13. ファイアウォール ブートストラップ

推定所要時間: 60 分

操作可能なコンポーネントのオーナー: FW

スキル プロファイル: デプロイ エンジニア

このページでは、Palo Alto Networks（PANW）ファイアウォールのインストールと構成の手順について説明します。Google Distributed Cloud（GDC）エアギャップには、侵入検知 / 防御システム（IDPS）ファイアウォールと境界ファイアウォールの 2 つの PANW ファイアウォールが用意されています。

13.1. ファイアウォールにアクセスする

13.1.1. コンソールにアクセスする

  1. パソコンからコンソール ポートにシリアル ケーブルを接続し、ターミナル エミュレーション ソフトウェア（9600-8-N-1）を使用してファイアウォールに接続します。

  2. 起動シーケンスが完了するまで 10 ～ 15 分待ちます。ファイアウォールの準備が整うと、プロンプトがファイアウォールの名前に変わります。たとえば、IDPS ファイアウォールの場合は PA-5260 login、境界ファイアウォールの場合は PA-850 login になります。

  3. デフォルトのユーザー名とパスワードの認証情報は admin/admin です。FIPS モードの場合は admin/paloalto です。

13.1.2. GUI/CLI

  1. RJ-45 イーサネット ケーブルをパソコンからファイアウォールの管理ポートに接続します。

  2. パソコンの IP アドレスを 192.168.1.2/24 に設定します。

  3. ファイアウォールの管理インターフェースにアクセスするには、https://192.168.1.1 に移動します。

  4. デフォルトのユーザー名とパスワードの認証情報は admin/admin です。FIPS モードの場合は admin/paloalto です。

13.2. ハードウェアを確認する

  1. 受け取った部品が、購入した部品の種類と数と一致していることを確認します。

  2. 不一致がある場合は、SUP-P0007 に沿ってサポートケースを作成します。

  3. 接続されている光ファイバーが正しいことを確認するには、Palo Alto Network Firewall を設定するの手順に沿って操作します。

  4. 各コンポーネントの Alarm が Off または False に設定されていることを確認します。

    show system state | match "alarm': On"
show system state | match "alarm': T"

    プロセスは空の出力を返します。

    show system environmentals

    すべてのアラームを False に設定する必要があります。

  5. ファイアウォールのライトを確認します。

    1. フロント パネル: 次の LED が緑色で点灯している必要があります。
      1. PWR（電源）
      2. STS（ステータス）
      3. TMP（温度）
      4. ALM（アラーム）、THN のアラーム LED が消灯している。
      5. FANS（ファン）
      6. PWR1 と PWR2（電源）

  6. ファイアウォールのシリアル番号を表示します。

    PA-850 および PA-5260 ファイアウォールの場合、次の show コマンドを使用して、システム情報からシリアル番号を表示します。

    show system info | match serial

    次のような出力が表示されます。

    serial: 0123456789

    ファイアウォールの YAML ファイルの出力例を次に示します。

    hardware:
    model: Palo Alto 5260
    serialNumber: "0123456789"
    vendor: Palo Alto

13.3. 初期状態へのリセット

  1. コンソールからメンテナンス モードに移行します。

    debug system maintenance-mode

    出力は次のようになります。

    Executing this command will disconnect the current session and reboot the system into maintenance mode. Do you want to continue? (y or n)

Broadcast message from root (Tue Mar 15 11:07:31 2022):

The system is going down for reboot NOW!

  2. 続行するには「y」と入力してください。

    メンテナンス復元ツール

  3. [初期状態にリセット] に移動して選択します。

    Maintenance Recovery Tool を使用して出荷時の設定にリセットする

  4. もう一度 [初期状態にリセット] に移動して選択します。

    メンテナンス復元ツールによる出荷時設定へのリセットを繰り返す

  5. [再起動] を選択します。

    メンテナンス復元ツールの再起動

13.4. FIPS モードを有効にする

FIPS モードを有効にする必要がある場合は、次の手順を行う必要があります。ファイアウォールにアクセスするセクションで説明したように、初回ログイン時に新しい管理者パスワードを入力する必要があります。このパスワードは、FIPS の設定時に使用する必要があります。プロセスが正常に完了すると、ファイアウォールのパスワードがデフォルトの FIPS パスワードにリセットされます。

