行く場合、ネクスト ホップは ISP 2 Backup for Rule 1: サブネット 192.168.0.0/24 が 0.0.0.0/0 へ行く場合、ネクスト ホップは ISP 2 Backup for Rule 2: サブネット 172.16.0.0/24 が 0.0.0.0/0 へ行く場合、ネクスト ホップは ISP 1 Rule 1 と Rule 2 は、例 1 と同じアクションを実行します。 バックアップ ルールにより、どちらかの ISP の接続が失敗した場合にトラフィックが接続性のある ISP を経由することが可能になります。   VPN を設定する場合 (IPSec または GlobalProtect)、VPN の設定方法に関する情報については下記ドキュメントを参照してください: GlobalProtect Client Issues with Multiple ISPs How to Configure Dual VPNs with Dual ISPs from a Single Firewall to a Remote Site Administrator Guide: PBF Section PBF Step by Step configuration Use Case for PBF   著者: dpalani ... View more

  ※この記事は以下の記事の日本語訳です。 Not-Applicable, Incomplete, Insufficient Data in the Application Field https://live.paloaltonetworks.com/t5/Management-Articles/Not-Applicable-Incomplete-Insufficient-Data-in-the-Application/ta-p/65711   概要 このドキュメントは、Applicationフィールドに見られる様々な項目について記述することを目的としています。   Incomplete Imcomplete は 3 ウェイ TCP ハンドシェイクが完了しなかった、もしくは 3 ウェイ TCP ハンドシェイクは完了したがその後アプリケーションを特定するデータの送受信が無かったことを意味します。つまり、確認されたトラフィックが実際にアプリケーションではなかったことを意味します。 例えば、クライアントがサーバーに SYN を送信し、Palo Alto Networks デバイスがその SYNに対してセッションを生成したが、サーバーが一度もクライアントに SYN ACKを返信しない場合、そのセッションは incomplete となります。   Insufficient data Insufficient data はアプリケーションを特定するための十分なデータが無いことを意味します。例えば、3 ウェイ TCPハンドシェイクが完了した後、1個のデータパケットの送受信があったが、その1個のデータパケットのみでは判定に不十分で、Palo Alto Networksのシグニチャのいづれにもマッチしなかった場合、Trafficログの Applicationフィールドに Insufficient dataが確認できます。   Unknown-tcp Unknown-tcpは ファイアウォール が 3 ウェイ TCPハンドシェイクを確認したがアプリケーションを特定できなかったことを意味します。これは ファイアウォール が該当するシグニチャを持たないカスタム アプリケーションを使用していることによると考えられます。   Unknown-udp Unknown-udpは未知のUDPトラフィックにより生成されます。   Unknown-p2p Unknown-p2p は一般的な P2P ヒューリスティックに該当します。   Not-applicable Not-applicable は、トラフィックが着信したポート／サービスが許可されていないために破棄されるデータを、Palo Alto デバイスが受信したこと、もしくは、そのポートまたはサービスを許可するルールやポリシーが無いことを意味します。 例えば、Palo Alto デバイスにルールが1つだけ設定されていて、そのルールが ポート ／ サービス 80番のみ使用する Web-browsingのアプリケーションのみを許可しており、かつ、トラフィック (Web-browsing またはそれ以外のいかなるアプリケーション) が 80番以外のポート ／ サービスを使用して Palo Altoデバイスに送信された場合、そのトラフィックは破棄またはドロップされ、Applicationフィールドに "not-applicable" が記録されたセッションが確認できます。   ... View more

※この記事は以下の記事の日本語訳です。 How to Configure Captive Portal https://live.paloaltonetworks.com/t5/Configuration-Articles/How-to-Configure-Captive-Portal/ta-p/60455   概要 添付のドキュメントには、キャプティブ ポータルを設定するためのステップバイステップの説明が記載されています。以下の4つのシナリオをカバーしています: Webフォーム ログイン ページ - 透過モード Webフォーム ログイン ページ - リダイレクト モード クライアント証明書 NTLM認証 手順 PAN-OS 5.0以降より、以前 "captive-portal" という名称であったアクションは、"web-form" に変更されています。これは名称のみの変更です。web-form ページは未知のユーザに認証情報の入力を求めます。 