Paloalto下一代防火墙运维手册V
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
P a l o a l t o下一代防火
墙运维手册V
Hessen was revised in January 2021
Paloalto防火墙运维手册
目录
1.下一代防火墙产品简介
Paloalto下一代防火墙(NGFW) 是应用层安全平台。解决了网络复杂结构，具有强大的应用识别、威胁防范、用户识别控制、优越的性能和高中低端设备选择。
数据包处理流程图：
2.查看会话
可以通过查看会话是否创建以及会话详细信息来确定报文是否正常通过防火墙，如果会话已经建立，并且一直有后续报文命中刷新,基本可以排除防火墙的问题。
2.1.查看会话汇总
命令：
show session info
举例：
admin@PA-VM> show session info
说明：通过以上命令可以查看到设备支持会话数的最大值，从而检查是否有负载的情况发生。
2.2.查看session ID
命令：
show session id XX
举例：
说明：从以上命令中可以看出到底是否存在非法流量，可以通过
检查源地址和目的地址端口等信息
2.3.条件选择查看会话
命令：
show session all filter source[ip]destination[ip] application[app]
举例：
说明：可以检查一些风险会话
2.4.查看当前并发会话数
命令：
show session info
举例：
当前并发会话13个，而最大会话为262138，说明会话利用率并不高，最后一条红色标记为新建数值。
说明：了解设备当前并发会话情况
2.5.会话过多处理方法
命令：
1、show session all（检查所有session）
2、show session id XX（检查该session是否不法流量）说明：如果发现会话数大于设备可支撑的性能，需要按照以上步骤检查和清除或者防御
通过第一步发现占会话总数较多的ID，通过第二步检查该ID是否存在不法app或者其他流量，通过Dos保护或者会话限制该IP数目（如果确定是攻击，可以通过安全策略屏蔽该IP地址访问）。
3.清除会话
命令：
Clear session all
举例：
可通过session id 、源或目的IP、源或目的端口或清除所有会话。
说明：将会话清除。
4.抓包和过滤
在做debug/less或者抓包调试的时候，最好把PA的fastpath 功能关掉，这样可以更加完整的看到交互的数据报文，关闭命令为：
Set deviceconfig setting session offload no
Set session offload no
命令：
1、创建过滤规则：
2、Debug dataplane packet-diag set filter match source
destination 开启过滤规则：
Debug dataplane packet-diag set filter on
3、配置抓包对象：
Debug detaplane packet-diag set capture stage receive file （抓取来自接口接收的报文）
Debug detaplane packet-diag set capture stage transmit file （抓取地址转换后的报文）
Debug detaplane packet-diag set capture stage firewall file （抓取经过防火墙的报文）
4、全局抓包开关：
Debug detaplane packet-diag set capture on
5、查看全局抓包配置：
Debug detaplane packet-diag show setting
6、关闭抓包
Debug detaplane packet-diag set capture off
7、清除所有抓包内容
Debug detaplane packet-diag clear all
8、删除文件
Delete debug-filter file
举例：
说明：paloalto可以通过抓包的方式来分析故障情况。
5.CPU和内存查看
5.1.管理平台CPU和内存查看
命令：
show system resources
举例：
说明：通过以上命令可以查询到数据平台的cpu使用情况和内存使用情况。如发现CPU过高的情况，可以通过show system resources follow这个命令去检查到底是哪项应用有超负载行为：-1 可以检查哪个CPU频率高，默认为合并
-M可以检查内存使用率是否过高
检查异常应用是否必要使用，否则请关闭，如果不清楚需要开case 分析问题。
5.2.数据平台CPU和内存查看
命令：
show running resource-monitor
举例：
说明：通过以上命令可以查询到管理平台的cpu使用率，查看该CPU哪个应用占用的程序比较大，根据情况关闭相关应用，例如flow_lookup是检查会话是否存在进程，flow_forwarding是transmit地址转换进程，如果不确定的情况下开case解决问题。
5.3.全局利用率查看