Palo Alto パラメータシート（PAN-OS 11.x）

エンタープライズ・大規模向けの次世代ファイアウォールです。FortiGateシートと同じ位置づけ（本社境界をどちらで作るかの選択）なので、記入例も同じ案件・同じ位置に置いてあります。両方を同時に入れる想定ではありません。★核は3枚です。（1）セキュリティポリシー設計 … 上から順で最初に一致したもので決まるのはFortiGateと同じですが、この機器に固有なのは既定の扱いです。★同一ゾーン内の通信は既定で許可され、ゾーン間は既定で拒否になります。そして★この2つの既定のルールは、既定ではログを取りません。制御したい通信を同じゾーンに入れると、素通りした上に記録も残りません。（2）App-IDとサービス設計 … ポートではなくアプリケーションで判定します。アプリは数パケット流れるまで確定せず、確定した時点でポリシーが評価し直されます。依存するアプリを許可しないと通りません。★サービスを any にすると、アプリを絞ってもポートは全部開きます。（3）復号設計 … 復号しなければアプリは ssl 止まりになり、絞った意味がなくなります。ただし復号は技術だけの判断ではありません。★既定値は版と構成で変わるため、確証のあるものだけを記載し、それ以外は「要確認」と明記しています。

★制御したい通信は必ずゾーンを分けてください。同一ゾーン内は既定で許可され、ログも残りません。★構築の最初に既定のルール（同一ゾーン内・ゾーン間）のログを有効にしてください。有効にしないと、素通りした通信も拒否された通信も記録に出ず、原因にたどり着けません。★この機器を通らない通信はゾーンを分けても制御できません。コアスイッチでルーティングしているセグメント間はFWまで上がってきません。★代表的な通信を選んで、意図したルールに当たることを1本ずつ確認してください。書いた順序を読むだけでは分かりません。★サービスは application-default にしてください。any にすると、アプリを絞ってもポートは全部開きます。★許可したいアプリが依存するアプリを先に調べてください。依存を落とすと「設定は正しいのに通らない」になります。★最初から細かく絞らず、広めに開けてログでアプリを観測してから絞ってください。★復号は「除外を決める→法務・人事と合意→証明書を配る→段階的に広げる」の順で入れてください。証明書を配れない端末（スマートフォン・複合機・IoT）を先に洗い出してください。★設定はコミットするまで反映されません。コミットは他の人の未反映の編集も一緒に反映するので、前に差分を見てください。パスワード・証明書の鍵は書かず「別紙参照」としてください。