1、Paloalto防火墻運(yùn)維手冊目錄1.下一代防火墻產(chǎn)品簡介22.查看會話42.1.查看會話匯總42.2.查看session ID52.3.條件選擇查看會話52.4.查看當(dāng)前并發(fā)會話數(shù)52.5.會話過多處理方法63.清除會話74.抓包和過濾75.CPU和內(nèi)存查看95.1.管理平臺CPU和內(nèi)存查看95.2.數(shù)據(jù)平臺CPU和內(nèi)存查看115.3.全局利用率查看126.Debug和Less調(diào)試126.1.管理平臺Debug/Less126.2.數(shù)據(jù)平臺Debug/Less136.3.其他Debug/Less147.硬件異常查看及處理157.1.電源狀態(tài)查看157.2.風(fēng)扇狀態(tài)查看167.3.設(shè)備溫度查看

2、168.日志查看178.1.告警日志查看178.2.配置日志查看188.3.其他日志查看189.雙機(jī)熱備異常處理1910.內(nèi)網(wǎng)用戶丟包排除方法2010.1.聯(lián)通測試2110.2.會話查詢2110.3.接口丟包查詢2110.4.抓包分析2211.VPN故障處理2212.版本升級2312.1.Software升級2312.2.Dynamic升級2413.恢復(fù)配置和口令2513.1.配置恢復(fù)2513.2.口令恢復(fù)2514.其他運(yùn)維命令2514.1.規(guī)劃化配置命令2514.2.系統(tǒng)重啟命令2614.3.查看應(yīng)用狀態(tài)命令2614.4.系統(tǒng)空間查看命令2714.5.系統(tǒng)進(jìn)程查看命令2714.6.系統(tǒng)基本信

3、息查看命令2814.7.ARP查看命令2914.8.路由查看命令2914.9.安全策略查看命令3014.10.NAT策略查看命令3014.11.系統(tǒng)服務(wù)查看命令3114.12.NAT命中查看命令3114.13.UserIP-Mapping查看命令3115.其他故障處理319.1.硬件故障319.2.軟件故障329.3.接口狀態(tài)查看329.4.軟件故障321. 下一代防火墻產(chǎn)品簡介Paloalto下一代防火墻(NGFW) 是應(yīng)用層安全平臺。解決了網(wǎng)絡(luò)復(fù)雜結(jié)構(gòu)，具有強(qiáng)大的應(yīng)用識別、威脅防范、用戶識別控制、優(yōu)越的性能和高中低端設(shè)備選擇。數(shù)據(jù)包處理流程圖：2. 查看會話可以通過查看會話是否創(chuàng)建以及會話

4、詳細(xì)信息來確定報文是否正常通過防火墻，如果會話已經(jīng)建立，并且一直有后續(xù)報文命中刷新,基本可以排除防火墻的問題。2.1. 查看會話匯總命令：show session info 舉例： adminPA-VM show session info 說明：通過以上命令可以查看到設(shè)備支持會話數(shù)的最大值，從而檢查是否有負(fù)載的情況發(fā)生。2.2. 查看session ID命令：show session id XX舉例：說明：從以上命令中可以看出到底是否存在非法流量，可以通過檢查源地址和目的地址端口等信息2.3. 條件選擇查看會話命令：show session all filter sourceipdestina

5、tionip applicationapp舉例：說明：可以檢查一些風(fēng)險會話2.4. 查看當(dāng)前并發(fā)會話數(shù)命令：show session info舉例：當(dāng)前并發(fā)會話13個，而最大會話為，說明會話利用率并不高，最后一條紅色標(biāo)記為新建數(shù)值。說明：了解設(shè)備當(dāng)前并發(fā)會話情況2.5. 會話過多處理方法命令：1、 show session all（檢查所有session）2、 show session id XX（檢查該session是否不法流量）說明：如果發(fā)現(xiàn)會話數(shù)大于設(shè)備可支撐的性能，需要按照以上步驟檢查和清除或者防御通過第一步發(fā)現(xiàn)占會話總數(shù)較多的ID，通過第二步檢查該ID是否存在不法app或者其他流量，

