Palo Alto Networks のファイアウォールは、設定・バックアップ・状態確認のほとんどを GUI（Web インタフェース）で行えます。ただ、確認結果をテキストでログに残したいときや、同じ確認を何度も繰り返すとき、設定を一覧で見たいときは、CLI のほうが便利です。
この記事では、PA-VM（PAN-OS 10.0.7）で、よく使う CLI コマンドを実行例と一緒にまとめます。
この記事でわかること
- オペレーショナルモードとコンフィグレーションモードの違いと、commit の流れ
- 設定を set 形式で表示する方法と、match／except による絞り込み
- 機器情報、パフォーマンス、ネットワーク、セッション、ログを確認するコマンド
現在の状況
この記事の実行例は PAN-OS 10.0.7 で取得したものです。Palo Alto Networks の End-of-Life Summary では、PAN-OS 10.0 のサポートは 2022年7月16日に終了しています。コマンドの多くは新しいバージョンでも使えますが、表示される項目は変わることがあります。
基本操作
CLI には、状態の確認などを行うオペレーショナルモードと、設定を変更するコンフィグレーションモードがあります。コンフィグレーションモードで変更した内容は、まず編集中の設定（Candidate Config）に入り、commit すると稼働中の設定（Running Config）に反映されます。
オペレーショナルモード
ログイン直後はオペレーショナルモードで、プロンプトは > です。
admin@PA-VM>
ログアウトするには、exit を入力します。
admin@PA-VM> exit
コンフィグレーションモード（configure）
設定を変更するときは、configure でコンフィグレーションモードに移ります。[edit] が表示され、プロンプトが # に変わります。
admin@PA-VM> configure Entering configuration mode [edit] admin@PA-VM#
コンフィグレーションモードを抜けるには、exit を入力します。
admin@PA-VM# exit
Exiting configuration mode
admin@PA-VM>
設定反映（commit）
編集中の Candidate Config を Running Config に反映するには、コンフィグレーションモードで commit を入力します。
admin@PA-VM> configure Entering configuration mode [edit] admin@PA-VM# commit Commit job 7 is in progress. Use Ctrl+C to return to command prompt .........55%98%...........100% Configuration committed successfully [edit] admin@PA-VM#
Candidate Config と Running Config については、次の記事を参考にしてください。
>> 参考記事：【Paloalto】設定情報のコミットとバックアップ／リストア PANOS9.0.9-h1.xfr
ページング無効化（set cli pager off）
既定では、出力が長いと -- More -- が表示され、キーを押すたびに続きが表示されます。ページングをせずに最後まで一度に表示するには、オペレーショナルモードで set cli pager off を実行します。出力をまるごとログに残したいときに便利です。
admin@PA-VM> set cli pager off
admin@PA-VM> configure
Entering configuration mode
[edit]
admin@PA-VM# show
set deviceconfig system type dhcp-client send-hostname yes
set deviceconfig system type dhcp-client send-client-id no
set deviceconfig system type dhcp-client accept-dhcp-hostname no
・
・
・
出力結果を条件によりフィルタ（match、except）
出力の後ろに | match や | except を付けると、条件に合う行だけ、または合わない行だけを表示できます。次の出力を例にします。
admin@PA-VM# show address set address Server1 ip-netmask 10.0.200.51/32 set address Server2 ip-netmask 10.0.200.52/32 set address Server3 ip-netmask 10.0.200.53/32 set address Server4 ip-netmask 10.0.200.54/32 set address Server5 ip-netmask 10.0.200.55/32
| match Server1 を付けると、Server1 を含む行だけが表示されます。
admin@PA-VM# show address | match Server1
set address Server1 ip-netmask 10.0.200.51/32
逆に、| except Server1 を付けると、Server1 を含まない行だけが表示されます。
admin@PA-VM# show address | except Server1
set address Server2 ip-netmask 10.0.200.52/32
set address Server3 ip-netmask 10.0.200.53/32
set address Server4 ip-netmask 10.0.200.54/32
set address Server5 ip-netmask 10.0.200.55/32
設定情報取得
設定情報取得（show）
設定を表示するには、コンフィグレーションモードで show を入力します。コンフィグレーションモードの show は Candidate Config を表示するので、commit 前の変更も含まれます。稼働中の設定だけを見たい場合は、オペレーショナルモードで show config running を使います。
admin@PA-VM> configure
Entering configuration mode
[edit]
admin@PA-VM# show
deviceconfig {
system {
type {
dhcp-client {
send-hostname yes;
send-client-id no;
accept-dhcp-hostname no;
accept-dhcp-domain no;
}
}
・
・
・
既定では、階層（XML に近い形）で表示されます。
表示形式変更（set cli config-output-format）
