Tech Support Fileとは
Tech Support Fileは、Palo Alto Networksファイアウォールの状態を一式まとめた診断用データです。単一のログではなく、設定、各種showコマンドの結果、システムログ、プロセスログなどがひとつのアーカイブに集約されています。
今回使用した検証機のデータには120個のファイルが含まれており、通信障害だけでなく、CPUやメモリ、HA、VPN、GlobalProtect、認証など幅広い観点を確認できます。
Interface、Session、Route、ARP、Policy、各種Counterから、その時点の稼働状態を確認できます。
System Logやdaemon logを使い、異常が起きた時間帯にどのプロセスで何が発生したかを追えます。
「通信できない」という事象を、経路・Policy・Session・Drop Counterなど複数の観点から分解できます。
どんな情報が入っているのか
Tech Support Fileは、ファイアウォールの内部状態を複数のカテゴリから確認できるようになっています。今回の検証データにも、以下のような情報が含まれています。
Management PlaneとData Plane
PAの障害解析では、まず管理系の処理と実際の通信を処理する部分を分けて考えると整理しやすくなります。
通信障害ではどこから見るか
Tech Support Fileは情報量が多いため、最初からすべてのログを読むより、通信の流れに沿って確認する方が効率的です。
今回のデータで確認できる代表的な情報
今回のTech Support Fileには、障害解析でよく使う状態確認情報がまとまっています。以下は、記事上で特に押さえておきたい代表例です。
| 確認対象 | 含まれる情報 | 主な用途 |
|---|---|---|
| Interface | show counter interface all / show interface all | Link状態、送受信、エラーやDropの確認 |
| Session | show session info / Session情報 | 通信がSessionとして生成されているかを確認 |
| Routing / ARP | show routing route / show arp all | 次ホップ、経路、L2解決状態を確認 |
| Policy | Security Policy / NAT Policy | 許可・拒否条件、NAT条件を確認 |
| Global Counter | show counter global | Packet Dropや内部処理の理由を絞り込む |
| Resource | show running resource-monitor | Data Plane側の負荷傾向を確認 |
Global Counterは何を見るためのものか
通信障害で特に有効なのがGlobal Counterです。PA内部でパケットがどのように処理され、どの理由でDropされたかを確認する手掛かりになります。
今回の検証データにも、PolicyによるDropや経路に関係するカウンタ、TCP処理に関係するカウンタなどが含まれています。ただし、カウンタが存在するだけで障害原因と断定するのではなく、発生時刻・通信条件・Session・Route・Policyと合わせて判断することが重要です。
代表的なdaemon log
Tech Support Fileには、機能ごとのプロセスが出力するログも含まれます。事象に応じて対象ログを絞ると、解析しやすくなります。
Management PlaneのCPUやメモリなど、管理系リソースの状態を確認する際に使います。
Data Plane側の稼働状況や負荷を追う際に確認します。
IKE/IPsec VPNのネゴシエーションやSA確立に関する調査で使用します。
認証処理に関する事象を確認する際に使います。
HA状態、フェイルオーバー、同期などを確認する際の主要ログです。
ログ受信・処理系の状態を確認するときに利用します。
DNS Proxy機能に関連する問題の切り分けに利用します。
管理WebやSSL VPN系のWebサービス状態を追う際に確認します。
障害解析のイメージ
たとえば「特定の通信だけ通らない」という事象であれば、以下の順で見ると整理しやすくなります。
対象インターフェースがUpか。エラーやDropが増えていないか。
宛先へのRouteがあるか。Next HopのARPが解決しているか。
Source、Destination、Service、Zone、NAT条件が想定通りか。
Sessionが生成されているか。送受信の方向やStateに違和感がないか。
事象再現時に増えるDrop理由がないか。
System Logや対象daemon logの時刻を合わせ、イベントを確認する。
この順序で確認すると、「ネットワークそのもの」「設定」「PA内部処理」のどこに問題がありそうかを段階的に絞れます。
障害解析で押さえる実務ポイント
Tech Support Fileを読む前に、事象と取得時点をそろえておくと、関係のないログや過去のカウンタ値に引きずられずに調査できます。
- 発生時刻とタイムゾーンを記録する。開始・復旧時刻、継続時間を控え、機器時刻とのずれも確認してからログを突き合わせる。
- 対象通信を具体化する。送信元・宛先、ポート、プロトコル、通過するZone、再現手順をそろえ、正常な通信との差を明確にする。
- 事象に近い時点でファイルを取得する。一時的な負荷や状態変化を調べる場合は、発生中または発生直後の情報を残す。復旧後に取得した内容だけで発生時の状態を断定しない。
- カウンタは値だけでなく増分を見る。過去からの累積値が高いだけでは今回の障害と結び付けられない。再現前後の変化を、対象通信や発生時刻と照合する。
- 設定と動作状態を分けて確認する。PolicyやRouteの設定が存在しても、実際に選択された経路やSession、NAT結果が想定通りとは限らない。
- 不足する証拠は別途取得する。ファイル内の情報で通信の通過・Drop箇所を特定できない場合は、該当時間帯のTraffic LogやPacket Capture、対向機器のログを合わせて確認する。
まとめ
Tech Support Fileは、PAの障害解析に必要な情報を一式確認できる非常に有用な診断データです。ただし、重要なのはファイル数の多さではなく、事象に応じて見る場所を絞ることです。
通信障害であれば、Interface → Route / ARP → Policy / NAT → Session → Global Counter → 関連ログ、という順序で確認すると、原因候補を効率よく絞り込めます。
記事について
本記事は、Stractoの検証用途で使用しているPalo Alto Networksファイアウォールから取得したTech Support Fileを基に、公開可能な内容へ一般化して構成しています。