Firewall" ID 未知"用户的查询用户代理是否为"未知"用户？
19444
Created On 03/30/19 02:44 AM - Last Modified 04/19/24 19:51 PM
Question
下一代是否 firewall ID 查询"未知"用户的用户代理？
Environment
- 帕洛阿尔托 Firewall .
- PAN-OS 低于10.0。
- ID用户配置从用户代理获取映射 ID
Answer
用户 ID 代理将与 firewall 任何新的用户 ID 映射通信，并且（默认情况下） firewall 将查询用户 ID 代理，以查看 IP 用户映射为"未知"的区域中已启用用户的任何地址 ID 。
默认行为是从用户代理查询未知用户 ID 。 使用以下命令可以找到该设置。
admin@PA > show system state | match query
cfg.useridd.query-unknown-ip: 1
此行为是可配置的。要禁用下一代 firewall 查询用户 ID 代理，请使用以下命令：
admin@PA > debug user-id query-unknown-ip off
cfg.useridd.query-unknown-ip: 0
Additional Information
详细信息记录在 PAN-OS 10.0 发布说明中，如下所示。
- 以前，如果 User- ID 无法从现有映射中识别用户，它将向所有用户代理发送更新用户映射的查询 ID ，如果更新之间的时间间隔较长，则该查询很有用。 现在，代理将映射更新发送到 firewall 或实时发送， Panorama 因此无需发送新映射的查询。