設定を set 形式で表示すると、設定コマンドの形のまま見られるので、ほかの機器への流用や差分の確認に便利です。表示形式は、オペレーショナルモードの set cli config-output-format で変えます。選べる形式は、? を入力すると確認できます。
admin@PA-VM> set cli config-output-format default default json json set set xml xml
| 形式 | 表示 |
|---|---|
| default | 既定の階層表示（上の show の表示） |
| json | JSON 形式 |
| set | set コマンドの形 |
| xml | XML 形式 |
表示形式を set に変えて、設定を表示します。
admin@PA-VM> set cli config-output-format set
admin@PA-VM> configure
Entering configuration mode
[edit]
admin@PA-VM# show
set deviceconfig system type dhcp-client send-hostname yes
set deviceconfig system type dhcp-client send-client-id no
set deviceconfig system type dhcp-client accept-dhcp-hostname no
・
・
・
以下は、表示形式を set にしたときの、項目ごとの表示例です。どれもコンフィグレーションモードで実行します。
アドレス設定情報（show address）
admin@PA-VM# show address set address Server1 ip-netmask 10.0.200.51/32 set address Server2 ip-netmask 10.0.200.52/32 set address Server3 ip-netmask 10.0.200.53/32 set address Server4 ip-netmask 10.0.200.54/32 set address Server5 ip-netmask 10.0.200.55/32
アドレスグループ設定情報（show address-group）
admin@PA-VM# show address-group set address-group Server-Group static [ Server1 Server2 Server3 Server4 Server5 ]
サービス設定情報（show service）
カスタム サービスの設定を表示します。
admin@PA-VM# show service set service service-tcp-11111 protocol tcp port 11111 set service service-tcp-11111 protocol tcp override no set service service-tcp-22222 protocol tcp port 22222 set service service-tcp-22222 protocol tcp override no
サービスグループ設定情報（show service-group）
admin@PA-VM# show service-group set service-group service-group-custom members [ service-tcp-11111 service-tcp-22222 ]
ゾーン設定情報（show zone）
セキュリティ ゾーンと、所属するインタフェースを表示します。
admin@PA-VM# show zone set zone Trust network layer3 ethernet1/1 set zone Untrust network layer3 ethernet1/2
インタフェース設定情報（show network interface）
admin@PA-VM# show network interface
set network interface ethernet ethernet1/1 layer3 ndp-proxy enabled no
set network interface ethernet ethernet1/1 layer3 sdwan-link-settings upstream-nat enable no
set network interface ethernet ethernet1/1 layer3 sdwan-link-settings upstream-nat static-ip
set network interface ethernet ethernet1/1 layer3 sdwan-link-settings enable no
set network interface ethernet ethernet1/1 layer3 lldp enable no
set network interface ethernet ethernet1/1 layer3 ip 10.0.200.84/24
・
・
・
ルーティング設定確認（show network virtual-router）
仮想ルータの設定（スタティック ルートなど）を表示します。
admin@PA-VM# show network virtual-router set network virtual-router default interface [ ethernet1/1 ethernet1/2 ] set network virtual-router default ecmp algorithm ip-modulo set network virtual-router default routing-table ip static-route static-1 nexthop ip-address 10.0.100.1 set network virtual-router default routing-table ip static-route static-1 bfd profile None set network virtual-router default routing-table ip static-route static-1 interface ethernet1/1 set network virtual-router default routing-table ip static-route static-1 metric 10 set network virtual-router default routing-table ip static-route static-1 destination 1.1.1.1/32 set network virtual-router default routing-table ip static-route static-1 route-table unicast
セキュリティポリシー設定情報（show rulebase security rules）
admin@PA-VM# show rulebase security rules
