Palo altoを業務利用する中で
よく使うコマンドを備忘録として残します
基本編
出力フォーマットの変更
> set cli config-output-format set
出力をsetフォーマットに変更します
他にもxmlフォーマット等も使えます
コンフィギュレーションモードに移行
> configure
コンフィギュレーションモードじゃないと
見ることができない設定もあります
ログアウト
> exit
モードの移行にも使います
ページ送りを無効
> set cli pager off
show等の長い結果を見る際に
-- more --が出てこなくなります
ヘルプ
> ?
とても便利なので多用しましょう
頭文字しかわからないコマンドも
わかる範囲で入力すれば一致したコマンドを
一覧表示してくれます
スペルチェックにも使える最強コマンドです
設定の保存
> commit
candidate config(編集中)の内容を
running config(稼働中)へ反映させます
設定確認編
他のログインユーザーの確認
> show admins
現在ログインしているユーザーの
IPアドレス、セッション開始時間などを
確認できます
主系、副系の確認
> show high-availabilty state
主系はactive、副系はpassive
running configが反映されているか
確認したいときには最終行をみます
バージョンの確認
> show system info
バージョンの他に、ホスト名や
シリアル番号等も確認できます
システムログの確認
> show log system start-time equal yyyy/mm/dd@hh:mm:ss
システムログが表示されます
想定外のエラーがないか確認に使います
※オペレーショナルモードでの利用はできません
running configの確認
> show
現在稼働中のコンフィグの確認に使います
出力結果から検索対象を含む行を抽出
> コマンド | match "検索対象"
Linuxでいうgrepと同意です
出力結果から検索対象を含まない行を抽出
> コマンド | except "検索対象"
Linuxでいうgrep -vと同意です
ルーティングテーブルの確認
> show routing route
登録されているルーティングテーブルの
確認に使います
ゾーンの確認
show zone
インターフェースごとのゾーンを確認できます
ネットワークオブジェクトの確認
> show address
登録されている
ネットワークオブジェクトの一覧を表示します
そのまま名前の指定もできます
サービスオブジェクトの確認
> show service
登録されている
サービスオブジェクトの一覧を表示します
そのまま名前の指定もできます
ネットワークオブジェクトグループの確認
> show address-group
登録されている
ネットワークオブジェクトグループの一覧を
表示します
そのまま名前での指定もできます
サービスオブジェクトグループの確認
> show service-group
登録されている
サービスオブジェクトグループの一覧を
表示します
そのまま名前での指定もできます
アクセスリストの確認
> show rulebase security rules
登録されているアクセスリストの
一覧を表示します
そのまま名前での指定もできます
設定投入編
ネットワークオブジェクトの作成
> set address 10.0.0.1-32bit(オブジェクト名) ip-netmask 10.0.0.1/32
ネットワークオブジェクトの作成ができます
サブネットはプレフィックス長で記述します
サービスオブジェクトの作成
> set service http(オブジェクト名) protocol tcp port 80
サービスオブジェクトの作成ができます
ネットワークオブジェクトグループの作成
> set address-group nw_group(グループ名) static [ 10.0.0.1-32bit 10.0.100.1-32bit ]
ネットワークオブジェクトグループの
作成ができます
サービスオブジェクトグループの作成
> set service-group service_group(グループ名) members [ http https ]
サービスオブジェクトグループの
作成ができます
アクセスリストの作成
ケース１
Outsideへのicmpの許可設定
(10.0.0.1~10.0.1.1へ)
> set rulebase security rules "Rule名" from Outside
set rulebase security rules "Rule名" to Inside
set rulebase security rules "Rule名" source 10.0.0.1-32bit
set rulebase security rules "Rule名" destination 10.0.1.1-32bit
set rulebase security rules "Rule名" source-user any
set rulebase security rules "Rule名" application [ icmp ping traceroute ]
set rulebase security rules "Rule名" service application-default
set rulebase security rules "Rule名" hip-profiles any
set rulebase security rules "Rule名" category any
set rulebase security rules "Rule名" action allow
set rulebase security rules "Rule名" log-end yes
set rulebase security rules "Rule名" profile-setting profiles
set rulebase security rules "Rule名" log-setting ログの転送先
ケース２
Insideへのftp許可設定
(10.0.0.1~ネットワークグループnw_groupへ)
> set rulebase security rules "Rule名" from Inside
set rulebase security rules "Rule名" to Outside
set rulebase security rules "Rule名" source 10.0.0.1-32bit
set rulebase security rules "Rule名" destination nw_group
set rulebase security rules "Rule名" source-user any
set rulebase security rules "Rule名" application any
set rulebase security rules "Rule名" service [ tcp-20 tcp-21 ]
set rulebase security rules "Rule名" hip-profiles any
set rulebase security rules "Rule名" category any
set rulebase security rules "Rule名" action allow
set rulebase security rules "Rule名" log-end yes
set rulebase security rules "Rule名" profile-setting profiles
set rulebase security rules "Rule名" log-setting ログの転送先
ケース３
Insideへのネットワークオブジェクトグループservice_groupの不許可設定
(10.0.0.1~anyへ)
> set rulebase security rules "Rule名" from Inside
set rulebase security rules "Rule名" to Outside
set rulebase security rules "Rule名" source 10.0.0.1-32bit
set rulebase security rules "Rule名" destination any
set rulebase security rules "Rule名" source-user any
set rulebase security rules "Rule名" application any
set rulebase security rules "Rule名" service service_group
set rulebase security rules "Rule名" hip-profiles any
set rulebase security rules "Rule名" category any
set rulebase security rules "Rule名" action allow
set rulebase security rules "Rule名" log-end yes
set rulebase security rules "Rule名" profile-setting profiles
set rulebase security rules "Rule名" log-setting ログの転送先
上記のようにアクセスリストの
作成ができます
from、to→インターフェースを指定
source、destination→アドレスを指定
application→icmpは要指定
service→ポート指定
他の項→デフォルト設定
アクセスリストの移動
move rulebase security rules "動かすRule名" before "動かし基準Rule名"
アクセスリストの移動に使います
before、afterで動かし基準となるルールの
前か後ろか指定できます
疎通確認編
通信相手の応答有無の確認
> ping source 送信元IP host 宛先IP
リーチアビリティが取れているか
確認したいときに使います
通信経路上のルータを確認
> traceroute source 送信元IP host 宛先IP
どのルータを経由するか確認できます
通信内容の確認
ケース１
Inside側(10.0.0.1)からOutside側(10.0.100.1)への
httpの通信内容を確認
> test security-policy-match from Inside to Outside source 10.0.0.1 destination 10.0.100.1 protocol 6 destination-port 80
ケース２
Inside側(10.0.0.1)からOutside側(10.0.100.1)への
icmpの通信内容を確認
> test security-policy-match form Inside to Outside source 10.0.0.1 destination 10.0.100.1 protocol 1
action欄で通信の可否を確認できます
アクセスリスト同様、各項目に
調べたい値を入力してください
プロトコルは
1がicmp、6がtcp、17がudpを表します
※オペレーショナルモードでの利用はできません
おわりに
以上がPalo altoでよく使うコマンドでした
また使うものが増えてきたら
随時更新していきます