Paloalto下一代防火墙运维手册V11.docx
《Paloalto下一代防火墙运维手册V11.docx》由会员分享，可在线阅读，更多相关《Paloalto下一代防火墙运维手册V11.docx（15页珍藏版）》请在冰点文库上搜索。
Paloalto下一代防火墙运维手册V11
Paloalto防火墙运维手册之马矢奏春创作
创作时间：
二零二一年六月三十日
2.2.检查sessionID5
Debug和Less调试
版本升级
23
恢复配置和口令
配置恢复
口令恢复
检查应用状态命令
系统空间检查命令
硬件故障
1.下一代防火墙产物简介
Paloalto下一代防火墙（NGFW）是应用层平安平台.解决了网络复杂结构,具有强年夜的应用识别、威胁防范、用户识别控制、优越的性能和高中低端设备选择.
数据包处置流程图：
2.检查会话
可以通过检查会话是否创立以及会话详细信息来确定报文是否正常通过防火墙,如果会话已经建立,而且一直有后续报文命中刷新,基本可以排除防火墙的问题.
2.1.检查会话汇总
命令：
showsessioninfo
举例：
admin@PAVM>showsessioninfo
说明：
通过以上命令可以检查到设备支持会话数的最年夜值,从而检查是否有负载的情况发生.
2.2.检查sessionID
命令：
showsessionidXX
举例：
说明：
从以上命令中可以看出究竟是否存在非法流量,可以通过检查源地址和目的地址端口等信息
2.3.条件选择检查会话
命令：
showsessionallfiltersource[ip]destination[ip]application[app]
举例：
说明：
可以检查一些风险会话
2.4.检查以后并发会话数
命令：
showsessioninfo
举例：
以后并发会话13个,而最年夜会话为262138,说明会话利用率其实不高,最后一条红色标识表记标帜为新建数值.
说明：
了解设备以后并发会话情况
2.5.会话过多处置方法
命令：
1、showsessionall（检查所有session）
2、showsessionidXX（检查该session是否犯警流量）
说明：
如果发现会话数年夜于设备可支撑的性能,需要依照以上步伐检查和清除或者防御
通过第一步发现占会话总数较多的ID,通过第二步检查该ID是否存在犯警app或者其他流量,通过Dos呵护或者会话限制该IP数目（如果确定是攻击,可以通过平安战略屏蔽该IP地址访问）.
3.清除会话
命令：
Clearsessionall
举例：
可通过sessionid、源或目的IP、源或目的端口或清除所有会话.
说明：
将会话清除.
4.抓包和过滤
在做debug/less或者抓包调试的时候,最好把PA的fastpath功能关失落,这样可以更加完整的看到交互的数据报文,关闭命令为：
Setdeviceconfigsettingsessionoffloadno
Setsessionoffloadno
命令：
1、创立过滤规则：
2、开启过滤规则：
Debugdataplanepacketdiagsetfilteron
3、配置抓包对象：
（抓取来自接口接收的报文）
（抓取地址转换后的报文）
（抓取经过防火墙的报文）
4、全局抓包开关：
Debugdetaplanepacketdiagsetcaptureon
5、检查全局抓包配置：
Debugdetaplanepacketdiagshowsetting
6、关闭抓包
Debugdetaplanepacketdiagsetcaptureoff
7、清除所有抓包内容
Debugdetaplanepacketdiagclearall
8、删除文件
举例：
说明：
paloalto可以通过抓包的方式来分析故障情况.
5.CPU和内存检查
5.1.管理平台CPU和内存检查
命令：
showsystemresources
举例：
说明：
通过以上命令可以查询到数据平台的cpu使用情况和内存使用情况.如发现CPU过高的情况,可以通过showsystemresourcesfollow这个命令去检查究竟是哪项应用有超负载行为：
1可以检查哪个CPU频率高,默认为合并
M可以检查内存使用率是否过高
检查异常应用是否需要使用,否则请关闭,如果不清楚需要开case分析问题.
5.2.数据平台CPU和内存检查
命令：
showrunningresourcemonitor
举例：
说明：
通过以上命令可以查询到管理平台的cpu使用率,检查该CPU哪个应用占用的法式比力年夜,根据情况关闭相关应用,例如flow_lookup是检查会话是否存在进程,flow_forwarding是transmit地址转换进程,如果不确定的情况下开case解决问题.