set rulebase security rules Src-NAT to Untrust
set rulebase security rules Src-NAT from Trust
set rulebase security rules Src-NAT source 10.0.200.100/32
set rulebase security rules Src-NAT destination any
set rulebase security rules Src-NAT source-user any
set rulebase security rules Src-NAT category any
set rulebase security rules Src-NAT application any
set rulebase security rules Src-NAT service any
set rulebase security rules Src-NAT source-hip any
set rulebase security rules Src-NAT destination-hip any
set rulebase security rules Src-NAT action allow
・
・
・
機器情報（show system info）
ホスト名、管理インタフェースのアドレス、PAN-OS のバージョン、シリアル番号などを確認するには、オペレーショナルモードで show system info を入力します。問い合わせやライセンスの確認でよく使います。
admin@PA-VM> show system info hostname: PA-VM ip-address: 10.0.11.173 public-ip-address: unknown netmask: 255.255.255.0 default-gateway: 10.0.11.1 ip-assignment: dhcp ipv6-address: unknown ipv6-link-local-address: fe80::8xx:xxff:fexx:xxxx/64 ipv6-default-gateway: mac-address: xx:xx:xx:xx:xx:xx time: Sat Sep 18 00:21:32 2021 uptime: 0 days, 1:01:05 family: vm model: PA-VM serial: XXXXXXXXXXXXXXX ・ ・ ・
この例では、ip-address などは管理インタフェースの情報です。シリアル番号と MAC アドレスは伏せています。
パフォーマンス情報
CPU・メモリ使用状況（show system resources）
マネージメント プレーンの CPU やメモリの使用状況は、show system resources で確認できます。表示の読み方は、次のナレッジを参考にしてください。
>> 参考記事：ナレッジドキュメント show system resourcesコマンドの解釈
現在のスループット・セッション情報（show system statistics session）
今のスループットやセッション数をリアルタイムで見たい場合は、オペレーショナルモードで show system statistics session を入力します。
admin@PA-VM> show system statistics session
入力すると次のような画面に切り替わり、表示が自動で更新されます。q を入力すると元に戻ります。
画面イメージについて
この記事の画面は、実際の画面ではなく、検証時（2021年9月）の画面から見るポイントを抜き出して描いたイメージです。バージョンによって、項目の並びや表記は変わります。
System Statistics: ('q' to quit, 'h' for help) Device is up : 0 day 2 hours 33 mins 49 sec1Packet rate : 176/sThroughput : 535 Kbps2Total active sessions : 190Active TCP sessions : 183Active UDP sessions : 0Active ICMP sessions : 7
| No. | 表示 | 意味 |
|---|---|---|
| 1 | Packet rate、Throughput | 今のパケット レートとスループット |
| 2 | Total active sessions | 今のアクティブなセッション数。下に TCP／UDP／ICMP の内訳 |
現在までのアプリケーション統計トップ20（show system statistics application）
アプリケーションごとのセッション数やデータ量を見たい場合は、オペレーショナルモードで show system statistics application を入力します。
admin@PA-VM> show system statistics application
入力すると次のような画面に切り替わり、表示が自動で更新されます。q を入力すると元に戻ります。
Top 20 Application Statistics: (‘q’ to quit, ‘h’ for help) Virtual System: vsys1
| application | sessions | packets | bytes |
|---|---|---|---|
| ssl | 146 | 8695 | 6726845 |
| ms-update | 10 | 3758 | 4081835 |
| ms-rdp | 2 | 5388 | 606272 |
| yahoo-web-analytics | 11 | 278 | 110379 |
| ms-product-activation | 2 | 128 | 103607 |
| ocsp | 17 | 337 | 95133 |
| ping | 480 | 960 | 94080 |
| google-base | 9 | 286 | 70948 |
| windows-azure-base | 2 | 64 | 37016 |
| linkedin-base | 4 | 107 | 29452 |
| facebook-base | 2 | 64 | 12611 |
| twitter-base | 2 | 50 | 11881 |
| ntp | 13 | 26 | 2340 |
App-ID で識別されたアプリケーションが、バイト数の多い順に並びます。この例では ssl が最も多くなっています。
ネットワーク情報
インタフェース情報（show interface all）
すべてのインタフェースの情報（速度・デュプレックス・状態、MAC アドレス、ゾーン、IP アドレスなど）を確認するには、オペレーショナルモードで show interface all を入力します。
