Cuando se utilizan objetos comodín, el tráfico no coincide con la política correcta.

El tráfico no está tomando la regla esperada con el objeto comodín.

Dada la siguiente configuración :

El tráfico de 10.128.0.1 coincide con los 3 objetos comodín, sin embargo, lo procesa la regla C.

admin@NGFW> test security-policy-match from Trust to Untrust source 10.128.0.1 destination 8.8.8.8 destination-port 80 protocol 6

"Rule C; index: 3" {
        from any;
        source none;
        source-region none;
        to any;
        destination any;
        destination-region none;
        user any;
        source-device any;
        destination-device any;
        category any;
        application/service 0:any/any/any/app-default;
        action allow;
        icmp-unreachable: no
        terminal yes;
}

• Cortafuegos de Palo Alto
• Sistema operativo PAN compatible
• Objeto comodín

• En el caso de objetos comodín superpuestos, la dirección se compara con la máscara comodín de prefijo más larga (consulte información adicional).
• En este ejemplo,
  • Para la Dirección IP 10.128.0.1.
  • La hoja coincidente es 10.128.0.1/12 (/12 es más largo que /9).
  • Luego, la Dirección IP se compara con el comodín 10.128.0.1-0.15.255.0 que se utiliza en la Regla C.

1. Cambie las reglas en el orden correcto para obtener los resultados previstos
2. Vea el cálculo para el ejemplo anterior a continuación.
   1. Para el ejemplo anterior, revise los objetos comodín para que se neutralice la coincidencia de longitud del prefijo (paso 1).

Para la Dirección IP 10.128.0.1.
Debido a que 10.128.0.1 coincide con la hoja 10.128.0.1/12, los demás objetos comodín deben editarse para generar prefijos /12.

El objeto comodín-10.128.0.1-0.127.0.0 - 10.128.0.1/0.127.0.0 debe descomponerse en el comodín como se muestra a continuación.

• 10.128.0.1/0.15.0.0
• 10.144.0.1/0.15.0.0
• 10.160.0.1/0.15.0.0
• 10.176.0.1/0.15.0.0
• 10.192.0.1/0.15.0.0
• 10.208.0.1/0.15.0.0
• 10.224.0.1/0.15.0.0
• 10.240.0.1/0.15.0.0

Después del cambio, la regla coincide como se esperaba.

admin@NGFW> test security-policy-match from Trust to Untrust source 10.128.0.1 destination 8.8.8.8 destination-port 80 protocol 6

"Rule A; index: 1" {
        from any;
        source none;
        source-region none;
        to any;
        destination any;
        destination-region none;
        user any;
        source-device any;
        destination-device any;
        category any;
        application/service 0:any/any/any/app-default;
        action allow;
        icmp-unreachable: no
        terminal yes;
}

1. Coincidencia de longitud de prefijo
   En esta etapa, para una dirección determinada, el sistema buscará la coincidencia de prefijo más larga en la Estructura de Datos para obtener la lista de objetos comodín.
2. Coincidencia de objetos comodín asociados
   En esta etapa, para una dirección determinada, el sistema verificará la coincidencia con los objetos comodín asociados.