5.3.全局利用率检查
命令：
showcounterglobal
举例：
说明：
可以根据数据平台和管理平台综合情况,去检查具体哪个应用利用率超标,综合判断引起故障的要点.
6.Debug和Less调试
在PA的debug是为了获取等多的排障详细信息,这个命令相当于show的命令,主要是检查管理平台和数据平台额外信息从而判断问题的根来源根基因.
Less为管理和数据平台log日志的检查,比较起GUI使用CLI的less能看到更多的详细数据交互信息,从而判断问题的根来源根基因.
6.1.管理平台Debug/Less
命令：
lessmplog/tailfollowyesmplog
举例：
说明：
检查管理平台日志信息可以通过辅助命令去实现：
tailfollowyesmplogauthd.log使用tail可以实时发现流量情况,例如该命令为检查管理平台的认证情况.
6.2.数据平台Debug/Less
命令：
debugdataplane
举例：
命令：
举例：
说明：
检查VPNike交互过程,可以通过tailfollowyes的方式实时检查数据报文的交互.
命令：
debuglogreceiverstatistics（检查日志情况）
lessmploglogrcvr.log（检查日志缓存情况）
举例：
说明：
可以通过该命令来检查日志工作情况.
7.硬件异常检查及处置
7.1.电源状态检查
命令：
showsystemenvironmentalspower
举例：
说明：
当Alarm列为True时,暗示电源状态异常,此时需要检查供电设施（如机柜电源及电源插排）是否正常供电,在确认供电正常,防火墙电源仍然异常时,可以生成诊断信息文件,提供给PaloAlto厂商case处置,以确认电源模块是否故障或损坏.
7.2.风扇状态检查
命令：
showsystemenvironmentalsfans
举例：
说明：
当Alarm为True时,暗示风扇状态异常.RPMs为False时,暗示风扇不转.此时需到现场检查设备风扇是否转动（用手放在风扇后面,看是否能感受到风）.如果风扇不转,则需要对其进行更换.
7.3.设备温度检查
命令：
showsystemenvironmentalsthermal
举例：
说明：
当Alarm为True时,暗示温度状态异常.异常时需要确定机房温度是否过高,或者散热系统是否受阻.
8.日志检查
8.1.告警日志检查
命令：
showlogalarm
举例：
说明：
告警可以根据属性筛选如开始时间或者结束时间等等
8.2.配置日志检查
命令：
showlogconfig
举例：
说明：
可以通过条件选择来筛选需要的配置日志信息
8.3.其他日志检查
命令：
showlog
举例：
说明：
使用该命令可以检查到系统日志、流量日志、野火日志等
9.双机热备异常处置
命令：
showhighavailabilitystate
（查询防火墙HA双机状态）
showhighavailabilityall
（查询完整的HA信息）
showhighavailabilitystatesynchronization
（询HA同步信息）
requesthighavailabilitystatesuspend
（手工切换防火墙HA状态,运行此命令的防火墙将会从Active/Passive状态切换为暂停状态）
requesthighavailabilitystatefunctional
（手工恢复防火墙HA状态）
举例：
说明：
由于PaloAlto采纳将管理平台和数据转发平台分离的硬件结构,因此PaloAlto的HA同步方式也采纳管理平台和数据转发平台之间独自同步.
PaloAlto防火墙HA的状态主要有如下四种：
Initial—初始化状态,此状态为防火墙在发现对等体而且进行HA状态协商前坚持的状态,时间阀值为60秒.60秒过后,如果防火墙在未发现对等体时,将会转换为Active状态.
Active—活跃状态,此状态为的防火墙处置所有的业务流量
Passive—主动状态,此状态为备份状态,备份主状态防火墙所有业务流量
Suspended—暂停状态,此状态为防火墙管理员手工暂停
Non‐functional—毛病状态,主备防火墙都将可能呈现此故障状态当防火墙发生故障时
故障时可以根据状态来判断和使用命令
10.内网用户丢包排除方法
10.1.联通测试
命令：
pingsourcehost
pinghost
举例：
说明：
指定源接口进行ping测试,如果欠亨,可以ping自己,如果本机欠亨可能考虑端口协议没有起来,可以调试端口协商模式,或者接口没有接好,检查网线（光纤）情况.
10.2.会话查询
命令：
showsessionall
举例：
说明：
可以参考上节会话命令判断故障内容,检查是否在PA是否存在该会话信息.