admin@PA-VM> show interface all total configured hardware interfaces: 2 name id speed/duplex/state mac address -------------------------------------------------------------------------------- ethernet1/1 16 10000/full/up 0a:9a:2e:XX:XX:XX ethernet1/2 17 10000/full/up 0a:ff:db:XX:XX:XX aggregation groups: 0 total configured logical interfaces: 2 name id vsys zone forwarding tag address ------------------- ----- ---- ---------------- ------------------------ ------ ------------------ ethernet1/1 16 1 Trust vr:default 0 10.0.200.84/24 ethernet1/2 17 1 Untrust vr:default 0 10.0.100.59/24
上半分が物理（hardware）インタフェース、下半分が論理（logical）インタフェースの情報です。論理インタフェースの欄で、所属するゾーン（zone）と仮想ルータ（forwarding）、IP アドレスがわかります。
インタフェース統計情報（show counter interface all）
すべてのインタフェースの統計情報（送受信のバイト数、パケット数、エラーなど）を確認するには、オペレーショナルモードで show counter interface all を入力します。
admin@PA-VM> show counter interface all Hardware interface counters: -------------------------------------------------------------------------------- Interface: ethernet1/1 -------------------------------------------------------------------------------- -------------------------------------------------------------------------------- Physical port counters read from MAC: -------------------------------------------------------------------------------- rx-broadcast 0 rx-bytes 8413446 rx-multicast 23 rx-unicast 35368 tx-broadcast 0 tx-bytes 29630730 tx-multicast 0 tx-unicast 50491 -------------------------------------------------------------------------------- ・ ・ ・
ARPテーブル（show arp all）
ARP テーブルを確認するには、オペレーショナルモードで show arp all を入力します。
admin@PA-VM> show arp all maximum of entries supported : 2500 default timeout: 1800 seconds total ARP entries in table : 3 total ARP entries shown : 3 status: s - static, c - complete, e - expiring, i - incomplete interface ip address hw address port status ttl -------------------------------------------------------------------------------- ethernet1/1 10.0.200.1 0a:ca:b3:bb:xx:xx ethernet1/1 c 1763 ethernet1/1 10.0.200.100 0a:5a:b5:68:xx:xx ethernet1/1 c 1410 ethernet1/2 10.0.100.1 0a:ef:22:46:xx:xx ethernet1/2 c 1763
status の c は complete（解決済み）、ttl はエントリが消えるまでの残り秒数です。
ルーティングテーブル（show routing route）
ルーティング テーブルを確認するには、オペレーショナルモードで show routing route を入力します。
admin@PA-VM> show routing route
flags: A:active, ?:loose, C:connect, H:host, S:static, ~:internal, R:rip, O:ospf, B:bgp,
Oi:ospf intra-area, Oo:ospf inter-area, O1:ospf ext-type-1, O2:ospf ext-type-2, E:ecmp, M:multicast
VIRTUAL ROUTER: default (id 1)
==========
destination nexthop metric flags age interface next-AS
0.0.0.0/0 10.0.100.1 10 A S ethernet1/2
1.1.1.1/32 10.0.100.1 10 A S ethernet1/1
10.0.100.0/24 10.0.100.59 0 A C ethernet1/2
10.0.100.59/32 0.0.0.0 0 A H
10.0.200.0/24 10.0.200.84 0 A C ethernet1/1
10.0.200.84/32 0.0.0.0 0 A H
total routes shown: 6
| flags | 意味 |
|---|---|
| A S | 有効（active）なスタティック ルート。この例では 0.0.0.0/0 と 1.1.1.1/32 |
| A C | 有効な直接接続（connect）のルート |
| A H | 有効なホスト ルート（インタフェース自身のアドレス） |
補足
PAN-OS 10.2 以降で Advanced Routing を有効にした場合は、仮想ルータの代わりに論理ルータを使い、ルーティング テーブルは show advanced-routing route で確認します。
ネットワーク診断（ping / traceroute）
ping を実行するには、ping host を使います。送信元を指定しない場合は、管理インタフェースから送信されます。
admin@PA-VM> ping host 8.8.8.8
PING 8.8.8.8 (8.8.8.8) 56(84) bytes of data.
