Lorsque des objets génériques sont utilisés, le trafic ne correspond pas à la politique, règle, mesures appropriée.

Le trafic ne suit pas la règle attendue avec l'objet générique.

Étant donné la configuration ci-dessous :

Le trafic provenant de 10.128.0.1 correspond aux 3 objets génériques, cependant, il est traité par la règle C.

admin@NGFW> test security-policy-match from Trust to Untrust source 10.128.0.1 destination 8.8.8.8 destination-port 80 protocol 6

"Rule C; index: 3" {
        from any;
        source none;
        source-region none;
        to any;
        destination any;
        destination-region none;
        user any;
        source-device any;
        destination-device any;
        category any;
        application/service 0:any/any/any/app-default;
        action allow;
        icmp-unreachable: no
        terminal yes;
}

• Pare-feu Palo Alto
• Système d'exploitation PAN pris en charge
• Objet générique

• En cas de chevauchement d'objets génériques, l'adresse est comparée au masque générique de préfixe le plus long (voir informations supplémentaires).
• Dans cet exemple,
  • Pour l' adresse IP 10.128.0.1.
  • La feuille correspondante est 10.128.0.1/12 (/12 est plus long que /9).
  • L' adresse IP est ensuite comparée au caractère générique 10.128.0.1-0.15.255.0 qui est utilisé dans la règle C.

1. Déplacez les règles dans le bon ordre pour obtenir les résultats escomptés
2. Voir le calcul de l'exemple ci-dessus ci-dessous
   1. Pour l’exemple ci-dessus, examinez les objets génériques afin que la correspondance de longueur de préfixe soit neutralisée (étape 1).

Pour l' adresse IP 10.128.0.1.
Étant donné que 10.128.0.1 correspond à la feuille 10.128.0.1/12, les autres objets génériques doivent être modifiés pour générer des préfixes /12.

L'objet wildcard-10.128.0.1-0.127.0.0 - 10.128.0.1/0.127.0.0 doit être décomposé dans le caractère générique comme ci-dessous.

• 10.128.0.1/0.15.0.0
• 10.144.0.1/0.15.0.0
• 10.160.0.1/0.15.0.0
• 10.176.0.1/0.15.0.0
• 10.192.0.1/0.15.0.0
• 10.208.0.1/0.15.0.0
• 10.224.0.1/0.15.0.0
• 10.240.0.1/0.15.0.0

Après le changement, la règle correspond comme prévu

admin@NGFW> test security-policy-match from Trust to Untrust source 10.128.0.1 destination 8.8.8.8 destination-port 80 protocol 6

"Rule A; index: 1" {
        from any;
        source none;
        source-region none;
        to any;
        destination any;
        destination-region none;
        user any;
        source-device any;
        destination-device any;
        category any;
        application/service 0:any/any/any/app-default;
        action allow;
        icmp-unreachable: no
        terminal yes;
}

1. Correspondance de longueur de préfixe
   À cette étape, pour une adresse donnée, le système recherchera la correspondance de préfixe la plus longue sur la structure de données pour obtenir la liste des objets génériques.
2. Correspondance d'objet générique associé
   À cette étape, pour une adresse donnée, le système vérifiera la correspondance avec les objets génériques associés.