Cem Kemal Erbaş Network, Siber Güvenlik ve Teknik Rehberler
Palo Alto üzerinde en kafa karıştıran troubleshooting senaryolarından biri:
✅ Rule match oluyor
✅ Action = Allow
❌ Trafik çalışmıyor
Çünkü Security Policy üzerinde Allow görmek, paketin hiçbir başka kontrolden geçmeden başarıyla hedefe ulaşacağı anlamına gelmez.
Ben şu sırayla ilerliyorum:
1. Doğru Security Rule mu Match Oluyor?
PAN-OS Security Policy kuralları yukarıdan aşağıya değerlendirilir ve ilk eşleşen kural uygulanır. Bu nedenle daha yukarıdaki genel bir kural, aşağıdaki daha spesifik kuralı gölgeleyebilir.
Bu yüzden yalnızca Allow görmek yerine Traffic Log’daki gerçek Rule alanını kontrol etmek gerekir.
2. Application ve Service Uyuşuyor mu?
Örneğin:
Application : ssl
Service : application-defaultapplication-default, uygulamanın Palo Alto tarafından tanımlanmış standart port/protokollerinde çalışmasına izin verir. Uygulama standart dışı bir port kullanıyorsa rule Allow olsa bile trafik engellenebilir.
Dolayısıyla:
Application doğru mu? → Destination Port doğru mu? → Service bunu izinli kabul ediyor mu?
birlikte kontrol edilmelidir.
3. Security Profile Trafiği Durduruyor Olabilir
Security Policy:
Action: Allowolabilir.
Ancak rule’a bağlı Antivirus, Anti-Spyware, Vulnerability Protection, URL Filtering veya File Blocking profilleri allowed trafiği ayrıca inceleyebilir.
Threat tespit edildiğinde profile bağlı olarak trafik:
Drop → Reset Client → Reset Server → Reset Both
aksiyonlarından biriyle sonlandırılabilir.
Yani:
Policy Allow ≠ Threat Allow
Bu nedenle Traffic Log yanında Threat Log da mutlaka kontrol edilmelidir.
4. NAT ve Routing
Policy doğru olsa bile trafik yanlış NAT veya route nedeniyle çalışmayabilir.
Kontrol edilmesi gereken temel zincir:
NAT Rule → Route → Next-Hop → Egress Interface → Return Route
Örneğin yanlış SNAT uygulanması veya destination için farklı bir route seçilmesi, Security Policy tamamen doğru olsa bile bağlantıyı bozabilir.
5. Session End Reason’a Bakın
Traffic Log içerisindeki Session End Reason troubleshooting sırasında oldukça değerlidir.
Örneğin:
tcp-rst-from-server
tcp-rst-from-client
aged-out
threat
policy-denyPAN-OS bunları resmi session termination nedenleri olarak kullanır.
Örneğin tcp-rst-from-server, bağlantının server tarafından resetlendiğini gösterirken aged-out session’ın timeout nedeniyle sonlandığını gösterir.
threat ise firewall’ın threat detection sonucunda drop/reset/block aksiyonu uyguladığı anlamına gelebilir.
Troubleshooting Sırası
Benim pratik kontrol akışım:
Policy Match → Application → Service → Security Profile → NAT → Route → Session → Return Path
Buradaki kritik nokta:
🔥 “Allow” görmek troubleshooting’in sonu değil, başlangıcıdır.
Security Policy trafiğe izin verdikten sonra hâlâ şu sorunun cevabını bulmak gerekir:
Paket hangi uygulama olarak tanındı, hangi güvenlik kontrollerinden geçti, hangi NAT ve route’u kullandı ve karşı taraftan geri dönebildi mi?