64 bytes from 8.8.8.8: icmp_seq=1 ttl=105 time=2.61 ms
64 bytes from 8.8.8.8: icmp_seq=2 ttl=105 time=2.63 ms
64 bytes from 8.8.8.8: icmp_seq=3 ttl=105 time=2.61 ms
データ プレーンのインタフェースから送るには、host の前に source で送信元 IP アドレスを指定します。
admin@PA-VM> ping source 10.0.100.59 host 8.8.8.8
PING 8.8.8.8 (8.8.8.8) from 10.0.100.59 : 56(84) bytes of data.
64 bytes from 8.8.8.8: icmp_seq=1 ttl=104 time=3.81 ms
64 bytes from 8.8.8.8: icmp_seq=2 ttl=104 time=3.19 ms
64 bytes from 8.8.8.8: icmp_seq=3 ttl=104 time=2.99 ms
traceroute も、ping と同じ形で使えます。次は、送信元アドレスを指定して traceroute した例です。
admin@PA-VM> traceroute source 10.0.100.59 host 8.8.8.8
traceroute to 8.8.8.8 (8.8.8.8), 30 hops max, 60 byte packets
1 54.150.128.33 7.431 ms 7.426 ms 7.425 ms
2 * * *
3 * * *
・
・
・
セッション情報
セッションテーブル（show session all）
今のセッション テーブルを確認するには、オペレーショナルモードで show session all を入力します。
admin@PA-VM> show session all -------------------------------------------------------------------------------- ID Application State Type Flag Src[Sport]/Zone/Proto (translated IP[Port]) Vsys Dst[Dport]/Zone (translated IP[Port]) ------------------------------------------------------------------------------- 60 ssl ACTIVE FLOW NS 10.0.200.100[49730]/Trust/6 (10.0.100.200[49730]) vsys1 20.205.248.73[443]/Untrust (20.205.248.73[443]) 61 ssl ACTIVE FLOW NS 10.0.200.100[49731]/Trust/6 (10.0.100.200[49731]) vsys1 20.205.248.73[443]/Untrust (20.205.248.73[443]) . . .
| 表示 | 意味 |
|---|---|
| 60 / ssl / ACTIVE | セッション ID、識別されたアプリケーション、セッションの状態 |
| 10.0.200.100[49730]/Trust/6 | 送信元 IP［ポート］／送信元ゾーン／プロトコル番号（6 は TCP） |
| (10.0.100.200[49730]) | NAT 変換後の送信元 IP［ポート］ |
| 20.205.248.73[443]/Untrust | 宛先 IP［ポート］／宛先ゾーン。括弧内は変換後の宛先 |
filter を付けると、条件に合うセッションだけを表示できます。たとえば、宛先が 8.8.8.8 のセッションだけを表示する場合は、次のようにします。
admin@PA-VM> show session all filter destination 8.8.8.8
--------------------------------------------------------------------------------
ID Application State Type Flag Src[Sport]/Zone/Proto (translated IP[Port])
Vsys Dst[Dport]/Zone (translated IP[Port])
--------------------------------------------------------------------------------
25 ping ACTIVE FLOW NS 10.0.200.100[1]/Trust/1 (10.0.100.200[1])
vsys1 8.8.8.8[1181]/Untrust (8.8.8.8[1181])
現在のセッション数（show session info）
サポートされている最大セッション数と、今のセッション数を確認するには、show session info を入力します。
admin@PA-VM> show session info
target-dp: *.dp0
--------------------------------------------------------------------------------
Number of sessions supported: 256000
Number of allocated sessions: 13
Number of active TCP sessions: 13
Number of active UDP sessions: 0
Number of active ICMP sessions: 0
・
・
・
ポリシーテスト（test security-policy-match）
test security-policy-match で通信の条件を指定すると、どのセキュリティ ポリシーに一致するかを、実際に通信を流さずに確認できます。次は、下の条件で確認した例です。
| 条件 | 値 | コマンドでの指定 |
|---|---|---|
| 送信元ゾーン | Trust | from Trust |
| 宛先ゾーン | Untrust | to Untrust |
| 送信元 IP アドレス | 10.0.200.100 | source 10.0.200.100 |
| 宛先 IP アドレス | 8.8.8.8 | destination 8.8.8.8 |
| プロトコル | TCP（プロトコル番号 6） | protocol 6 |
| 宛先ポート | 80 | destination-port 80 |
admin@PA-VM> test security-policy-match from Trust to Untrust source 10.0.200.100 destination 8.8.8.8 protocol 6 destination-port 80 "Src-NAT; index: 1" { from Trust; source 10.0.200.100; source-region none; to Untrust; destination any; destination-region none; user any; source-device any; destinataion-device any; category any; application/service 0:any/any/any/any; action allow; icmp-unreachable: no terminal yes; }