以前 "ntlm-auth" という名称であったアクションは、現在 "browser-challenge" に変更されています。これは名称のみの変更です。"browser-challenge" は、ブラウザ (IE、Firefox等) の NTLMサポートにより背後でユーザーを認証します。 注: "no-captive-portal" アクションは変更されていません。https で始まるトラフィックの場合、トラフィックが暗号化されているため、キャプティブ ポータルは表示されません。HTTPSトラフィックの場合もキャプティブ ポータルが起動するようにするためには、Decryptionを有効にします。 さらに詳細につきましては、How to Implement and Test SSL Decryption のリンクをご参照ください。   ... View more

※この記事は以下の記事の日本語訳です。 How to Troubleshoot VPN Connectivity Issues https://live.paloaltonetworks.com/t5/Management-Articles/How-to-Troubleshoot-VPN-Connectivity-Issues/ta-p/59187   詳細 フェーズ1 ISPに関連する問題を除外するため、PAの外側のインターフェイスからピアのIPへpingし、ピアの外側のインターフェイス上でpingが有効になっていることを確認します。 セキュリティ要件によりpingがブロックされている場合は、もう一方のピアがMain/Aggresive モードのメッセージまたは DPD に応答しているかどうか確認します。それから、Monitorタブ配下のSystemログまたはikemgrログにてピアから "Are you there?" メッセージの応答があるかどうかを確認します。 IKE識別が正しく設定されていることを確認します。 IKEおよびIPSECアプリケーションを許可するポリシーが適切に配置されていることを確認します。通常、このポリシーは、PAに Clean-upルールが設定されていなければ不要です。もしClean-up ルールが設定されている場合は、このポリシーは通常、外側のzone から外側の zoneに対して設定されます。 プロポーザルが正しいことを確認します。もし正しくない場合、ミスマッチに関するログがSystemログで確認できます。もしくは、以下の CLIコマンドを使用して確認することができます。 >  less mp-log ikemgr.log 事前共有キーが正しいことを確認します。正しくない場合、ミスマッチに関するログがSystemログで確認できます。もしくは、以下の CLIコマンドを使用して確認することができます。 >  less mp-log ikemgr.log トラフィックを分析するためにパケットキャプチャを実施します。フィルタを使用してキャプチャされたトラフィックの範囲を絞ります。 役に立つCLIコマンド: > show vpn ike-sa gateway <name> > test vpn ike-sa gateway <name> > debug ike stat 高度なCLIコマンド: 詳細なログを確認するためには、ログ レベルを "debug" にします。 > debug ike global on debug > less mp-log ikemgr.log Main/AggresiveおよびQuick モードのネゴシエーションを参照するために、パケットキャプチャを有効にしてこれらのネゴシエーションをキャプチャすることが可能です。Main モードのメッセージ 5、6以降、およびQuick モードの全てのパケットはデータのペイロードが暗号化されています。 > debug ike pcap on > view-pcap no-dns-lookup yes no-port-lookup yes debug-pcap ikemgr.pcap debugを停止します。 > debug ike pcap off  パケット フィルタを設定してキャプチャすると、キャプチャ結果を調査対象のパケットのみに限定することができます。debug ike pcap on を実行すると、すべてのVPNトラフィックのキャプチャが参照できます。   NAT-Tが有効かどうかを確認するためには、Mainモードの第5、6メッセージから、パケットの送受信ポートが500から4500に変更されているかどうかを確認します。 ピアのベンダーIDが Palo Alto Networks デバイスでサポートされているかどうか、逆に、Palo Alto Networks デバイスのベンダーIDがピアのデバイスでサポートされているかどうかを確認します。   フェーズ2 ファイアウォールがトンネルをネゴシエートしていることを確認し、2つの一方向のSPIが存在することを確認します。 > show vpn ipsec-sa > show vpn ipsec-sa tunnel <tunnel.name> プロポーザルが正しいことを確認します。正しくない場合、ミスマッチに関するログが、Monitorタブ配下のSystemログで確認できます。もしくは以下のコマンドを使用して確認できます。 >  less mp-log ikemgr.log PFSが両方のエンドで有効になっていることを確認します。正しくない場合、ミスマッチに関するログが、Monitorタブ配下のSystemログで確認できます。もしくは以下のコマンドを使用して確認できます。 >  less mp-log ikemgr.log Proxy-IDの設定を確認します。