GlobalProtect客户端和修补程序管理的臀部配置匹配配置

此配置的目的是允许 GlobalProtect 连接的用户访问网络，基于他们是否在其 Windows 主机上安装了所有修补程序。 臀部配置文件与允许访问的安全性相关联 policy ，任何缺失的修补程序将导致拒绝访问。

注意： 示例配置创建 2 个臀部对象，第一个对象将寻找大于零的补丁严重性级别。 第二个查找严重性级别为零。 这两个髋关节的对象是一个单一的髋关节轮廓与 ' 和 ' 和 ' 不 ' 条件为每个髋关节对象。

• HIP通过 CLI

> configure

# set vsys vsys1 rulebase security rules Trust-Intrust-PING-Allow hip-profiles hip-prof-1
# set vsys vsys1 rulebase security rules Trust-Intrust-PING-Deny hip-profiles any
# set vsys vsys1 profiles hip-objects hip-obj-sev-over-0 patch-management criteria missing-patches check has-none
# set vsys vsys1 profiles hip-objects hip-obj-sev-over-0 patch-management criteria missing-patches severity greater-than 0
# set vsys vsys1 profiles hip-objects hip-obj-sev-over-0 patch-management criteria is-installed yes
# set vsys vsys1 profiles hip-objects hip-obj-sev-over-0 patch-management exclude-vendor no
# set vsys vsys1 profiles hip-objects hip-obj-sev-0 patch-management criteria missing-patches check has-none
# set vsys vsys1 profiles hip-objects hip-obj-sev-0 patch-management criteria missing-patches severity is 0
# set vsys vsys1 profiles hip-objects hip-obj-sev-0 patch-management criteria is-installed yes
# set vsys vsys1 profiles hip-objects hip-obj-sev-0 patch-management exclude-vendor no
# set vsys vsys1 profiles hip-profiles hip-prof-1 match 'not "hip-obj-sev-over-0" and not "hip-obj-sev-0"'

• HIP通过 CLI

1. 通过导航到对象>>对象创建第一个臀部 GlobalProtect HIP 对象>选择"添加"

2. 为 "补丁管理" 选项卡定义严重程度大于零的参数，并在 OK 完成后选择

3. 通过选择"添加"创建第二个臀部对象

4. 为"修补程序管理"选项卡定义严重性级别等于零的参数

5. 将 2 个臀部对象与单个臀部配置文件关联 AND NOT 为"条件"，通过导航到对象 GlobalProtect >> HIP 配置文件>选择"添加"

注意：如果您希望忽略严重级别为零的补丁，请勿在臀部轮廓中包含名为"hip-obj-sev-0"的臀部对象。

6. 创建一个安全- policy 允许访问。

7. 将单个臀部轮廓与安全性联系起来 policy 。

• 可能的故障排除想法：

1. 查看 WebUI 中的臀部匹配日志，并确定匹配哪些臀部对象
2. 检查每个匹配的臀部对象的属性, 以确定准确性。

• 移动到调试命令:

> debug user-id dump hip-profile-database entry
> debug user-id dump hip-report computer <computer-name> ip <global-protect-assigned-ip> user <username>

• 为了获得更大的可见性，可以通过下面的命令启用臀部试试 CLI 。 这些消息将被打印到 "useridd.log" 文件中。

> debug user-id set hip all
> debug user-id on debug
> tail follow yes mp-log useridd.log

注意：下面的示例显示了用户 idd 中臀部.log。 在初始评估后, 在 22:11:55.219,<hip-notification>消息被发送到客户端, 反映匹配.</hip-notification>

2016-03-01 22:11:55.219 -0800 debug: pan_hip_obj_evaluate_report(pan_hip_obj.c:3121): evaluating obj 'hip-obj-sev-over-0' for report 'TEMPLATE-PC'
2016-03-01 22:11:55.219 -0800 debug: pan_hip_obj_category_evaluate_report_xml(pan_hip_obj.c:2581): validating category 'patch-management' from report 'TEMPLATE-PC'
2016-03-01 22:11:55.219 -0800 debug: pan_hip_obj_category_evaluate_node(pan_hip_obj.c:2548): match 0 check is not passed
2016-03-01 22:11:55.219 -0800 debug: pan_hip_obj_simple_evaluate_report(pan_hip_obj.c:3095): category 'patch-management' evaluate failed for 'TEMPLATE-PC'
2016-03-01 22:11:55.219 -0800 debug: pan_hip_obj_evaluate_report(pan_hip_obj.c:3132): obj 'hip-obj-sev-over-0' for report 'TEMPLATE-PC' evaluated : 0
2016-03-01 22:11:55.219 -0800 debug: pan_hip_evaluate_report(pan_hip.c:1255): customer report evaluation : 0x2
2016-03-01 22:11:55.219 -0800 debug: pan_hip_evaluate_report(pan_hip.c:1276): for hip report 'TEMPLATE-PC', notification: <hip-notification>
       <entry name="hip-prof-1"><value>1</value><message>&lt;b&gt;​HIP MATCHES !!!!!!&lt;/b&gt;</message><show-notification-as>pop-up-message</show-notification-as></entry>
2016-03-01 22:11:55.219 -0800 debug: pan_hip_evaluate_report(pan_hip.c:1291): for hip report 'TEMPLATE-PC', notification: <hip-notification>
       <entry name="hip-prof-1"><value>1</value><message>&lt;b&gt;​HIP MATCHES !!!!!!&lt;/b&gt;</message><show-notification-as>pop-up-message</show-notification-as></entry>