一致したのは、ポリシーの上から1番目（index: 1）の Src-NAT で、アクションは allow です。ポリシーを変えたあとに、意図したルールに当たるかを確かめるときに使えます。
ログ情報
システム ログは show log system、トラフィック ログは show log traffic で表示します。
システムログ（show log system）
admin@PA-VM> show log system Time Severity Subtype Object EventID ID Description ===================================================== 2021/09/16 04:53:08 info port ethern link-ch 0 Port ethernet1/1: Down auto duplex 2021/09/16 04:53:08 info port ethern link-ch 0 Port ethernet1/2: Down auto duplex 2021/09/16 04:53:08 info port ethern link-ch 0 Port ethernet1/3: Down auto duplex 2021/09/16 04:53:08 info port ethern link-ch 0 Port ethernet1/4: Down auto duplex 2021/09/16 04:53:08 info port ethern link-ch 0 Port ethernet1/5: Down auto duplex 2021/09/16 04:53:08 info port ethern link-ch 0 Port ethernet1/6: Down auto duplex 2021/09/16 04:53:08 info port ethern link-ch 0 Port ethernet1/7: Down auto duplex 2021/09/16 04:53:08 high general system- 1 The system is starting up.
トラフィックログ（show log traffic）
admin@PA-VM> show log traffic Time App From Src Port Source Rule Action To Dst Port Destination Src User Dst User End Reason Rule_UUid ================================================================ 2021/09/16 05:30:11 ping Untrust 0 126.xxx.xxxx.xxx Dest-NAT allow Trust 0 10.0.100.200 aged-out ff158ca8-3f3e-4646-ab9f-8dbb2aa8bcc8 2021/09/16 05:30:17 ping Untrust 0 126.xxx.xxxx.xxx Dest-NAT allow Trust 0 10.0.100.200 aged-out ff158ca8-3f3e-4646-ab9f-8dbb2aa8bcc8 2021/09/16 05:30:23 ping Untrust 0 126.xxx.xxxx.xxx Dest-NAT allow Trust 0 10.0.100.200 aged-out
再起動・停止
再起動するには request restart system、停止するには request shutdown system を入力します。どちらも確認で y を入力すると実行されます。
再起動（request restart system）
admin@PA-VM> request restart system Executing this command will disconnect the current session. Do you want to continue? (y or n) y
停止（request shutdown system）
admin@PA-VM> request shutdown system
Warning: executing this command will leave the system in a shutdown state.
Power must be removed and reapplied for the system to restart.
Do you want to continue? (y or n)y
注意
停止すると、表示のとおり、電源を入れ直すまで起動しません。リモートから操作している場合は、再起動と取り違えないようにしてください。
コマンド早見表
| コマンド | モード | 用途 |
|---|---|---|
| configure / exit | > / # | コンフィグレーションモードに入る／抜ける |
| commit | # | Candidate Config を Running Config に反映する |
| set cli pager off | > | ページングを無効にする |
| set cli config-output-format set | > | 設定を set 形式で表示する |
| show <項目> | match／except | > / # | 出力を条件で絞り込む |
| show system info | > | バージョン、シリアル番号などの機器情報 |
| show system resources | > | マネージメント プレーンの CPU・メモリ |
| show system statistics session | > | スループットとセッション数（リアルタイム） |
| show interface all | > | インタフェースの状態と IP アドレス |
| show counter interface all | > | インタフェースの統計情報 |
| show arp all | > | ARP テーブル |
| show routing route | > | ルーティング テーブル |
| ping / traceroute source … host … | > | 送信元を指定した疎通確認 |
| show session all [filter …] | > | セッション テーブル |
| show session info | > | 最大セッション数と今のセッション数 |
| test security-policy-match … | > | 一致するセキュリティ ポリシーの確認 |
| show log system／traffic | > | システム ログ／トラフィック ログ |
| request restart／shutdown system | > | 再起動／停止 |
コメント