Altoでは、ポリシーの編集をGUIから行うこと可能です。下記はポリシー編集画面のイメージです。1つの画面でFWのメインとなる”セキュリティポリシー”を管理します。ボタンをクリックすると下図のようにポップアップウィンドウが表示されます。各タブの設定内容を入力し、1つのポリシーを作成していきます。それぞれのタブの内容について見ていきましょう。次の3種類のタイプがあり、それぞれで動作が異なります。Universal同一/異なるゾーンを意識しません。デフォルト設定であり、基本的にはこれを設定することがほとんどです。これが設定されている場合は、”送信元”及び”宛先”に指定されたゾーンをポリシーの適用対象とします。Intrazone指定された同一ゾーンのみをポリシーの検査対象とします。通信といった、ゾーン間通信は検査対象とはなりません。Interzone指定された異なるゾーンのみをポリシーの検査対象とします。Intrazoneの逆です。“Intrazone”及び、”Interzone”を使用したルールが暗黙的に設定されています。許可、”Interzone”は拒否となるルールが定義されています。許可・”Interzone”は拒否のルールにマッチした場合でデフォルト設定の場合はログが出力されないため注意してください。基本的なポリシー内容を記載することが多いかと思います。設定することができます。ゾーン予め作成したゾーンを送信元として設定することができます。送信元アドレス送信元情報としては、アドレスオブジェクトを指定することができます。場合は画面上部の”いずれか”のチェックボックスを有効にします。ウィンドウの右下にある”Negate”を有効にすると該当アドレスに一致しないものがマッチ対象となります。ユーザ情報の連携している場合、ユーザのログイン情報などからIPアドレスをユーザ名を紐づけることができます。それらの情報を利用することで、ユーザ単位/グループ単位で制御を行うことできます。宛先の場合も設定出来る項目は”送信元”の時と同様です。宛先ゾーン宛先アドレス◆アプリケーションこの設定項目ではPaloAltoアプリケーション識別機能を利用したポリシーの指定ができます。実際に利用しているアプリケーションまで指定することができます。指定がない場合は、画面左上(ちょっと隠れています)の”いずれか”を選択します。◆サービス/URLカテゴリサービスサービスオブジェクト定義画面で作成した”サービス”を選択します。”サービス”とは何かというと、”ポート”を指します。◆プロキシ:サービス名:service-proxy、ポート番号:8080◆HULFT:サービス名:hulft(もしくはサーバ名など)、ポート番号:30000/31000参考:サービスオブジェクトの作成URLカテゴリ経験上この設定項目を利用したことがありませんが、特定のルールでURLをキーとして制御を行ないたい場合に利用可能です。ルールごとにURLフィルタリングを作成すると管理がしにくくなる気がするため、個人的にはURLフィルタリングポリシーで定義することをオススメします。補足:Application-defaultについてPaloAltoのAPP-ID(アプリケーションデータベース)で定義されているデフォルトのポートをマッチの対象とします。SSHであれば22番ポートが正規のポートみなします。標準ポート以外からの通信が許可しないようなルールの作成が簡便に行えるメリットがあります。◆アクションアクションセキュリティポリシーにマッチしたときの動作を指定します。“ResetとDrop”の違いは、サーバ側にリセットパケットを送ってあげるかどうかの違いです。プロファイル設定セキュリティプロファイルを利用する場合はリストから適用するプロファイルを指定します。プロファイルタイプ“プロファイル、グループ、なし”のいずれかを選択できます。グループの場合は下記の画面イメージとなります。アンチウィルス脆弱性防御アンチスパイウェアURLフィルタリングファイルブロッキングデータフィルタリングWildFire分析ログ設定セッション開始時にログ文字通りセッションの開始時にログとして記録します。この設定を有効にすると装置負荷が高くなる可能性があるため、すべてのポリシーで設定することが非推奨です。セッション終了時にログ基本的にはこの設定を有効とします。装置本体にログを記録するだけでなく、外部ログサーバに出力する場合はこの設定を指定します。その他の設定スケジュール特定のスケジュールでポリシーを有効としたい場合に利用します。QoSマーキングトラフィックに対し、QoSマーキングを行う場合に利用します。便利なCLIコマンド一覧PaloAltoの便利なコマンドについて、現在まとめ中です。PaloAltoの操作手順についてまとめます。第2回はダッシュボード画面の見方/操作手順についてです。Altoのコンフィグ出力形式は、次の2パターンあります。PaloAltoの操作手順についてまとめます。初回はログイン/ログアウト手順についてです。FWの機器を機種を選定する際、様々な項目を検討する必要があります。構築/運用中など、どんなシーンでも操作が必要なところなので、覚えておきましょう。次の3つの観点でご説明します。Networksのベンダー資格としては、大きく次の2つの資格があります。コメントをキャンセルメールアドレスが公開されることはありません。*サイト上に表示された文字を入力してください。プロフィール普段ネットワーク関係の仕事をしているので、ネットワーク系の知識メインで記事を書いていきます。そのほかにも趣味や小ネタなどの記事も適当に書いていきますので、時間があったら読んでみてください。自分が持っているネタ・知識がどれだけの人に読んでもらえるのかについても興味があります。(6)本サイトについて本サイトの内容につき、利用者に不利益や損害が発生する場合であっても、その責任を一切負わないものとします。不適切な内容及び、誤解を招くような表現等ございましたら、お気軽にご連絡ください。