  1. コンソールを使用してファイアウォールに接続し、最後の PA-5260 login: プロンプトが表示されるまで待ちます。

  2. デフォルトのユーザー名とパスワード（admin/admin）を使用します。

  3. 画面の指示に沿って、ネットワーク デバイスのパスワード スプレッドシートから新しい管理者パスワードを入力します。

  4. 次のコマンドを使用してメンテナンス モードを有効にします。

    admin@PA-5260> debug system maintenance-mode

    出力は次のようになります。

    Executing this command will disconnect the current session and reboot the system into maintenance mode. Do you want to continue? (y or n)

Tue Mar 15 11:29:31 PDT 2022: Stopping PAN Software

  5. [Set FIPS-CC Mode] を選択します。

    FIPS-CC モードを設定する

  6. [Enable FIPS-CC Mode] に移動して選択します。

    FIPS-CC モードを有効にする

  7. プロセスが正常に完了することを確認します。

    FIPS-CC モードのプロセス

  8. [再起動] に移動して選択します。

    出荷時設定へのリセットの再起動

  9. FIPS-CC モードに切り替えると、ステータス FIPS-CC mode enabled successfully が表示されます。

    FIPS-CC モードが有効になりました

以下の変更が有効になりました。

  • FIPS-CC は、ウェブ インターフェースのフッターにあるステータスバーに常に表示されます。

  • デフォルトの管理者ログイン認証情報が admin/paloalto になりました。

システムが FIPS セルフテストを実行して FIPS が設定されると、シリアル コンソール経由で接続できなくなるため、システム デバッグ メンテナンス モードを終了できなくなります。オペレーターは、シリアル コンソール ケーブルを取り外すか、ファイアウォールのシリアル コンソールから接続を解除する必要があります。

13.5. 基本的な管理ネットワーク構成で PANW ファイアウォールをブートストラップする

この手順では、管理ネットワークへの接続を可能にする基本的なネットワーク設定を適用して、PANW ファイアウォールを初期化します。

13.5.1. 構成をチェックする

GDC ハードウェア オペレーション チームと IDPS チームは、cellcfg ディレクトリ内のファイルを確定して、デプロイのセットアップ情報を指定する必要があります。

このセクションでは、基本的な管理ネットワークとアクセス用に PANW ファイアウォールをブートストラップする方法について説明します。

13.5.2. 基本管理ネットワークを設定する

  1. ブートストラップ サーバーで次のコマンドを実行します。

    gdcloud system firewall mgmt-setup --config PATH_TO_CELLCFG_DIRECTORY --firewall-type=FIREWALL_TYPE

    PATH_TO_CELLCFG_DIRECTORY は、cellcfg が保存されているディレクトリ パスに置き換えます。

    FIREWALL_TYPE は、次のいずれかに置き換えます。

    • idps: IDPS ファイアウォール。
    • perimeter: 境界ファイアウォール。

    このコマンドによって、次のアクションが実行されます。

    • デバイス関連の構成を設定します。
    • ホスト名を設定します。
    • 管理 IP アドレスを設定します。
    • 管理 IP アドレスの接続を確認します。

    このコマンドの実行には約 15 分かかります。IDPS と境界ファイアウォールの gdcloud system firewall mgmt-setup コマンドは個別に実行する必要があります。同時に実行することはできません。

  2. このコマンドを 2 回実行します。1 回目はファイアウォール タイプを idps として、2 回目はファイアウォール タイプを perimeter として実行します。

13.6. PAN-OS をアップグレードする

  1. ブートストラップ サーバーで、次の gdcloud コマンドを実行します。

    gdcloud system firewall bootstrap-upgrade --config PATH_TO_CELLCFG_DIRECTORY --firewall-type=FIREWALL_TYPE

