Palo Alto Session End Reason: Policy Allow Ama Bağlantı Neden Koptu?

İlgili yazılar

Palo Alto Traffic Log: incomplete ve insufficient-data Ne Anlama Gelir?

1 hafta önce

Palo Alto Security Policy “Allow” Ama Trafik Neden Geçmiyor?

2 hafta önce

Palo Alto OSPF Troubleshooting: Neighbor FULL Ama Route Yok

3 hafta önce

Palo Alto troubleshooting sırasında sadece:

Action = Allow

alanına bakmak çoğu zaman yeterli değildir.

Traffic Log’daki Session End Reason, bağlantının nasıl sona erdiğini anlamada çok değerlidir.

policy-deny

policy-deny, session’ın bir Security Policy tarafından deny veya drop edilerek sonlandırıldığını gösterir.

Eğer bir yerde Allow, başka bir logda policy-deny görüyorsanız aynı Session ID ve final end log’unu birlikte incelemek gerekir.

App-ID trafiği tanımladıkça policy enforcement değişebilir; uygulama belirlendikten sonra firewall policy’yi tekrar değerlendirir.

threat

threat, firewall’ın bir tehdit tespit ederek:

reset → drop → block

gibi bir aksiyon uygulaması sonucu session’ın sonlandığını gösterir.

Bu durumda:

Traffic Log + Threat Log

birlikte incelenmelidir.

Yani:

Policy Allow ≠ Security Profile her şeyi geçirir

tcp-rst-from-server

tcp-rst-from-server

server’ın TCP RST göndererek bağlantıyı sonlandırdığını gösterir.

Bu durumda yalnız firewall’a değil:

Application → Load Balancer → Backend → Server timeout/reset davranışı

tarafına da bakılmalıdır.

tcp-rst-from-client

tcp-rst-from-client

ise client’ın bağlantıyı TCP RST ile kapattığını gösterir.

Client uygulaması, browser, endpoint security veya timeout davranışı incelenebilir.

tcp-fin

tcp-fin

her iki tarafın da TCP FIN göndererek session’ı normal TCP kapanış süreciyle sonlandırdığını ifade eder.

Bu değer tek başına problem göstergesi değildir.

aged-out

aged-out

session’ın timeout nedeniyle session table’dan kaldırıldığını gösterir.

Bu durumda:

Application timeout → Return traffic → Keepalive → Asymmetric routing → Session timeout

kontrol edilmelidir.

Özellikle tek yönlü trafik veya beklenen FIN/RST paketlerinin firewall’a ulaşmaması session’ın aged-out olmasıyla sonuçlanabilir.

SSL Decryption Hataları

Traffic Log’da aşağıdaki değerler de görülebilir:

decrypt-cert-validation
decrypt-unsupport-param
decrypt-error

decrypt-cert-validation, sertifika doğrulamasıyla ilgili engelleme durumlarını;

decrypt-unsupport-param, desteklenmeyen SSL/TLS sürümü, cipher veya SSH algoritması gibi durumları;

decrypt-error ise SSL decryption sırasında oluşan diğer fatal error veya kaynak problemlerini gösterebilir.

Bu durumda doğrudan:

Decryption Policy → Certificate → TLS/Cipher → Decryption Log

zincirine odaklanmak gerekir.

Traffic Log’u Nasıl Okuyorum?

Ben tek bir alana bakmak yerine şu bilgileri birlikte değerlendiriyorum:

Application → Rule → Action → Bytes Sent/Received → NAT → Session End Reason

Çünkü örneğin:

Bytes Sent    : yüksek
Bytes Received: 0
End Reason    : aged-out

görüyorsanız return path veya karşı uç daha anlamlı bir şüpheli olabilir.

Benzer şekilde:

Action     : allow
End Reason : threat

görüyorsanız trafik policy tarafından izin almış ancak sonrasında Security Profile tarafından sonlandırılmış olabilir.

PAN-OS Traffic Log zaten rule, application, bytes ve Session End Reason gibi alanları aynı session analizi içinde sunar.

Kritik Nokta

🔥 Action = Allow, firewall’ın session’a başlangıçta veya policy seviyesinde izin verdiğini söyler.

Session End Reason ise bağlantının nasıl sona erdiğini anlatır.

Troubleshooting sırasında asıl soru:

“Policy Allow mı?”

değil,

“Session hangi nedenle sona erdi ve bağlantının son paketini kim gönderdi?”

olmalıdır.