10.3.接口丢包查询
命令：
showcounterglobal|matchdrop
举例：
说明：
查询全局计数器中中存在的Drop数据包,如果有丢包请检查是否因为平安战略引起.
10.4.抓包分析
命令：
debugdataplanepacketdiagsetfilteron
说明：
请参考上节抓包和过滤分析.
11.VPN故障处置
命令：
1、showvpnflow（检查防火墙加解密状态）
2、showvpngateway（检查防火墙vpn配置）
3、showvpnikesa（检查防火墙第一阶段IKESA状态）
4、showvpnipsecsa（检查防火墙第二阶段IpsecSA状态）
5、showvpntunnel（检查防火墙tunnel配置）
6、lessmplogikemgr.log（debug/less调试）
举例：
罕见的VPN故障报错信息：
说明:
WrongIP:
在建立VPN两真个设备上面没有使用正确的公网IP地址进行VPN的建立.
NomatchingP1orP2Proposal:
在建立VPN两真个设备上面使用的加解密算法,数据完整性算法,Hash坚持协议不匹配.
MismatchedPeerID:
在建立VPN两真个设备上面使用的PeerID不匹配.
PFSGroupmismatch:
在建立VPN两真个设备上面使用分歧的DHgroups.
MismatchedProxyID:
在建立VPN两真个设备上面使用的ProxyID不匹配（通常发生在使用Policybased）
因此,在PaloAlto上面,可以通过一系列的查询命令来进行Vpn建立不胜利的故障排查
12.版本升级
12.1.Software升级
命令：
1、requestsystemsoftwarecheck（执行版本检查）
2、requestsystemsoftwaredownload（执行软件下载）
3、requestsystemsoftwareinstall（执行系统软件装置）
4、requestrestartsystem（执行设备重启）
举例：
说明：
需要注意的是升级版本后需要重启设备.
12.2.Dynamic升级
命令：
1、requestcontentupgradecheck
2、requestcontentupgradedownload
3、requestcontentupgradeinstall
举例：
说明：
完成后不需要重启即可生效
13.恢复配置和口令
13.1.配置恢复
命令：
loadconfig
举例：
说明：
可以通过load命令恢复到lastsave最近配置状态,或者from自界说配置状态：
13.2.口令恢复
命令：
main
说明：
恢复口令需要重启设备,断电重启后在boot启动瞬间会显示输入命令,只要输入main就可以进入出厂值恢复菜单
14.其他运维命令
14.1.规划化配置命令
命令：
Setcliconfigoutputformatset
举例：
说明：
规则化showconfig,方便检查和维护.
14.2.系统重启命令
命令：
requestrestartsystem（设备重启）
requestshutdownsystem（设备关机）
14.3.检查应用状态命令
命令：
showrunningapplicationstatistics
举例：
14.4.系统空间检查命令
命令：
showsystemdiskspace（检查磁盘状态）
举例：
14.5.系统进程检查命令
命令：
showsystemsoftwarestatus（检查系统进程）
举例：
14.6.系统基本信息检查命令
命令：
showsysteminfo（检查设备基本信息）
举例：
14.7.ARP检查命令
命令：
showarpall（检查ARP表项）
举例：
14.8.路由检查命令
命令：
showroutingroute（检查路由表项）
举例：
14.9.平安战略检查命令
命令：
showrunningsecuritypolicy（检查平安战略）
举例：
14.10.NAT战略检查命令
命令：
showrunningnatpolicy（检查NAT战略）
举例：
14.11.系统服务检查命令
命令：
showsystemservices（显示服务端口）
举例:
14.12.NAT命中检查命令
命令：
showrunningippool
showrunningglobalippool
举例：
14.13.UserIPMapping检查命令
命令：
showuseripusermapping
说明：
检查用户和IP的捆绑数据
15.其他故障处置
9.1.硬件故障
当设备发生硬件故障,首先检查设备状态,如硬盘、风扇等.确认后.向厂商申请硬件RMA,进行更换.
9.2.软件故障
很多内核相关的软件故障,我们需要借助PaloAlto后台人员来分析,并解决问题.PaloAlto问题后台处置流程:
解决问题
后台分析
诊断信息收集
状态异常确认
硬件状态监控
9.3.接口状态检查
命令：
showinterfaceall
举例：
说明:
通过接口状态查询来检查端口的双工模式和up/down情况
创作时间：
二零二一年六月三十日
升级会员 