    PATH_TO_CELLCFG_DIRECTORY は、cellcfg が保存されているディレクトリ パスに置き換えます。

    FIREWALL_TYPE は、IDPS ファイアウォールの場合は idps、境界ファイアウォールの場合は perimeter に置き換えます。

    このコマンドによって、次のアクションが実行されます。

    • 現在の PAN OS バージョンがターゲット バージョンと一致しているかどうかを確認します。一致している場合は、アップグレードは必要ありません。それ以外の場合は、PAN OS イメージのアップグレードに進みます。
    • PAN OS イメージをアップグレードする必要がある場合は、現在のコンテンツ アップデート バージョンと対象バージョンを比較します。現在のバージョンが対象バージョンより古い場合は、コンテンツ更新をアップグレードします。

  2. gdcloud system firewall bootstrap-upgrade コマンドを 2 回実行します。1 回目はファイアウォール タイプを idps として、2 回目はファイアウォール タイプを perimeter として実行します。このコマンドが完了するまでに、IDPS ファイアウォールでは約 30 分、境界ファイアウォールでは約 1 時間かかります。コマンドは同時に実行できます。

  3. 現在の PAN-OS バージョンを確認します。GDC バージョン 1.14.3 以降では、PAN-OS バージョンは 10.2.13 である必要があります。

    show system info | match sw-version

13.7. ブートストラップを完了する

  1. ブートストラップ サーバーで次のコマンドを実行します。

    gdcloud system firewall install --config PATH_TO_CELLCFG_DIRECTORY --firewall-type=FIREWALL_TYPE

    PATH_TO_CELLCFG_DIRECTORY は、cellcfg が保存されているディレクトリ パスに置き換えます。

    FIREWALL_TYPE は、IDPS ファイアウォールの場合は idps、境界ファイアウォールの場合は perimeter に置き換えます。

    このコマンドによって、次のアクションが実行されます。

    • ライセンスをインストールします。
    • コンテンツのシグネチャを更新します。
    • 高可用性（HA）の鍵交換を行い、multi-vsys を有効にします。
    • ルートキー シークレットを作成します。
    • ファイアウォール構成を初期化します。

  2. このコマンドを 2 回実行します。1 回目はファイアウォール タイプを idps として、2 回目はファイアウォール タイプを perimeter として実行します。このコマンドが完了するまでに約 20 ～ 25 分かかります。gdcloud system firewall install コマンドは同時に実行できます。

13.8. 設定を確認する

PANW ファイアウォールをブートストラップしたことを確認する手順は次のとおりです。

  1. URL https://MANAGEMENT_IP_ADDRESS に移動します。MANAGEMENT_IP_ADDRESS は、ファイアウォール デバイスの管理に置き換えます。
  2. cell.yaml ファイルで定義したユーザー名とパスワードを入力して、ウェブ ポータルにログインします。

  3. ナビゲーション メニューの [ダッシュボード] をクリックします。[Widgets] -> [System] -> [Interfaces] と [High Availability] を選択します。

    PANW ファイアウォール HA ダッシュボード

  4. 次の項目を調べて、ブートストラップ プロセスが正常に完了したことを確認します。

    • アクティブ / アクティブ モードの IDPS ファイアウォール（PA-5260）の場合、プライマリ ファイアウォールとセカンダリ ファイアウォールの両方が同じステータスになることが想定されます。

      • [Interfaces] セクションの次の数値が緑色で表示されているかどうかを確認します。

        • 5、6、7、8、21、22、23、24

      • [高可用性] セクションのすべての箇条書きが緑色で表示されていることを確認します。[Running Config] セクションが赤または黄色で表示され、「not synchronized」と表示されることがあります。

      PANW IDPS ファイアウォール HA インターフェース

    • アクティブ / パッシブ モードの境界ファイアウォール（PA-850）では、アクティブ ファイアウォールとパッシブ ファイアウォールのステータスが異なることが想定されます。

      • アクティブなファイアウォールの場合:

        • [高可用性] セクションを確認します。

          • [Local] が [Active] で緑色、[Peer] が [Passive] で黄色になっていることを確認します。
          • [実行中の構成] セクションに赤色または黄色が表示され、「同期されていません」と表示されます。
          • [高可用性] セクション内の他のすべての箇条書きが緑色で表示されていることを確認します。

