PALO ALTO

Palo Alto: FTP Transport funktioniert nicht, Palo Alto Firewall lässt Pakete „fallen“

Problem: FTP Transport funktioniert nicht sauber, Palo Alto Firewall lässt Pakete „fallen“ . Man sieht ab und zu DENY Pakete in der letzten Policy, die alles zwischen TRUST und UNTRUST sperrt. Dann funktioniert es mal, irgendwann wieder nicht. Lösung: Schuld daran war falsch konfiguriertes DNS. Standardmäßig versucht die PA alles über das Management IF zu verschicken. Das Management Netz hatte auch Zugang zum Internet, jedoch nur halbherzig. In der Policies wurden FQDN genutzt. Durch die falsche DNS Konfiguration konnte der FQDN Cache nicht immer korrekt gefüllt werden. ftp.freiepresse.de  (Objectname ftp.freiepresse.de):                    194.25.232.80            102431                     1213 ftp.krakovic.de  (Objectname ftp.krakovic.de):                    85.13.142.199                 1                     6651 ftp.waz-mediengruppe.de  (Objectname ftp.waz-mediengruppe.de):                     Not resolved sftp.freiepresse.de  (Objectname sftp.freiepresse.de):                    194.25.232.80            102430                    58913 www.krakovic.de  (Objectname www.krakovic.de):                    85.13.142.199                -1                     …

weiterlesen ….

Palo Alto Firewall: Konfiguration zeilenweise ansehen (nicht als XML)

Es ist viel einfacher anstelle des XMLs die Daten im „herkömmlichen“ zeilenorientierten Code anzuzeigen: > set cli config-output-format set > configure Entering configuration mode [edit] # edit rulebase security [edit rulebase security] # show set rulebase security rules rashi from trust-vwire set rulebase security rules rashi from untrust-vwire set rulebase security rules rashi to trust-vwire set rulebase security rules rashi to untrust-vwire Diese Einstellung gilt nicht für die Anzeige der Konfig außerhalb des Konfigurations-Modus. admin@PA2(active-primary)> show config running config {   mgt-config {     users {       admin {         phash fnRL/G5lXVMug;         permissions {           role-based {             superuser yes;