この設定は通常トンネルが2つの Palo Alto Networks のファイアウォール間のトンネルの場合は必要ありませんが、ピアが別のベンダーの場合はIDの設定が必要です。正しくない場合、ミスマッチがSystemログで確認できます。もしくは以下のコマンドを使用して確認できます。 > less mp-log ikemgr.log 役に立つCLIコマンド: > show vpn flow name <tunnel.id/tunnel.name> > show vpn flow name <tunnel.id/tunnel.name> | match bytes カプセル化と非カプセル化のバイト数が増加しているかどうかを確認します。トラフィックがファイアウォールを通過していれば、カプセル化と非カプセル化の両方の値が増加しているはずです。 > show vpn flow name <tunnel.id/tunnel.name> | match bytes もしカプセル化のバイト数が増加していて非カプセル化のバイト数が一定の場合は、ファイアウォールはパケットを送信していますが受信していません。 ポリシーがトラフィックをドロップしていないか、もしくは、PANの手前のポート変換デバイスがESPパケットをドロップしていないかを確認します。 > show vpn flow name <tunnel.id/tunnel.name> | match bytes   もし非カプセル化のバイト数が増加していてカプセル化のバイト数が一定の場合、ファイアウォールはパケットを受信していますが送信していません。 ポリシーがトラフィックをドロップしているか確認します。 > test routing fib-lookup virtual-router default ip <destination IP> -------------------------------------------------- runtime route lookup -------------------------------------------------- virtual-router:  default destination:      10.5.1.1 result:          interface tunnel.1 >  show routing route > test vpn ipsec-sa tunnel <name> Advanced CLI commands: > debug ike global on debug > less mp-log ikemgr.log > debug ike pcap on > view-pcap no-dns-lookup yes no-port-lookup yes debug-pcap ikemgr.pcap > debug ike pcap off トンネルはアップしているがトラフィックがトンネルを通過していない場合、 セキュリティ ポリシーとルーティングを確認します。 ポートアドレス変換を行っているアップストリームのデバイスがあるか確認します。ESPは レイヤ3プロトコルなので、ESPパケットにはポート番号がありません。このようなデバイスが ESPパケットを受信すると、変換するポート番号が確認できないため、パケットをサイレントにドロップする可能性が高いです。 必要に応じて debug packet filters、debug packet captures、debug packet logs を適用し、トラフィックがどこでドロップされているかを切り分けます。 ... View more

※この記事は以下の記事の日本語訳です。 How to Authorize or Register a VM https://live.paloaltonetworks.com/t5/Integration-Articles/How-to-Authorize-or-Register-a-VM/ta-p/52239   VMを登録するためには、 カスタマー サポート ポータル ( https://support.paloaltonetworks.com ) にログインします。 Assets に移動し、Current Account がそのアセットを所有するアカウントであることを確認します。 もしアカウントが異なる場合は、Change Account のリンクをクリックし、正しいアカウントを選択します。 VM-Series Auth-Code を取得します。 How to Register a Palo Alto Networks Device, Spare or VM-Series Auth Code を参照してください。 Download アイコンをクリックし、ソフトウェアをダウンロードします。 VMware プラットフォームにソフトウェアをインストールします。CPUID と UUID をメモします。これは後程必要となります。VMシリーズ ソフトウェアのインストールおよび設定に関するさらに詳細な情報については、VM-Series Deployment Guide 6.1 (English) を参照してください。 カスタマー サポート ポータル > Assets > VM-Series Auth-Codes に戻ります。 VM-Series Auth-Code 表から取得したVM-Series Auth-Code を見つけ、同じ行の Register VM ボタンをクリックします。 Register Virtual Machine ウィンドウで CPUID と UUID を入力します。もしくは、CPUID と UUID が記載されたデバイス ファイルをアップロードします。 VM のシリアル番号が生成され、Devices 表に表示されます。 ... View more