Umgang mit einem URL-Miscategorization
Resolution
Übersicht
Die Palo Alto Networks Firewall kann den Zugriff auf eine URL blockieren, wenn Sie mit einer falschen Kategorie verbunden ist. Dies kann vorkommen, wenn die Informationen der Firewall nicht auf dem neuesten Stand sind.
Führen Sie Folgendes aus, um zu überprüfen, ob eine URL mit einer falschen Kategorie verbunden ist:
- Löschen Sie den URL-Cache des Daten Flugzeugs.
- Aktualisieren Sie die URL-Datenbank.
- Test URLs
Der Zweck dieses Dokuments ist es, zu beschreiben, wie URLs mit brightcloud, Pan-DB und direkt aus dem CLI getestet werden.
Details
Brightcloud
- Um zu testen, wie die Firewall die URL kategorisiert hat, verwenden Sie diesen Befehl:
> Test URL www.paloaltonetworks.com
www.paloaltonetworks.com Computer-und-Internet-Sicherheit (Base DB) - Vergleichen Sie diese Ausgabe mit der Ausgabe der brightcloud URL/IP Lookup- Seite.
Hinweis: Wenn die brightcloud-Ergebnisse unterschiedlich sind, laden Sie eine aktualisierte Datenbank mit dem UI auf der Seite des Geräts > Dynamic Updates herunter.
Wenn die URL -Ausgabe des Tests mit der brightcloud-URL/IP-Lookup-Seite übereinstimmt, dann ist die datenplane-Version der Basis- brightcloud-Datenbank korrupt, unvollständig oder falsch geworden. - Löschen Sie die geklaute Version aus dem Daten Flugzeug mit folgendem Befehl:
> Clear URL- Cache alle - Der nächste Versuch, eine Basisdatenbank-URL zu lösen, führt dazu, dass sich der Daten Flugzeug-Cache aus der Basisdatenbank, die auf der Managementebene vorhanden ist, wieder bevölkern.
Hinweis: Vergewissern Sie sich, dass Sie das neueste Update der brightcloud-Datenbank haben. - Wenn eine URL (s) in der Cloud dynamisch aufgelöst wurde und die Kategorie, die aus dem Daten Flugzeug-Cache gelöst wird, nicht mehr korrekt ist, löschen Sie die Einträge aus dem dynamischen Management-Flugzeug-Cache mit folgendem Befehl:
> Dynamic-URL-Hostname <url>Löschen </url>
Im nächsten Versuch, diese dynamische URL zu lösen, wird die Firewall die Kategorie über die brightcloud-Wolke auflösen, und das Ergebnis wird auf der Datenebene zwischengespeichert.
PAN-DB
Ein Abonnement der Pan-DB-URL-Kategorisierungs Datenbank bietet ein paar weitere Befehle, die helfen, Unterschiede aufzudecken und zu beheben. Die URL-Datenbank wird auf der Managementebene gespeichert und URL-Auflösungen werden auf dem Daten Flugzeug geklaut.
- Eine URL testen.
Die folgenden Test Befehle liefern Ergebnisse aus der URL-Datenbank in der Management-Ebene. Dieser erste Befehl kann alles sein, was Sie benötigen, um zu überprüfen, ob die URL-Datenbank die gleichen Informationen wie die Cloud hat:
> Test URL www.paloaltonetworks.com
www.paloaltonetworks.com Computer-und-Internet-Info (Base DB) läuft in 600 Sekunden
www.paloaltonetworks.com Computer-und-Internet-Info (Cloud DB)
Wenn die Basisdatenbank im Vergleich zur Cloud-Datenbank ein anderes (und falsches) Ergebnis hat, dann muss die Datenbank aktualisiert werden. Dies kann auf dem Web-UI unter Gerät > Dynamic Updates oder aus den CLI-Befehlen geschehen (im Abschnitt unten beschrieben).
Vergleichen Sie die obige Ausgabe mit dem, was in der Cloud bekannt ist, mit folgendem Befehl:
> Test URL-Info-Cloud www.paloaltonetworks.com
BM:
paloaltonetworks. com, 9, 5, Computer-und-Internet-Info
Webmail. paloaltonetworks. com, 1,5, Web-based-email
Der folgende Befehl kann detaillierte Informationen über eine URL aufdecken, die in der Verwaltungsebene zwischengespeichert wird:
> Test URL-Info-Host www.paloaltonetworks.com
Ahnen info:
paloaltonetworks. com, 1, 5, Computer-und-Internet-Info,,
BM:
paloaltonetworks. com, 1, 5, Computer-und-Internet-Info,,
Absteiger info:
Webmail. paloaltonetworks. com, 1,5, Web-based-email,,
- Löschen Sie den Daten Flugzeug-Cache.
Wenn der Test-URL-Befehl enthüllt, dass sich die Management-Ebene und die Cloud auf die korrekte Kategorisierung einigen, aber die URL wegen einer falschen Kategorisierung gesperrt wird, dann löschen Sie den Cache des Daten Flugzeugs dieser URL mit:
> Clear URL-Cache URL<URL></URL>
Alternativ kann der gesamte Cache gelöscht werden:
> Url-Cache löschen alle
Aktualisieren Sie die Pan-DB-URL-Datenbank aus dem CLI
Wenn der Test-URL- Befehl enthüllt hat, dass die Management-Ebene eine andere Kategorisierung als die Cloud für eine URL hat, dann muss entweder die spezifische URL oder die gesamte URL-Datenbank aktualisiert werden. Auch hier kann die Aktualisierung der gesamten Datenbank im UI unter Gerät > Dynamic Updates erfolgen.
Hinweis: dynamische Updates können und sollten geplant werden, um sicherzustellen, dass die Firewall die neuesten Informationen hat.
Befolgen Sie diese Anweisungen, um die Firewall für dynamische Updates aus dem CLI zu testen:
- Laden Sie die neueste Pan-DB-URL-Kategorisierungs Datenbank aus der Cloud mit diesem Befehl:
> Anfrage URL-Filterung Download paloaltonetworks Region <Region></Region> - Zeigen Sie den Status der Datenbank herunterladen
> Anfrage URL-Filterung Download Status Anbieter paloaltonetworks
Hinweis: die Datenbank ist nach dem Download einsatzbereit. Sie können Ihre Verbindung wieder an die URL ausprobieren, die früher gesperrt wurde.
Besitzer: Jjosephs