6、通過Dos保護(hù)或者會話限制該IP數(shù)目（如果確定是攻擊，可以通過安全策略屏蔽該IP地址訪問）。3. 清除會話命令：Clear session all舉例：可通過session id 、源或目的IP、源或目的端口或清除所有會話。說明：將會話清除。4. 抓包和過濾在做debug/less或者抓包調(diào)試的時候，最好把PA的fastpath功能關(guān)掉，這樣可以更加完整的看到交互的數(shù)據(jù)報文，關(guān)閉命令為：Set deviceconfig setting session offload noSet session offload no命令：1、 創(chuàng)建過濾規(guī)則：Debug dataplane packet-diag

7、 set filter match source y.y.y.y destination x.x.x.x2、 開啟過濾規(guī)則：Debug dataplane packet-diag set filter on3、 配置抓包對象：Debug detaplane packet-diag set capture stage receive file x.pcap（抓取來自接口接收的報文）Debug detaplane packet-diag set capture stage transmit file x.pcap（抓取地址轉(zhuǎn)換后的報文）Debug detaplane packet-diag set

8、 capture stage firewall file x.pcap（抓取經(jīng)過防火墻的報文）4、 全局抓包開關(guān)：Debug detaplane packet-diag set capture on5、 查看全局抓包配置：Debug detaplane packet-diag show setting6、 關(guān)閉抓包Debug detaplane packet-diag set capture off7、 清除所有抓包內(nèi)容Debug detaplane packet-diag clear all8、 刪除文件Delete debug-filter file x.pcap舉例：說明：paloalt

9、o可以通過抓包的方式來分析故障情況。5. CPU和內(nèi)存查看5.1. 管理平臺CPU和內(nèi)存查看命令：show system resources舉例：說明：通過以上命令可以查詢到數(shù)據(jù)平臺的cpu使用情況和內(nèi)存使用情況。如發(fā)現(xiàn)CPU過高的情況，可以通過show system resources follow這個命令去檢查到底是哪項應(yīng)用有超負(fù)載行為：-1 可以檢查哪個CPU頻率高，默認(rèn)為合并-M可以檢查內(nèi)存使用率是否過高檢查異常應(yīng)用是否必要使用，否則請關(guān)閉，如果不清楚需要開case分析問題。5.2. 數(shù)據(jù)平臺CPU和內(nèi)存查看命令：show running resource-monitor舉例：說明：通

10、過以上命令可以查詢到管理平臺的cpu使用率，查看該CPU哪個應(yīng)用占用的程序比較大，根據(jù)情況關(guān)閉相關(guān)應(yīng)用，例如flow_lookup是檢查會話是否存在進(jìn)程，flow_forwarding是transmit地址轉(zhuǎn)換進(jìn)程，如果不確定的情況下開case解決問題。5.3. 全局利用率查看命令：show counter global舉例：說明：可以根據(jù)數(shù)據(jù)平臺和管理平臺綜合情況，去查看具體哪個應(yīng)用利用率超標(biāo)，綜合判斷引起故障的要點(diǎn)。6. Debug和Less調(diào)試在PA的debug是為了獲取等多的排障詳細(xì)信息，這個命令相當(dāng)于show的命令，主要是查看管理平臺和數(shù)據(jù)平臺額外信息從而判斷問題的根本原因。Less

11、為管理和數(shù)據(jù)平臺log日志的查看，對比起GUI使用CLI的less能看到更多的詳細(xì)數(shù)據(jù)交互信息，從而判斷問題的根本原因。6.1. 管理平臺Debug/Less命令：less mp-log /tail follow yes mp-log舉例：說明：查看管理平臺日志信息可以通過輔助命令去實(shí)現(xiàn)：tail follow yes mp-log authd.log使用tail可以實(shí)時發(fā)現(xiàn)流量情況，例如該命令為查看管理平臺的認(rèn)證情況。6.2. 數(shù)據(jù)平臺Debug/Less命令：debug dataplane舉例： 說明：使用debug dataplane可以查看數(shù)據(jù)平臺流量，例如內(nèi)存的詳細(xì)使用情況等。6.3

