# Palo Alto

# Flytt av nät eller routing

När man behöver flytta ett nät eller en rutt har jag stött på patrull, trots att man har gjort rätt enligt konstens alla regler (dvs regelverk och routing stämmer).

I mitt fall så såg jag inte all trafik jag förväntade mig i ett brandväggspar, i det andra såg jag bara trafik från en riktning och de sessionerna blev incomplete. När jag gjorde en packet capture direkt på klustret så syndes dock trafiken. I det här scenariot var det GRE-trafik det handlade om, men jag har stött på det med TCP tidigare.

Det berodde på att en gammal session låg kvar i brandväggsklustret som var knutet mot det gamla interfacet. Jag var tvungen att hitta sessions ID:t i CLI och döda sessionen.

# AUX-Portar för HA-kommunikation på 5000-serien

Följer man det här [dokumentet](https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000CmUxCAK) korrekt så kommer man inte ha några problem.

Men glömmer man att aktivera ICMP på interfacen så kan det fungera tills det inte gör det. Jag var med om en uppsättning 5250-brandväggar som det inte var aktiverat på. Enda fram till uppgradering till 10.2.13-h3, vid första försöket, och 11.1.6-h10 vid andra försöket. 10.2.10-h9 var sista det fungerade på.

När den patchade brandväggen blev online gick de fysiska interfacen upp men brandväggarna såg inte varandra, vilket ledde till ett Active/Active / split-brain-scenario.

Efter ICMP aktiverades på interfacen fungerade det igen. Så trots att det alltid har varit ett krav har det lirat 9.x, 10.0.x, 10.1.x och delar av 10.2.x... tills det inte längre lirade.

# Packet Capture

## Multicast

Gör man en klassisk packet capture via Monitor -> Packet Capture så kan man inte kolla efter source IP, för då matchar man inte IGMP join paketen. Istället bör man kolla efter destination, ex. 224.0.0.22.

# BGP

Kommandona nedan kan behöva bytas till advanced-routing och logical-router, om man kör det läget.

To restart/refresh BGP sessions, run the following commands:

- For self initiation: <span style="font-family: courier new, courier;">&gt; test routing bgp virtual-router default restart self </span> (for restarting BGP connections)
    
    <span style="font-family: courier new, courier;">&gt; test routing bgp virtual-router default refresh self </span> (for refreshing BGP connections)
- From Peer side: <span style="font-family: courier new, courier;">&gt; test routing bgp virtual-router default restart peer &lt;BGP peer&gt;</span> (for restarting BGP connections)
    
    <span style="font-family: courier new, courier;">&gt; test routing bgp virtual-router default refresh peer &lt;BGP peer&gt;</span> (for refreshing BGP connections)

# Epost från Panorama vid misslyckad commit

Väldigt bra att bli notifierad om en commit misslyckas.

Jag konfigurerade enligt [den här reddit-tråden](https://www.reddit.com/r/paloaltonetworks/comments/lmveo9/commit_failure_emails_how/gnxpc44/) för att få epost när commit misslyckas till en brandvägg som hanteras via Panorama.

```
In the Collector Group > Collector Log Forwarding > System Tab.
Created a filter to email to my team. Filter : ( description contains 'CommitAll job failed' )
```

​För att hantera commits som misslyckas direkt i Panorama gäller nog nedan:

```
go to panorama tab > log settings > system > Add

Set the relevant filter which catches failed commits - you'll have to double check but it may be something like ( description contains 'CommitAll job failed' ). Try by yourself in monitor > system tab until you find the right filter.

Finally, set the email profile to use (you may have to create one, specifying your SMTP relay and other details).
```

# Session-konfiguration

Device &gt; Setup &gt; Session

Rematch session vill man ha aktiverat. Annars så slår inte regelverksförändringar på etablerade sessioner. Det är inte produktionsstörande att aktivera.

# SNMP

Man kan antingen köra SNMPv2 eller SNMPv3, inte båda samtidigt.

# Multicast

Den här artikeln är skriven enligt att advanced routing är aktiverat.

## Skillnader legacy routing / advanced routing

I ett långt supportärende om SSM fick vi till slut följande information av PA TAC:

*After Analyzing the Pcaps we can see the packets are coming with any source.*   
*Since we are using Dynamic IGMP, source IP must be included in the Packet for Firewall to Process further so that it's FIB can be populated*

*For Static IGMP, we are specifying Source in Firewall configuration itself so that if IGMP packets come from that particular source will be allowed*  
*While Dynamic IGMP has an option to add Filters, those are basically like access list which either allows or denies the traffic but it will not be enforced as Source*

*Why it is working on Legacy Routing but not Adv. Routing?*   
*==&gt; Legacy routing is relaxed compared to Adv. Routing which is much more strict and in compliance with RFC.*

M.a.o., IGMPv3 Membership Reports behöver en source IP och kan inte använda sig av ASM. Advanced routing generellt följer tydligen RFCerna bättre.

## IGMP

### IGMP Static Join

Konfigurerar man ett static join värde under Logical Router -&gt; LR-namn -&gt; Multicast -&gt; IGMP -&gt; Static så skickas automatiskt ett PIM Join-meddelande uppströms. I konfigurationen behövs ett namn, ett interface med en lyssnare (mot receiver), en grupp-adress och en source-adress. Source-adressen måste vara en /32.

<div class="AutoHeight" id="bkmrk-" style="transition-property: height; transition-duration: 250ms; transition-timing-function: ease; width: 100%; height: auto; overflow: visible;"><div><div class="post-message post-message--collapsed"><div class="post-message__text-container" style="max-height: 600px;"><div class="post-message__text" dir="auto" id="bkmrk--1"></div></div></div></div></div>

# System-loggar i CLI

Det kan vara segt att ta fram system-loggar. Med kommandot nedan kan man hitta relevanta loggar i CLI istället:

`show log system object equal ethernet1/23`

ethernet1/23 byts ut till det man letar efter.

Vill man se dagens loggar måste man ange start-time, annars får man se ALLA loggar: `show log system start-time equal 2025/12/19@06:00:00`

# tcpdump management-interface

<div id="bkmrk-det-g%C3%A5r-att-g%C3%B6ra-tcp"><div>Det går att göra tcpdump för management-interfacet. Se artikel här: https://docs.paloaltonetworks.com/ngfw/administration/monitoring/take-packet-captures/take-a-packet-capture-on-the-management-interface</div>  
<div>Vid felsökning neighbor solicitation/advertisement på Panorama har följande använts:</div>  
<div>- tcpdump filter "ip6 and icmp6" = Starta insamling med listat filter</div><div>- view-pcap mgmt-pcap mgmt.pcap = Se filen. Filen skrivs över varje gång man startar en insamling med ovan kommando</div></div>