Palo Alto パラメータシート（PAN-OS 11.x）

説明

使い方

収録内容

全10シート。各シートに書いてあることは次のとおりです（ファイルの「目次」シートより）。

前提共通設計

機器・経路・ログ・変更の進め方（コミットを含む）

設定項目（21件）

機種・版数・台数・構成・管理インターフェース・ホスト名・管理の接続元・購読の内容と期限・仮想ルーター・既定経路・社内向けの経路・送信元の変換・NTPサーバー・タイムゾーン・転送先・★既定のルールのログ・保存期間・★コミット・★他の人の編集・設定の退避・★新しいアプリの分類・PAN-OSの更新・変更の記録

設定値ゾーン設計

★ゾーンの分け方が、そのまま制御できる範囲になる

インターフェース・項目（18件）

ethernet1/1・ethernet1/2・ethernet1/3・ethernet1/4・（HA用）・（管理専用）・（ゾーンの分け方）・（コアでルーティングする通信）・書き方・★同一ゾーン内の通信は既定で許可される。制御したいなら必ずゾーンを分ける。・「まとめて trust に入れる」と、サーバー宛の通信もクライアント間の通信も素通りする。・しかも既定のルールはログを取らないので、通っていること自体が見えない。・★この機器を通らない通信は、ゾーンを分けても制御できない。・コアスイッチでルーティングしているセグメント間は、FWまで上がってこない。・制御が要るなら経路を変えるか、コア側で制御する。どちらにするかを設計として決める。・・ゾーン名は用途が読める名前にする。障害対応中にログのゾーン名で当たりを付けることになる。・・HA用のアドレスは機器ごとの値で、同期されない。2台分を並べて書く。・・管理は業務の経路と分ける。分けておくと、業務側が落ちても機器に入れる。

設計ポリシー設計

★上から順。★同一ゾーン内は既定で許可され、ログも残らない

設計App-IDとサービス

★ポートではなくアプリで判定する。サービスを any にしない

項目（20件）

アプリで判定する・★アプリが確定するまで・★依存するアプリ・サービスの指定・★分類できない通信・★更新で分類が変わる・絞り方の順序・暗号化された通信・運用開始後・書き方・★アプリで許可し、サービスは application-default にする。・サービスを any にすると、アプリを絞ってもポートは全部開く。絞った意味が無くなる。・★依存するアプリを先に調べる。・1つのアプリを許可すれば通るとは限らず、依存を落とすと「設定は正しいのに通らない」になる。・★分類できない通信は落ちる。社内の独自アプリで必ず起きる。・ポートで許可する例外を作り、なぜ例外なのかを書いて残す。書かないと次の担当が消す。・★更新で分類が変わると、昨日まで通っていた通信が落ちる。・新しい分類の適用を保留する期間を設け、その間に影響を確認してから効かせる。・・最初から細かく絞らない。広めに開けてログでアプリを観測し、実態に合わせて絞る。・・暗号化された通信はアプリが ssl 止まりになる。復号設計と対で決める。

設計復号設計

★復号しないと ssl 止まり。ただし除外の合意が先に要る

項目（20件）

復号する範囲・★除外するもの・証明書の配布・★配れない端末・★証明書を検証するアプリ・性能・復号しない通信の扱い・利用者への周知・段階的に入れる・書き方・★順序を守る。除外を決める → 合意を取る → 証明書を配る → 段階的に対象を広げる。・先に対象を広げると、除外の漏れが問い合わせとして一度に出る。・★除外は技術だけで決めない。金融・医療・人事など、・中身を見てはいけない通信がある。法務・人事と合意し、記録を残す。・★証明書を配れない端末を先に洗い出す。スマートフォン・複合機・IoTで必ず出る。・洗い出さないまま入れると「一部の端末だけ繋がらない」の形で出て、原因が分かりにくい。・★証明書を検証するアプリは、復号すると接続を拒む。業務アプリと更新サイトで起きる。・除外の一覧に入れ、なぜ除外なのかを書く。書かないと次の担当が消す。・・復号しない範囲を一覧にして持つ。そこは中身が見えていない。・見えている前提で「フィルタが効いている」と説明しない。

確認確認コマンド集

設定と、意図したルールに当たるかの確認方法

注意設定時の注意

この機器で実際に起きる失敗と、その回避手順