12、. 其他Debug/Less命令：debug ike global on debug （查看VPN ike 信息）less mp-log ikemgr.log（查看VPN ike 日志信息）舉例：說明：查看VPNike交互過程，可以通過tail follow yes的方式實(shí)時查看數(shù)據(jù)報文的交互。命令：debug log-receiver statistics（查看日志情況）less mp-log logrcvr.log （查看日志緩存情況）舉例：說明：可以通過該命令來檢查日志工作情況。7. 硬件異常查看及處理7.1. 電源狀態(tài)查看命令：show system environmentals po

13、wer舉例：說明：當(dāng)Alarm列為True時，表示電源狀態(tài)異常，此時需要檢查供電設(shè)施（如機(jī)柜電源及電源插排）是否正常供電，在確認(rèn)供電正常，防火墻電源仍然異常時，可以生成診斷信息文件，提供給PaloAlto廠商case處理，以確認(rèn)電源模塊是否故障或損壞。7.2. 風(fēng)扇狀態(tài)查看命令：show system environmentals fans舉例：說明：當(dāng)Alarm為True時，表示風(fēng)扇狀態(tài)異常。RPMs為False時，表示風(fēng)扇不轉(zhuǎn)。此時需到現(xiàn)場檢查設(shè)備風(fēng)扇是否轉(zhuǎn)動（用手放在風(fēng)扇后面，看是否能感受到風(fēng)）。如果風(fēng)扇不轉(zhuǎn)，則需要對其進(jìn)行更換。7.3. 設(shè)備溫度查看命令：show system env

14、ironmentals thermal舉例：說明：當(dāng)Alarm為True時，表示溫度狀態(tài)異常。異常時需要確定機(jī)房溫度是否過高，或者散熱系統(tǒng)是否受阻。8. 日志查看8.1. 告警日志查看命令：show log alarm舉例：說明：告警可以根據(jù)屬性篩選如開始時間或者結(jié)束時間等等8.2. 配置日志查看命令：show log config舉例：說明：可以通過條件選擇來篩選需要的配置日志信息8.3. 其他日志查看命令：show log舉例：說明：使用該命令可以查看到系統(tǒng)日志、流量日志、野火日志等9. 雙機(jī)熱備異常處理命令：show high-availability state（查詢防火墻HA雙機(jī)狀態(tài)

15、）show high-availability all（查詢完整的HA信息）show high-availability state-synchronization（詢HA同步信息）request high-availability state suspend（手工切換防火墻HA狀態(tài)，運(yùn)行此命令的防火墻將會從Active/Passive狀態(tài)切換為暫停狀態(tài)）request high-availability state functional（手工恢復(fù)防火墻HA狀態(tài)）舉例：說明：由于PaloAlto采用將管理平臺和數(shù)據(jù)轉(zhuǎn)發(fā)平臺分離的硬件結(jié)構(gòu)，因此Palo Alto的HA同步方式也采用管理平臺和數(shù)據(jù)

16、轉(zhuǎn)發(fā)平臺之間單獨(dú)同步。PaloAlto 防火墻HA的狀態(tài)主要有如下四種：Initial初始化狀態(tài)，此狀態(tài)為防火墻在發(fā)現(xiàn)對等體并且進(jìn)行HA狀態(tài)協(xié)商前保持的狀態(tài)，時間閥值為60秒。60秒過后，如果防火墻在未發(fā)現(xiàn)對等體時，將會轉(zhuǎn)換為Active狀態(tài)。Active活躍狀態(tài)，此狀態(tài)為的防火墻處理所有的業(yè)務(wù)流量Passive被動狀態(tài)，此狀態(tài)為備份狀態(tài)，備份主狀態(tài)防火墻所有業(yè)務(wù)流量Suspended 暫停狀態(tài)，此狀態(tài)為防火墻管理員手工暫停Nonfunctional錯誤狀態(tài)，主備防火墻都將可能出現(xiàn)此故障狀態(tài)當(dāng)防火墻發(fā)生故障時故障時可以根據(jù)狀態(tài)來判斷和使用命令10. 內(nèi)網(wǎng)用戶丟包排除方法10.1. 聯(lián)通測試命令

