sexta-feira, 15 de novembro de 2019

Palo Alto - Firewall - Troubleshooting de Alta Disponibilidade (High Availability)

Verificar status do serviço de alta disponibilidade
 
 > show high-availability state




Verificar informações do serviço de alta disponibilidade
 
 > show high-availability all




Verificar informações de sincronismo entre os appliances

  > show high-availability state-synchronization



Verificar informações de interface do serviço de alta disponibilidade

 > show high-availability interface [ha1 | ha1-backup | ha2 | ha2-backup]



Verificar estatísticas do control-link (HA1)

 > show high-availability control-link statistics

Links HA1 são utilizados para troca de hellos, heartbeats, informações de HA e User-ID e syncronismos do management plane e da configuração dos peers.


Verificar status do Link Monitoring

 > show high-availability link-monitoring

Link monitoring permite o acionamento do failover quando ocorre uma queda em um link ou grupo de links.


Verificar estatísticas do Path Monitoring

 > show high-availability path-monitoring

Path-monitoring verifica a conectividade de rede e o estado do link para um endereço IP ou grupo de endereços IP.


Verificar as configurações do serviço de alta disponibilidade

 # show deviceconfig high-availability



Alterar o estado HA do firewall para ativo

 > request high-availability state functional



Alterar o estado HA do firewall para passivo

 > request high-availability state suspend



Definir o estado HA do firewall peer (Firewall integrante do HA)

 > request high-availability state peer [functional | suspend]


________________________________________________
As informações contidas acima foram baseadas em documentos publicados pela Palo Alto Networks e obtidas através da experiência com o equipamento. Os comandos utilizados são referentes a versão PAN-OS 8.1.5.

sábado, 9 de novembro de 2019

Palo Alto - Firewall - Verificar sessões ativas no sistema

Verificar informações e estatísticas das conexões de rede
 
 > show netstat




Verificar número de sessões ativas
 
 > show resource limit session




Verificar estatísticas de sessões ativas (Packet, Throughput, TCP, UDP, ICMP)

  > show system statistics session



Verificar status de sessões ativas (Tabela de Sessão)

 > show session all



Verificar informações e estatísticas de sessão (TCP, UDP, ICMP, etc)

 > show session info



Verificar informações detalhadas de sessão (Sessão específica)

 > show session id <id da sessão>



Visualizar estatística das aplicações em uso

 > show running application statistics



Visualizar pool de NATs (Network Address Translation) ativos

 > show running ippool


________________________________________________
As informações contidas acima foram baseadas em documentos publicados pela Palo Alto Networks e obtidas através da experiência com o equipamento. Os comandos utilizados são referentes a versão PAN-OS 8.1.5.

sexta-feira, 7 de junho de 2019

Palo Alto - Firewall - Troubleshooting de Redes

Verificar status das interfaces

 > show interface hardware



Verificar informação das interfaces

 > show interface all



Verificar endereçamento IP das interfaces

 > show interface all | match vr:



Verificar tabela ARP

 > show arp all



Visualizar pool de NATs (Network Address Translation) ativos

 > show running ippool



Verificar as configurações de NAT

 > show running nat-policy

  ou

 > show running nat-policy-addresses



Verificar informações de link aggregate

 > show lacp aggregate-ethernet
 


Visualizar tabela de roteamento (RIB)

 > show routing route



Verificar tabela FIB (Forwarding Information Base)

 > show routing fib



Verificar informações de protocolos de roteamento (BGP, OSPF, RIP)

 > show routing protocol [BGP | OSPF | RIP] summary



Verificar informações de roteamento definidas para o ECMP (Equal Cost Multiple Path)

 > show routing route ecmp yes

ECMP é um recurso de rede que permite ao firewall fazer um balanceamento de links utilizando até quatro rotas de custo igual para o mesmo destino.


Verificar informações de roteamento (Resumo)

 > show routing summary



Verificar informações de monitoramento de rotas (Path-Monitor)
 
 > show routing path-monitor




Verificar informações do BFD (Bidirectional Forwarding Detection)

 > show routing bfd summary

BFD é um protocolo que reconhece uma falha no caminho bidirecional entre dois mecanismos de encaminhamento conectados por um link. Quando o BFD detecta uma falha ele notifica o protocolo de roteamento para mudar fluxo de comunicação para um caminho alternativo.