        • [Interfaces] セクションの次の数値が緑色で表示されているかどうかを確認します。

          • 9、10

        PANW 境界ファイアウォール HA アクティブ

      • パッシブ ファイアウォールの場合:

        • [高可用性] セクションを確認します。

          • [Local] が [Passive] で黄色、[Peer] が [Active] で緑色になっていることを確認します。
          • [実行中の構成] セクションに赤色または黄色が表示され、「同期されていません」と表示されます。
          • [高可用性] セクション内の他のすべての箇条書きが緑色で表示されていることを確認します。

        • [Interfaces] セクションの次の数値が赤色で表示されているかどうかを確認します。

          • 9、10

        PANW 境界ファイアウォール HA パッシブ

  5. [ネットワーク] タブで、[ゾーン] に移動します。

    [名前] 列のセキュリティ ゾーン名の接頭辞が、[場所] 列の仮想システムの ID と一致していることを確認します。

    たとえば、次の画像は、[名前] 列の vsys1-gpc が [ロケーション] 列の root (vsys1) と正しく一致していることを示しています。

    PANW ファイアウォールのユーザー インターフェースで一貫した仮想名とセキュリティ ゾーンの接頭辞

13.9. 発生しうる問題

13.9.1. ファイアウォール シークレットがプロビジョニングされていない

次のセクションでファイアウォールをブートストラップすると、次のようなログが表示されることがあります。

I0727 20:45:46.460753 3011336 common.go:129] Bootstrapper IP: 10.248.0.70
            E0727 20:45:46.460800 3011336 reset.go:42] failed to initialize the firewall configuration: found one or more firewalls with duplicate usernames, missing firewall account types (readonly, admin, breakglass) or invalid passwords (may not be TO-BE-FILLED): (Firewall: zo-aa-fw01, Duplicate user names: [admin], Missing account types: [], Accounts with invalid passwords: [], Missing user with name `admin`: false)

これらのログが表示された場合は、ファイアウォールのシークレットが正しく設定されていません。シークレットを更新して、リストされている各ファイアウォールで次のガイドラインが適用されるようにする必要があります。

  • 重複するユーザー名がない。
  • readonly、admin、breakglass の各タイプのアカウントが必要です。
  • デフォルト値 TO-BE-FILLED を使用できるアカウントはありません。
  • タイプ admin のアカウントの 1 つは、ユーザー名 admin を持っている必要があります。

対策:

構成を更新するには、14.6.1 構成を確認するの説明に沿って、シークレット ファイルに認証情報を入力します。

ファイアウォールにすでにアクセスできる場合、14.6.2 基本管理ネットワークを設定するの手順を実行しても、KIND クラスタのシークレットは更新されません。kubectl CLI を使用して、正しいパスワードで Secret を手動で更新する必要があります。

13.9.2. ファイアウォールのシリアル番号の検証エラー

cellcfg ファイルのファイアウォール シリアル番号とファイアウォール デバイスが一致しない場合、次のようなエラーが表示されることがあります。

043213 bootstrap.go:149] found one of more firewall serial number validation errors: found one or more perimeter firewall serial number validation errors: serial number check error for FirewallNode zp-ab-ocfw01: serial number mismatch. Expected serial number: 011901063228, but firewall device has: 012501009845 Error: found one or more perimeter firewall serial number validation errors: serial number check error for FirewallNode zp-ab-ocfw01: serial number mismatch. Expected serial number: 011901063228, but firewall device has: 012501009845

これらのログを受け取った場合は、cellcfg ファイルでファイアウォールのシリアル番号を更新する必要があります。

対策:

14.2 の手順に沿って操作します。ハードウェアを検証して、ファイアウォールのシリアル番号を確認し、YAML ファイルを更新します。

13.9.3. ファイアウォールが起動しない、または出荷時の設定へのリセット メニュー（リカバリモード）からイメージが見つからない

Palo Alto Networks ファイアウォール アプライアンスを起動できない場合、またはメンテナンス モード>出荷時設定にリセットからアクセスできる出荷時設定メニューに利用可能なイメージがない場合は、次の手順に沿って操作します。