17、：ping source host ping host 舉例：說明：指定源接口進(jìn)行ping測試，如果不通，可以ping自己，如果本機(jī)不通可能考慮端口協(xié)議沒有起來，可以調(diào)試端口協(xié)商模式，或者接口沒有接好，檢查網(wǎng)線（光纖）情況。 10.2. 會話查詢命令：show session all舉例：說明：可以參考上節(jié)會話命令判斷故障內(nèi)容，查看是否在PA是否存在該會話信息。10.3. 接口丟包查詢命令：show counter global | match drop舉例：說明：查詢?nèi)钟嫈?shù)器中中存在的Drop數(shù)據(jù)包，如果有丟包請查看是否因為安全策略引起。10.4. 抓包分析命令：debug datapla

18、ne packet-diag set filter on說明：請參考上節(jié)抓包和過濾分析。11. VPN故障處理命令：1、 show vpn flow（查看防火墻加解密狀態(tài)）2、 show vpn gateway（查看防火墻vpn配置）3、 show vpn ike-sa（查看防火墻第一階段IKE SA狀態(tài)）4、 show vpn ipsec-sa（查看防火墻第二階段Ipsec SA狀態(tài)）5、 show vpn tunnel（查看防火墻tunnel配置）6、 less mp-log ikemgr.log （debug/less調(diào)試）舉例：常見的VPN故障報錯信息：說明:Wrong IP: 在建立

19、VPN兩端的設(shè)備上面沒有使用正確的公網(wǎng)IP地址進(jìn)行VPN的建立。No matching P1 or P2 Proposal: 在建立VPN兩端的設(shè)備上面使用的加解密算法，數(shù)據(jù)完整性算法，Hash保持協(xié)議不匹配.Mismatched Peer ID: 在建立VPN兩端的設(shè)備上面使用的Peer ID不匹配.PFS Group mismatch: 在建立VPN兩端的設(shè)備上面使用不同的DH groups.Mismatched Proxy ID: 在建立VPN兩端的設(shè)備上面使用的Proxy ID不匹配（通常發(fā)生在使用Policy based）因此，在Palo Alto上面，可以通過一系列的查詢命令來進(jìn)行

20、Vpn建立不成功的故障排查12. 版本升級12.1. Software升級命令：1、 request system software check（執(zhí)行版本檢查）2、 request system software download（執(zhí)行軟件下載）3、 request system software install（執(zhí)行系統(tǒng)軟件安裝）4、 request restart system（執(zhí)行設(shè)備重啟）舉例：說明：需要注意的是升級版本后需要重啟設(shè)備。12.2. Dynamic升級命令：1、 request content upgrade check2、 request content upgrade

21、 download3、 request content upgrade install舉例：說明：完成后不需要重啟即可生效13. 恢復(fù)配置和口令13.1. 配置恢復(fù)命令：load config舉例：說明：可以通過load命令恢復(fù)到last-save最近配置狀態(tài)，或者from自定義配置狀態(tài)：13.2. 口令恢復(fù)命令：main說明：恢復(fù)口令需要重啟設(shè)備，斷電重啟后在boot啟動瞬間會顯示輸入命令，只要輸入main就可以進(jìn)入出廠值恢復(fù)菜單14. 其他運(yùn)維命令14.1. 規(guī)劃化配置命令命令：Set cli config-output-format set舉例：說明：規(guī)則化show config，方便查看和維護(hù)。14.2. 系統(tǒng)重啟命令命令：request restart system（設(shè)備重啟）request shutdown system（設(shè)備關(guān)機(jī)）14.3. 查看應(yīng)用狀態(tài)命令命令：show running application statistics舉例：14.4. 系統(tǒng)空間查看命令命令：show system disk-spa