About anishinoya

※この記事は以下の記事の日本語訳です。 How to Create Management Users, Assign Roles, and Change Password from the PAN-OS CLI https://live.paloaltonetworks.com/t5/Configuration-Articles/How-to-Create-Management-Users-Assign-Roles-and-Change-Password/ta-p/54740   概要 この記事では管理ユーザーを追加/作成し、作成した管理ユーザーにロールを割り当て、 パスワードを設定する方法を記載しています。   手順 管理ユーザーの新規作成/追加 CLI へログイン Configure mode へ移行 >   configure 管理ユーザーを作成/追加およびパスワードを設定 # set mgt-config users <name> password 注:  <name> に指定したユーザー名が既存の管理ユーザーに存在しない場合にユーザーが作成されます。 管理ユーザーにロールを設定 # set mgt-config users <name> permissions role-based <role profile> custom deviceadmin devicereader superreader superuser Commit  を実行 # commit   既存の管理ユーザーのパスワードを変更 Configure mode へ移行 >   configure 新しいパスワードを設定（既存のパスワードが上書されます） # set mgt-config users admin password Commit を実行 # commit   WebGUI WebGUIでの手順、および個々の管理者ロールプロファイルを作成する手順については 各バージョンの管理者ガイドを参照してください。管理者ガイドへのリストを下記に記載します。   PAN-OS 7.0 Administrator's Guide   PAN-OS 7.1 Administrator's Guide   PAN-OS 8.0 Administrator's Guide   owner: sraghunandan ... View more

※この記事は以下の記事の日本語訳です。 IPSec and tunneling - resource list https://live.paloaltonetworks.com/t5/Management-Articles/IPSec-and-tunneling-resource-list/ta-p/67721   以下のリストにIPSecおよびTunnel設定の理解に役立つ情報を記載しています： 記事名 備考 リソースタイプ 基本 How to configure IPSec VPN IPSec VPN設定 ドキュメント Configuring the Palo Alto Networks device as an IPSec IPSec Passthrough設定 ドキュメント IPSec crypto options IPSec暗号オプション ドキュメント Why is GlobalProtect slower on SSL VPN compared to IPSec VPN? GlobalProtectのSSLオプションがIPSecVPNオプションよりも遅い理由 ドキュメント How to improve performance for IPSec traffic IPSec通信のパフォーマンスを向上させる方法 ドキュメント NAT traversal in an IPSec gateway IPSecゲートウェイでのNAT traversal設定 ドキュメント Config guidelines when terminating IPSec VPN tunnels on the firewall ファイウォールでIPSec VPNを終端する場合のガイドライン ドキュメント Sample IPSec tunnel configuration - Palo Alto Networks firewall to Cisco ASA IPSec tunnel設定例 (Palo Altot NetowrksファイアウォールとCiso ASA) ドキュメント The IPSEC tunnel comes up but hosts behind peer are not reachable  IPSec tunnelトラブルシューティング ドキュメント IPSec VPN with peer ID set to FQDN IPSec VPNのpeer IDをFQDNで設定する場合の注意点  ドキュメント What encryption is used when enabling IPSec for GlobalProtect? GlobalProtectでIPSecを有効にした場合の暗号について ドキュメント How to create an IPSec tunnel that is a responder (not initiator) IPSec tunnel (レスポンダー)設定方法 ドキュメント 中級                   IPSec tunnel details IPSec tunnelトラブルシューティング ドキュメント Differences between IPSec and LSVPN tunnel monitoring LVPNとIPSec VPN のトンネルモニタリングの相違点 ドキュメント IPSec traffic being discarded IPSsec通信のトラブルシューティング ドキュメント How to verify if IPSec tunnel monitoring is working トンネルモニタリング動作状況の確認方法 ドキュメント IPSec VPN error: IKE phase-2 negotiation failed as initiator, quick mode IPSec VPNエラーのトラブルシューティング ドキュメント IPSec interoperability between Palo Alto Network firewalls and Cisco ASA Palo Alto Networks firewallsとCisco ASA firewallシリーズのIPSec相互接続について ドキュメント How to configure dynamic routing over IPSec against Cisco routers IPSec経由でCiscoルートとのダイナミックルーティングを設定する方法 ドキュメント Configuring route based IPSec with overlapping networks ルートベースIPSecの設定 ドキュメント IPSec with overlapping subnet 重複サブネットにおけるIPSec設定 ドキュメント GlobalProtect configuration for the IPSec client on Apple iOS devices Apple iOSのIPSecクライアント向けのGlobalProtect 設定 ドキュメント Site-to-site VPN between Palo Alto Networks firewall and Cisco router is unstable or intermittent Palo Alto Networks firewallとCiscoルータ間でのSite-to-site VPNが不安定になる事象について ドキュメント Configuring captive portal for users over site-to-site IPSec VPN Site-to-site IPSec VPN経由のCaptive Portal設定 ドキュメント IPSec VPN IKE phase 1 is down but tunnel is active IPSec VPNトンネルがアクティブの状態でIKE Phase 1がダウンしている事象について ドキュメント Tips for configuring a Juniper SRX IPSec VPN tunnel to a Palo Alto Networks firewall Juniper SRX IPSecとPalo Alto Networks firewall間のIPSec VPNトンネル設定における Tips ドキュメント Dynamic IPSec site-to-site between Cisco ASA and Palo Alto Networks firewall Cisco ASAとPalo Alto Networkファイウォール間におけるダイナミック site-to-site IPSecについて ドキュメント IPSec site-to-site between Palo Alto Networks firewall and Cisco with NAT device Cisco機器とPalo Alto Networkファイアウォール間にNAT機器がある場合のIPSec site-to-site接続について  ドキュメント How does the firewall handle diffserv headers in an IPSec tunnel? IPSecトンネルにおけるDiffservヘッダーの扱いについて ドキュメント IP phone switch not working through IPSec tunnel IPSecトンネル経由でIPフォンスイッチが動作しない ドキュメント 上級           IPSec tunnel is up and packet is getting dropped with wrong SPI counter increase "wrong SPI" カウンタが増加しパケットがドロップされる事象について ドキュメント Configuring route-based IPSec using OSPF OSPFを利用したRoute-based IPSec設定 ドキュメント IPSec error: IKE phase-1 negotiation is failed as initiator, main mode due to negotiation timeout IPSecラブルシューティング ドキュメント Site-to-site IPSec excessive rekeying on only one tunnel on system logs Site-to-Site IPSecで1つのトンネルのみ大量の rekeyが発生する ドキュメント CLI commands to status, clear, restore and monitor an IPSec VPN tunnel IPSec CLIコマンド ドキュメント What do the port numbers in an IPSec-ESP session represent? IPSec-ESPセッションのポート番号について ドキュメント Configuring IPSec VPN between PAN-OS and CheckPoint Edge / Safe@Office PAN-OSとCheck Point Edge / Safe@Office間のIPSec VPN設定 ドキュメント Configuring site-to-site IPSec VPN in layer 2 Layer 2 インターフェースでの site-to-site IPSec VPN 設定 ドキュメント Site-to-site IPSec VPN between Palo Alto Networks firewall and Cisco router using VTI not passing traffic Palo Alto NetworksファイアウォールとVTIを利用したCiscoルータ間のIPSecトラブルシューティング ドキュメント Configuring IKEv2 VPN for Microsoft Azure Environment Microsoft AzureとのIKEv2 VPN設定 ドキュメント   ... View more

