FQDN

Palo Alto Firewall: FQDN als CNAME im Regelwerk nutzen

Es gibt Probleme, wenn in den Adressen ein FQDN genutzt wird, der jedoch auf ein CNAME zeigt. Dann wird er nicht aufgelöst. Beispiel: alter Name host.mydomain.de wurde als FQDN angelegt. Nun wurde der Dienst des Servers auf einen anderen Server umgezogen. Das passierte indem man einen CNAME auf www.mydomain.de angelegt hatte host.mydomain.de. CNAME newhost.mydomain.de Plötzlich war der Dienst nicht über die 1,1,1,1 sondern über die 2.2.2.2 erreichbar. Die Policy hat nicht mehr funktioniert. Die Palo Alto kann scheinbar mit einem CNAME bei der Auflösung nichts anfangen und zeigt bei der Auflistung der FQDNs ein „Not Resolved“ an: newhost.mydomain.de  (Objectname newhost.mydomain.de):                     Not resolved    

Palo Alto: FQDN-Objekte aktualisieren und DNS-Auflösung prüfen

Wer in Security Policies FQDN-Adressobjekte statt fester IP-Adressen verwendet, sollte wissen, wann die Firewall den Namen erneut per DNS auflöst. Dieser Artikel stammt ursprünglich aus einer älteren PAN-OS-Version; das Verhalten hat sich inzwischen geändert. FQDN-Refresh in aktuellen PAN-OS-Versionen Ein FQDN-Adressobjekt wird beim Commit zunächst aufgelöst. Danach orientiert sich die Firewall an der DNS-TTL. Palo Alto Networks beschreibt zusätzlich eine konfigurierbare minimale FQDN-Refresh-Zeit; der aktuelle Standardwert liegt bei 30 Sekunden. Damit ist die frühere pauschale Aussage „Refresh alle 30 Minuten“ nicht mehr aktuell. Die aktuell aufgelösten FQDN-Objekte kannst du weiterhin per CLI anzeigen: request system fqdn show Ein erneutes Auflösen aller FQDN-Einträge lässt sich grundsätzlich mit folgendem Operational-Mode-Befehl anstoßen: request system fqdn refresh Hinweis: Bei der Fehlersuche immer die konkrete PAN-OS-Version …

weiterlesen ….