URL Nachschlagen von PAN-OS Releases

34079

Created On 04/21/20 08:03 AM - Last Modified 11/16/24 21:46 PM

Symptom

In diesem Artikel werden die Bedingungen beschrieben, unter denen URL die Suche durchgeführt wird. Wenn Pakete gelöscht werden und wenn eine Sitzung durchgelassen wird, auch wenn der PAN-DB Server nicht erreichbar ist.

Environment

Cause

URL Nachschlagen in PAN-OS 8.1

Wann wird eine URL Suche in die Cloud PAN-DB durchgeführt?

A Auf dem Gerät wurde eine gültige nicht abgelaufene PAN-DB URL Filterlizenz installiert
Wenn der Verkehr HTTP /HTTPS
Wenn der URL nicht im DP oder cache vorhanden ist MP
Wenn mindestens eine Sicherheit policy für die vsys, zu der dieser Datenverkehr gehört, eine Kategorie oder ein URL URL Sicherheitsprofil konfiguriert ist

Wenn eine policy URL aktivierte Filter- oder URL policy Sicherheitskonfiguration hat, wird die URL Suche aktiviert. Dies kann auch in Sitzungsinfos bestätigt werden: URL Filterung aktiviert : True

Wann werden Pakete während oder nach URL der Suche gelöscht und/oder Sitzungen verweigert?

Wenn sich URL Informationen im DP Cache befinden, werden die Kategorie und aktion der Sitzung während der Anforderung verarbeitet. GET
Wenn URL sich Informationen nicht im Cache DP befinden, wird die Clientanforderung, wenn Datenverkehr basierend auf anderen Parametern als der zulässig URL ist, GET durchlaufen, wenn wir auf die Informationen aus URL dem Cache oder der Cloud warten. MP
Wenn wir nicht in der Lage sind zu lernen oder wir sind ausstehend auf Ergebnisse der URL Kategorie(n):
- Pakete nach der ersten GET Anforderung (meist Serverantwortpaket) werden mit "url_request_pkt_drop" gelöscht, solange mindestens eine Sicherheit in der vsys vorhanden ist, für policy die eine zugeordnete Kategorie oder ein URL URL Sicherheitsprofil konfiguriert ist. Sobald die URL Kategorie bekannt ist, gehen wir zu Schritt 3 und machen eine policy Neubewertung.
- Wenn auf die Cloud PAN-DB vollständig nicht zugegriffen werden kann und der Eintrag nicht im Cache und in den URL Caches vorhanden MP DP URL ist, tritt nach 5 Sekunden eine Zeitnachweise für den Anforderungsvorgang auf, URL und die Kategorie wird auf URL "PAN_URL_CATEGORY_NOT_RESOLVED" festgelegt. Wir machen dann eine weitere policy Sicherheitsneubewertung mit der URL Kategorie "PAN_URL_CATEGORY_NOT_RESOLVED".

URL Nachschlagen in PAN-OS 9.0

Das Verhalten ist mit 8.1 identisch, PAN-OS mit Ausnahme der folgenden Änderungen:

A Neue Funktion, bei der "Clientanforderung für Kategoriesuche halten" aktiviert ist, senden wir die Anforderung des Clients erst dann, GET wenn die Suche nach URL Kategorisierung abgeschlossen ist
- Dies ist in 9.0 über CLI set deviceconfig Einstellung ctd hold-client-request konfigurierbar <yes o=""> </yes>
- Ab 9.1 kann der Kunde "Hold-Client-Anfrage" in UI

URL Nachschlagen in PAN-OS 9.1

Das Verhalten ist mit 9.0 identisch, PAN-OS mit Ausnahme der folgenden Änderungen:

Die Zeit, die wir warten, bis der URL Anforderungsvorgang abgeschlossen ist, beträgt jetzt standardmäßig 2 Sekunden statt 5 Sekunden.
Die "Hold Client Request for category lookup" ist GUI über ID die > Setup >