※この記事は以下の記事の日本語訳です。 What Happens When Licenses Expire on the Palo Alto Networks Firewall? https://live.paloaltonetworks.com/t5/Management-Articles/What-Happens-When-Licenses-Expire-on-the-Palo-Alto-Networks/ta-p/53918   質問: Palo Alto Networks ファイウォールでライセンスの有効期限が切れた場合に何が起こりますか？   回答: ファイアウォールでライセンスの有効期限が切れた場合、下記の事象が発生します。 Support   - オンラインでのソフトウェア アップデートが不可となります。 Threat Prevention   - ThreatおよびAntivirus アップデートが実行されなくなり、スキャンには現状のデータベースが利用されます。 GlobalProtect サブスクリプション   - iOSおよびAndroid デバイスからのVPN接続が不可になります。 WildFire   - FreeバージョンのWildFire機能で動作します。つまり： WildFireではPortable ExecutableもしくはPEファイルのアップロードのみサポートします。 PEファイルタイプとは、拡張子が .exe、 .dll、.scrのファイルや、PEのヘッダー マジック ナンバーと一致したその他の拡張子のファイルを含むコンテナを意味します。 WildFire シグネチャに関しては、WildFire ライセンス有効時のようにWildFire signature feed (5分間隔)でのアップデートは行われませんが、有効なThreat Preventionのライセンスによりアップデートは行われます。 URL Filtering BrightCloud - BrightCloud データベースのアップデートは行われなくなります 。 URL Filtering ライセンスが切れた際の全体の通信に対するURL Filteringのアクションを指定できます。 WebGUI のObjects > セキュリティ プロファイル > URL フィルタリングへ進み、任意のプロファイル名をクリックし下記のウィンドウを表示します。URL Filtering ライセンスが切れた際のアクションとして、通信を許可("allow") もしくはブロック（"block") の2つのオプションから選択できます。 Action On License Expiration で設定されたアクションは、当該URL Filtering プロファイルが適用されたルールにマッチする全てのウェブ通信に適用されます。アクションが"block"に指定されている場合、このルールにマッチする全てのウェブ通信は許可されません。アクションが "allow"に指定されている場合、通信は許可されます。 URL Filtering profile showing Action On License Expiration (BrightCloud) PAN-DB - PAN-DB クラウドではURLのルックアップとアップデートがブロックされます。 URL のカテゴライズには現状のデータベースが引き続き利用されます。現状のURL Filtering セキュリティ プロファイルで各カテゴリ毎に指定されているアクションがウェブ通信に適用されます。 URL エントリがキャッシュに存在する場合は、ルックアップの結果としてキャッシュ内のどのカテゴリでも返ります。 キャッシュ内のエントリが期限切れの場合もしくは存在しない場合は、ファイアウォールは最新の情報をクラウドへ問い合わせることができません。 カテゴライズされないURLへの通信は許可されます。 カスタム カテゴリ設定で指定されているURLは引き続きカスタム カテゴリに一致する動作になります。 PAN-DBの場合、URL Filtering セキュリティプロファイルに"Action On License Expiration   option "設定はありません。 新しいライセンスを取得した場合 ファイアウォールでDevice > ライセンス より新しいライセンスを取得した場合は、適用後すぐにライセンスに準じた通常の動作に戻ります。 注:  ファイアウォール上で 再度動作させるためのcommitや再起動は不要です。   著者: jjosephs ... View more