Verificar regras de PBF (Policy-Based Forwarding) OK

 > show pbf rule all

O PBF permite que você especifique uma interface de saída para um determinado tráfego sobrescrevendo a tabela de roteamento. São utilizados parâmetros específicos como endereço IP de origem ou destino ou o tipo de tráfego.


Verificar estatísticas de sessões ativas no firewall (Packet, Throughput, TCP, UDP,ICMP)

  > show system statistics session



Verificar número de sessões ativas
 
 > show resource limit session




Verificar status de sessões ativas

 > show session all



Realizar teste de conectividade através de ping

 > ping source <endereço IP do firewall> host <endereço de destino>



Realizar teste de conectividade através de traceroute

 > traceroute source <endereço IP do firewall> host <endereço de destino>



Realizar teste de resolução DNS

 > request resolve address <URL>


________________________________________________
As informações contidas acima foram baseadas em documentos publicados pela Palo Alto Networks e obtidas através da experiência com o equipamento. Os comandos utilizados são referentes a versão PAN-OS 8.1.5.

sábado, 20 de abril de 2019

Cisco Nexus - Upgrade de Software

O software Cisco NX-OS consiste de dois componentes: o kickstart e a imagem do sistema. A imagem do sistema inclui o software para o dispositivo Cisco Nexus (switch) e as Fabric Extenders (FEXs) conectadas ao switch.

O NX-OS oferece suporte ao in-service software upgrades (ISSUs) que permite que o dispositivo Cisco Nexus e todas as FEXs sejam atualizados sem qualquer interrupção de tráfego (Data Plane). A atualização causa um leve interrupção no control plane, porém o data plane continuará encaminhando pacotes sem a interrupção do serviço.

Antes de iniciar a atualização do seu dispositivo Cisco Nexus é recomendado a leitura do release notes da nova versão. Nesse documento você encontrará os pré-requisitos e os procedimentos para a atualização do seu equipamento além de informar as correções e melhorias implantadas. O release traz também o caminho necessário para alcançar a versão de software que você escolheu. Em alguns casos não é possível dar saltos muito grandes entre versões pois pode acarretar na perda da configuração do switch.

Para que a atualização seja realizada sem interrupção do serviço, utilizando o processo ISSUs, é necessário que algumas condições sejam atendidas: A rede precisa ser estável, a topologia da camada de acesso deve ser compatível com ISSU e as versões de software atual e nova devem ser compatíveis com ISSU.

O exemplo indicado abaixo é de uma atualização do switch Cisco Nexus modelo 5596 da versão 7.1(4)N1(1) para a versão 7.3(3)N1(1).


Pré-Atividades

1 -  Faça o download da nova imagem (kickstart e system software) acessando a área Software Download Center em www.cisco.com.

2 - Verifique se há espaço suficiente para os arquivos na bootflash;
# dir bootflash

Se você precisar de mais espaço é possível deletar versões de software mais antigas com o comando:
delete bootflash: n500-xxxxxx.bin

3 - Transfira os arquivos de imagem para o dispositivo (kickstart e system software)
É possível utilizar os protocolos scp, ftp, sftp e tftp.

copy sftp:n5000-uk9.7.3.3.N1.1.bin  bootflash:n5000-uk9.7.3.3.N1.1.bin
copy sftp:n5000-uk9-kickstart.7.3.3.N1.1.bin bootflash:n5000-uk9-kickstart.7.3.3.N1.1.bin


Testes de Compatibilidade

1 - Realize os testes para verificar os possíveis impactos com o novo sistema
show install all impact kickstart bootflash:n5000-uk9-kickstart.7.3.3.N1.1.bin system bootflash:n5000-uk9.7.3.3.N1.1.bin
Serão realizados testes de integridade e compatibilidade dos arquivos.

2 - Realize os testes para verificar as possíveis incompatibilidades de configuração com o novo sistema

show incompatibility system bootflash:n5000-uk9.7.3.3.N1.1.bin

3 - Verifique o status do sistema
- Status das FEXs: show fex
- Status do Spanning-Tree: show spanning-tree issu-impact
- Status das interfaces agregadas/channel: show lacp issu-impact

4 - Verifique se não há sessões de configurações ativas.
show configuration session summary
A Cisco recomenda que você salve, confirme ou descarte qualquer sessão de configuração ativa antes de atualizar o Cisco NX-OS, pois estas serão excluídas sem aviso durante um recarregamento. 