パーティションが空白かどうかを確認するには:

  1. 電源からケーブルだけを外して、ファイアウォールを再起動します。電源を抜かないでください。
    • 電源ユニットを取り外した場合は、電源ケーブルを接続せずに再度取り付けます。次に、電源ケーブルをもう一度差し込みます。
  2. リカバリモードに移行します。
  3. [ディスク イメージ] を選択します。
  4. [詳細オプション] を選択し、パスワード MA1NT を入力します。
  5. [sysroot1]（X）を選択します。
  6. [ステータス] で Enter キーを押します。

  7. sysroot1 の State が EMPTY であるかどうかを確認します。

    出力例:

sysroot1 の状態が空であることを示す PuTTy ターミナル ウィンドウ

sysroot1 パーティションの状態が EMPTY の場合は、完全な解決手順 に沿って操作します。

対策

アプライアンスを復元するには、コンソールを使用してメンテナンス モードに入ります。高度なディスク イメージ メンテナンス モードに入るには、パスワード MA1NT を知っておく必要があります。

トラブルシューティング

アプライアンスの復元に問題がある場合は、次の手順をお試しください。

  • メンテナンス モードに入るためのパスワードが正しいことを確認します。
  • 別のコンソール ポートを使用してみます。
  • 詳しくは、Palo Alto Networks サポートにお問い合わせください。

13.9.4. ファイアウォール インターフェースがダウンしている

設定を確認するで、アップ状態であるはずのインターフェースがダウン状態になっている場合は、ファイアウォール デバイスとスイッチ間のケーブル接続が間違っているか、互換性のない光ファイバーが原因である可能性があります。

トラブルシューティング

  • 物理ケーブル接続が cell.yaml の想定される connections と同じかどうかを確認するには、ブートストラップ マシンから検証 CLI コマンドを実行します。

    • sudo <release dir>/gdcloud system check-config --config <path_to_cellcfg> --artifacts-directory <artifacts_folder> --scenario Firewall

    • 接続検証の検証ログを確認し、ログの軽減策の提案に従います。

      • 既知の問題: ManagementAggSwitch リソースからファイアウォール アプライアンスへの接続が一致しないというチェックが失敗します。出力は次のようになります。

        connections from switch xx-aa-mgmtaggsw01 to firewall does not match cell config with unexpected diff (-switch +cell config):
+ xx-aa-mgmtaggsw01:Eth1/47<>xx-aa-ocfw01:Eth1/11

      • 回避策: 境界ファイアウォール ポート 11 と 12 のエラーを無視します。これらのポートは、ルート管理クラスタのインストールが完了するまでダウンしています。

    • 検証 CLI コマンドの詳細については、ハードウェア チェック後の処理をご覧ください。

  • 互換性のない光ファイバーが使用されているかどうかを確認するには、Palo Alto Network Firewall を設定するの手順に沿って操作します。

13.9.5. HA 鍵交換中に権限が拒否された

ファイアウォール ブートストラップ ステップ 14.7 で、ブートストラッパーでの HA キーの保存で権限が拒否され、クラスタ設定が失敗することがあります。コマンドが Error: failed to config-replace with err: firewall:ak-aa-ocfw01, hasn't completed its config-replace for hairpin information yet と High-availability ha1 encryption requires an import of the high-availability-key(Module: ha_agent) client ha_agent phase 1 failure で停止することがあります。

トラブルシューティング:

  • FW-R1002 の例 8 を参照してください。

ホスト（ブートストラッパーまたはジャンプホスト）の ubuntu ディレクトリが root によって所有されているかどうかを確認します。

```bash
$ ls -al
total 36
drwxr-xr-x  3 root root 4096 Mar 21 03:33 ./
drwxr-xr-x 22 root root 4096 Mar 23 01:12 ../
...
drwxr-xr-x 11 root root 4096 Apr 30 21:05 ubuntu/
```

解決策は、/home/ubuntu の所有権を修正することです。

```bash
$ chown -R ubuntu: /home/ubuntu/
```

その後、コマンドを再実行します。