Bei der Verwendung von Wildcard-Objekten entspricht der Datenverkehr nicht der richtigen Richtlinie.

Der Datenverkehr übernimmt nicht die erwartete Regel mit Platzhalterobjekt.

Gegeben sei die folgende Konfiguration :

Der Datenverkehr von 10.128.0.1 stimmt mit den 3 Platzhalterobjekten überein, wird jedoch nach Regel C verarbeitet.

admin@NGFW> test security-policy-match from Trust to Untrust source 10.128.0.1 destination 8.8.8.8 destination-port 80 protocol 6

"Rule C; index: 3" {
        from any;
        source none;
        source-region none;
        to any;
        destination any;
        destination-region none;
        user any;
        source-device any;
        destination-device any;
        category any;
        application/service 0:any/any/any/app-default;
        action allow;
        icmp-unreachable: no
        terminal yes;
}

• Palo Alto-Firewalls
• Unterstützte PAN-OS
• Platzhalterobjekt

• Bei überlappenden Wildcard-Objekten wird die Adresse mit der längsten Präfix-Wildcard-Maske abgeglichen (siehe Zusatzinformationen).
• In diesem Beispiel
  • Für die IP-Adresse 10.128.0.1.
  • Das übereinstimmende Blatt ist 10.128.0.1/12 (/12 ist länger als /9).
  • Anschließend wird die IP-Adresse mit dem Platzhalter 10.128.0.1-0.15.255.0 abgeglichen, der in Regel C verwendet wird.

1. Verschieben Sie die Regeln in die richtige Reihenfolge, um die gewünschten Ergebnisse zu erzielen
2. Die Berechnung für das obige Beispiel finden Sie weiter unten.
   1. Überprüfen Sie für das obige Beispiel die Platzhalterobjekte, sodass die Übereinstimmung der Präfixlänge neutralisiert wird (Schritt 1).

Für die IP-Adresse 10.128.0.1.
Da 10.128.0.1 mit dem Blatt 10.128.0.1/12 übereinstimmt, müssen die anderen Platzhalterobjekte bearbeitet werden, um /12-Präfixe zu erhalten.

Das Objekt wildcard-10.128.0.1-0.127.0.0 – 10.128.0.1/0.127.0.0 muss wie unten in den Platzhalter zerlegt werden.

• 10.128.0.1/0.15.0.0
• 10.144.0.1/0.15.0.0
• 10.160.0.1/0.15.0.0
• 10.176.0.1/0.15.0.0
• 10.192.0.1/0.15.0.0
• 10.208.0.1/0.15.0.0
• 10.224.0.1/0.15.0.0
• 10.240.0.1/0.15.0.0

Nach der Änderung wird die Regel wie erwartet erfüllt

admin@NGFW> test security-policy-match from Trust to Untrust source 10.128.0.1 destination 8.8.8.8 destination-port 80 protocol 6

"Rule A; index: 1" {
        from any;
        source none;
        source-region none;
        to any;
        destination any;
        destination-region none;
        user any;
        source-device any;
        destination-device any;
        category any;
        application/service 0:any/any/any/app-default;
        action allow;
        icmp-unreachable: no
        terminal yes;
}

1. Übereinstimmung der Präfixlänge
   In dieser Phase sucht das System für eine bestimmte Adresse nach der längsten Präfixübereinstimmung in der Datenstruktur, um die Liste der Platzhalterobjekte zu erhalten.
2. Zugehörige Platzhalterobjektübereinstimmung
   In dieser Phase überprüft das System für eine bestimmte Adresse die Übereinstimmung mit den zugehörigen Platzhalterobjekten.