Atualização

- Verifique o status do vPC para identificar a função de cada switch
show vpc role

- Instalação das novas imagens no sistema
install all kickstart bootflash:n5000-uk9-kickstart.7.3.3.N1.1.bin system bootflash:n5000-uk9.7.3.3.N1.1.bin
Será realizada uma nova bateria de teste e no final será solicitada uma confirmação para instalação.


Comandos para verificação do sistema

- Verificar o status das FEXs
show fex

- Verificar status da instalação
show install all status

- Verificar se houve falha na instalação
 show install all failure-reason

- Verificar os logs relacionados a última instalação
show system internal log install details

- Verificar os logs relacionados as últimas cinco instalações
show system internal log install history

- Exibir as informações de configuração e de sistema caso precise relatar algum problema para a Cisco
show tech-support 

                                                     ________________________________________________
As informações contidas acima foram baseadas em documentos da Cisco referentes ao switch Cisco Nexus 5596 e as versões de software 7.1(4)N1(1) e 7.3(3)N1(1) .  

quarta-feira, 30 de janeiro de 2019

Palo Alto - Firewall - Verificação de status da interface de gerência

Verificar as configurações da interface de gerência
 
 # show deviceconfig




Verificar informações da interface de gerência
 
 > show interface management




Visualizar serviços ativos na interface de gerência

  > show system services



Verificar informações definidas para a CLI

 > show cli info



Verificar timeout de sessão da CLI

 > show cli idle-timeout



Verificar permissões definidas para a CLI

 > show cli permissions



Verificar tabela ARP

 > show arp management


________________________________________________
As informações contidas acima foram baseadas em documentos publicados pela Palo Alto Networks e obtidas através da experiência com o equipamento. Os comandos utilizados são referentes a versão PAN-OS 8.1.5.

sexta-feira, 25 de janeiro de 2019

Palo Alto - Firewall - Configuração da interface de gerência

Definir endereçamento IP para a interface de gerência (MGT)

 # set deviceconfig system ip-address <endereço IP> <máscara de rede>



Definir default-gateway para a interface de gerência (MGT)

 # set deviceconfig system default-gateway <endereço IP do gateway>



Definir servidor DNS para a interface de gerência (MGT)

 # set deviceconfig system dns-setting servers primary <endereço IP do DNS>



Restringir acesso a gerência do firewall

 # set deviceconfig system permitted-ip <endereço IP/máscara de rede>



Permitir acesso HTTP a interface de gerência

 # set deviceconfig system service disable-http no



Permitir acesso HTTPS a interface de gerência

 # set deviceconfig system service disable-https no



________________________________________________
As informações contidas acima foram baseadas em documentos publicados pela Palo Alto Networks e obtidas através da experiência com o equipamento. Os comandos utilizados são referentes a versão PAN-OS 8.1.5.

quinta-feira, 17 de janeiro de 2019

Palo Alto - Firewall - Comandos básicos para verificação de rede

Verificar status das interfaces

 > show interface hardware



Verificar informação das interfaces

 > show interface all



Verificar informação da interface de gerência

 > show interface management



Verificar informações de link aggregate

 > show lacp aggregate-ethernet
 


Verificar informações de VLAN

 > show vlan all



Visualizar tabela ARP

 > show arp all



Visualizar pool de NATs (Network Address Translation) ativos

 > show running ippool



Visualizar tabela de roteamento (RIB)

 > show routing route



Verificar tabela FIB (Forwarding Information Base)

 > show routing fib



Verificar número de sessões ativas
 
 > show resource limit session




Realizar teste de conectividade através de ping

 > ping source <endereço IP do firewall> host <endereço de destino>



Realizar teste de conectividade através de traceroute

 > traceroute source <endereço IP do firewall> host <endereço de destino>


________________________________________________
As informações contidas acima foram baseadas em documentos publicados pela Palo Alto Networks e obtidas através da experiência com o equipamento. Os comandos utilizados são referentes a versão PAN-OS 8.1.5.