※この記事は以下の記事の日本語訳です。 How to View/Clear Sessions https://live.paloaltonetworks.com/t5/Management-Articles/How-to-View-Clear-Sessions/ta-p/52577   ファイアウォール上のアクティブセッションを表示： > show session all ------------------------------------------------------------------------------------------ ID/vsys application state type flag src[sport]/zone/proto (translated IP[port]) dst[dport]/zone (translated IP[port] ------------------------------------------------------------------------------------------ 129617/1 skype ACTIVE PRED 0.0.0.0[0]/corp-trust/6 (0.0.0.0[0]) 97.87.56.37[28775]/corp-untrust (97.87.56.37[28775]) 114143/1 yahoo-voice ACTIVE FLOW 10.16.3.232[49259]/corp-trust/6 (10.16.3.232[49259]) 68.142.233.183[443]/corp-untrust (68.142.233.183[443])   セッション ID を指定して特定のセッションを削除： > clear session ID 129617 session 129617 cleared   全てのセッションを削除： > clear session all    セッションを削除する際に利用可能なフィルターの一覧を表示： > clear session all filter [tab] + application Application name + destination destination IP address + destination-port Destination port + destination-user Destination user + from From zone + nat If session is NAT + nat-rule Rule name + protocol IP protocol value + proxy session is decrypted + rule Rule name + source source IP address + source-port Source port + source-user Source user + state flow state + to To zone + type flow type <Enter> Finish input   特定のアプリケーションのセッションを削除： > clear session all filter application skype Sessions cleared   特定の送信元もしくは宛先 IP アドレスのセッションを削除： > clear session all filter source 192.168.51.71 Sessions cleared > clear session all filter destination 8.8.8.8 Sessions cleared     注:  セッションを削除するすべてのコマンドは、単体のファイアウォールもしくは High Availability (HA) 構成のペアのファイアウォール上で同様に動作します。     参照:   How to Clear Sessions from the Session Monitor   著者: panagent ... View more

※この記事は以下の記事の日本語訳です。 Can Policies be Exported from the Firewall? https://live.paloaltonetworks.com/t5/Management-Articles/Can-Policies-be-Exported-from-the-Firewall/ta-p/60321   ポリシーを見やすくするために、Palo Alto Networksファイアウォールからエクスポートすることはできますか？   ポリシーのエクスポート機能はありませんが、CLIより"set" フォーマットでルールを表示することが可能です。   CLIより下記のコマンドを実行：  > set cli config-output-format set   Configureモードにて下記のコマンドを実行： # show rulebase security rules  # show rulebase   (他のポリシーを表示する場合は種類を指定)   著者:  odaos ... View more

※この記事は以下の記事の日本語訳です。 Advanced VPN IPSec troubleshooting 8.0 (enable debugging per VPN peer) https://live.paloaltonetworks.com/t5/Management-Articles/Advanced-VPN-IPSec-troubleshooting-8-0-enable-debugging-per-VPN/ta-p/169303   PAN-OS 8.0以降より、IPSec VPNのpeer を指定してdebug ログを有効にすることができます。   PAN-OS 8.0以前：  admin@PA-VM-7.1> debug ike > global   global > pcap     pcap > socket   socket > stat     show IKE daemon statistics    PAN-OS 8.0 以降：  admin@PA-VM-8.0> debug ike > gateway   debug IKE gateway > global    global > pcap      pcap > socket    socket > stat      show IKE daemon statistics > tunnel    debug IPSec tunnel     "gateway" もしくは "tunnel" のキーワードを使用して、指定したVPN ゲートウェイもしくはIPSec トンネルでのみdebug ログを有効にすることができます。   例:  admin@PA-VM-8.0> debug ike gateway IKE-GW-HQ > clear   clear IPSec tunnel statistics > off     Turn off IPSec tunnel debug logging > on      Turn on IPSec tunnel debug logging > stats   show IPSec tunnel statistics admin@PA-VM-8.0> debug ike gateway IPSEC-HQ > clear   clear IPSec tunnel statistics > off     Turn off IPSec tunnel debug logging > on      Turn on IPSec tunnel debug logging > stats   show IPSec tunnel statistics   注： 指定できるフィルタはIKE ゲートウェイ、IPSec トンネル併せて 5 つまでです。     VPN IPSEC トラブルシューティングの情報についてはこちらもご覧ください。（英文） https://live.paloaltonetworks.com/t5/Management-Articles/How-to-Troubleshoot-IPSec-VPN-connectivity-issues/ta-p/59187 ... View more